Риски безопасности предприятия

Анализ угроз информационной безопасности

Под угрозой (в общем смысле) обычно понимают потенциально возможное событие (воздействие, процесс или явление), которое может привести к нанесению ущерба чьим-либо интересам. В дальнейшем под угрозой безопасности АС обработки информации будем понимать возможность воздействия на АС, которое прямо или косвенно может нанести ущерб ее безопасности.

В настоящее время известен обширный перечень угроз информационной безопасности АС, содержащий сотни позиций.

Рассмотрение возможных угроз информационной безопасности проводится с целью определения полного набора требований к разрабатываемой системе зашиты.

Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты АС. Кроме выявления возможных угроз, целесообразно проведение анализа этих угроз на основе их классификации по ряду признаков. Каждый из признаков классификации отражает одно из обобщенных требований к системе защиты. Угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Необходимость классификации угроз информационной безопасности АС обусловлена тем, что хранимая и обрабатываемая информация в современных АС подвержена воздействию чрезвычайно большого числа факторов, в силу чего становится невозможным формализовать задачу описания полного множества угроз. Поэтому для защищаемой системы обычно определяют не полный перечень угроз, а перечень классов угроз.

Классификация возможных угроз информационной безопасности АС может быть проведена по следующим базовым признакам.

1. По природе возникновения:
• естественные угрозы, вызванные воздействиями на АС объективных физических процессов или стихийных природных явлений;
• искусственные угрозы безопасности АС, вызванные деятельностью человека.

2. По степени преднамеренности проявления:
• угрозы, вызванные ошибками или халатностью персонала, например некомпетентное использование средств защиты, ввод ошибочных данных и т. п.;
• угрозы преднамеренного действия, например действия злоумышленников.

3. По непосредственному источнику угроз:
• природная среда, например стихийные бедствия, магнитные бури и пр.;
• человек, например вербовка путем подкупа персонала, разглашение конфиденциальных данных и т. п.;
• санкционированные программно-аппаратные средства, например удаление данных, отказ в работе ОС;
• несанкционированные программно-аппаратные средства, например заражение компьютера вирусами с деструктивными функциями.

4. По положению источника угроз:

• вне контролируемой зоны АС, например перехват данных, передаваемых по каналам связи, перехват побочных электромагнитных, акустических и других излучений устройств;
• в пределах контролируемой зоны АС, например применение подслушивающих устройств, хищение распечаток, записей, носителей информации и т. п.;
• непосредственно в АС, например некорректное использование ресурсов АС.

5. По степени зависимости от активности АС:
• независимо от активности АС, например вскрытие шифров криптозащиты информации;
• только в процессе обработки данных, например угрозы выполнения и распространения программных вирусов.

6. По степени воздействия на АС:
• пассивные угрозы, которые при реализации ничего не меняют в структуре и содержании АС, например угроза копирования секретных данных;
• активные угрозы, которые при воздействии вносят изменения в структуру и содержание АС, например внедрение троянских коней и вирусов.

7. По этапам доступа пользователей или программ к ресурсам АС:
• угрозы, проявляющиеся на этапе доступа к ресурсам АС, например угрозы несанкционированного доступа в АС;
• угрозы, проявляющиеся после разрешения доступа к ресурсам АС, например угрозы несанкционированного или некорректного использования ресурсов АС.

Страницы: 1 2 3 4

Эта статья была опубликована Воскресенье, Август 9th, 2009 at 12:57 в рубрике Основные понятия и анализ угроз информационной безопасности. Вы можете следить за ответами через RSS 2.0 feed.

>Управление рисками информационной безопасности в России

Управление рисками информационной безопасности в России

История доказывала много раз, что стабильность, какой бы идеальной и хорошей она ни была на первый взгляд, ведет к деградации. Развитие невозможно без риска. Вся наша жизнь складывается из вероятностей, оценки возможностей и решений, приводящих к успеху или поражению. Но многое зависит от нас. Благополучно ли закончится прыжок с парашютом? Зависит от того, правильно ли он был уложен, знаете ли вы порядок действий при прыжке и т.д. Теперь риск равен нулю? Нет, но своими действиями вы смогли существенно снизить его. Помимо индивидуальных рисков, выделяют риски социальные, технологические и многие другие. Мы же сосредоточимся на рисках информационной безопасности и управлении ими.Антон Макарычев
Руководитель направления ИБ Группы компаний “Компьюлинк»

Стандарт управления рисками ISO 31000:2009 дает определение риска как результата неопределенности в отношении целей, где результат – это отклонение от предполагаемого исхода (положительного или отрицательного), а неопределенность – состояние недостаточности информации, связанное с пониманием события или знаниями о нем, его последствиями или вероятностью. Учитывая, что большинство рисков невозможно свести к нулевым значениям, на первое место как в глобальном, так и в локальном масштабе выходит управление ими. К сожалению, в том случае, когда действие происходит раньше анализа (а именно такая ситуация характерна для многих российских компаний), эффективность принятых мер также отдается на волю случая. Все равно что использовать бензопилу в качестве топора, не удосужившись прочитать инструкцию по применению. Вот почему, прежде чем браться за управление рисками ИБ, следует разобраться с существующими наработками и стандартами в этой области.

От общего к частному

Рассматривая управление рисками в фокусе информационной безопасности, полезно иметь представление о следующих документах:

  • международный стандарт ISO 31000:2009;
  • концептуальные основы управления рисками организаций Комитета спонсорских организаций Комиссии Тредвея (COSO ERM);
  • стандарт управления рисками Института риск-менеджмента (IRM) Ассоциации риск-менеджмента и страхования (AIRMIC), а также Национального форума риск-менеджмента в общественном секторе Великобритании.

На сегодняшний день информатизация общества вкупе с автоматизацией процессов развиваются столь стремительно, что игнорирование возрастающих рисков в области информационных технологий становится недопустимым.

ISO 31000:2009 является основным международным стандартом по управлению рисками для организаций и дает основные определения и принципы, которыми должна руководствоваться организация после принятия решения о внедрении системы управления рисками. Этот документ можно использовать в качестве руководства для первых шагов, так как он описывает именно менеджмент риска, то есть архитектуру.

Более подробные инструкции содержатся в Концептуальных основах управления рисками организаций Комитета спонсорских организаций Комиссии Тредвея. В частности, практическую пользу, помимо самого документа, представляют дополнительные материалы, выпущенные Комитетом COSO:

  • ERM Risk Assessment in Practice (практика проведения оценки рисков в системе управления рисками);
  • Enterprise Risk Management for C
  • oud Computing (управление рисками для систем облачных вычислений);
  • Enterprise Risk Management – Understanding and Communicating Risk Appetite (понимание и коммуникация риск-аппетита в системе управления рисками);
  • Embracing Enterprise Risk Management: Practica
  • Approaches for Getting Started (практические подходы для начала внедрения системы управления рисками) и др.

Их цель – подробное раскрытие всех аспектов, изложенных в концептуальных основах, что в конечном счете позволяет ставить описанные принципы на практические рельсы.

Однако стоит упомянуть один важный нюанс, который может приводить к некоторой путанице при попытке совмещения описанных выше стандартов, – различия в определениях. Например, определение понятия «риск» в стандарте ISO – это вероятность и положительного и негативного последствия, в стандарте COSO – это только вероятность негативного последствия, для положительного, есть отдельный термин – возможность. Тем не менее, учитывая перманентное развитие стандарта, он заслуживает самого пристального внимания.

Еще одним полезным документом является стандарт управления рисками Института риск-менеджмента (IRM) Ассоциации риск-менеджмента и страхования (AIRMIC), а также Национального форума риск-менеджмента в Общественном секторе Великобритании. Взяв за основу терминологию ISO, данный стандарт более детально раскрывает процесс управления рисками (рис. 2).

Он будет крайне полезен для малого и среднего бизнеса, так как способен выступать в качестве единого и единственного документа для внедрения качественной системы управления рисками.

Таким образом, перед тем как перейти к частным вопросам управления рисками информационной безопасности, можно сделать промежуточные выводы по рассмотренным стандартам:

  • ISO 31000:2009 подойдет в качестве основного для любой организации;
  • AIRMIC ориентирован на практику и подойдет в качестве основного документа для малого и среднего бизнеса, а также в качестве отправной точки для крупных компаний;
  • COSO ERM выступает в качестве основного документа для практического внедрения системы управления рисками в любой организации, однако изначально тяготеет к крупному бизнесу.

Управление рисками информационной безопасности

На сегодняшний день информатизация общества вкупе с автоматизацией процессов развиваются столь стремительно, что игнорирование возрастающих рисков в области информационных технологий становится недопустимым. Доступность ЦОД измеряется в пяти и шести «девятках», а сбои в информационных системах крупных компаний становятся новостями мирового масштаба.

Как следствие, в организациях создаются отдельные подразделения по информационной безопасности и IТ-рискам, которые занимаются выявлением и управлением рисками в данной сфере.

Спрос породил предложение. Так, международной организацией ISO был выпущен стандарт по управлению рисками информационной безопасности в организации – ISO 27005:2008 «Информационные технологии – техники безопасности – управление рисками информационной безопасности». Однако, помимо него, существуют и другие не менее полезные документы, например:

  • рабочая среда по управлению IТ-рисками (The Risk IT Framework) и инструкция по применению для IТ-рисков (The Risk IT Practitioner Guide), основанные на стандарте Cobit организации ISACA;
  • авторская методика по управлению рисками информационных систем Кена Джаворски (Ken Jaworski).

Рассмотрим каждый из них подробнее.

В стандарте ISO 27005:2008 дается определение риска информационной безопасности – вероятность того, что заданная угроза использует уязвимости актива или группы активов и таким образом нанесет вред организации.

В соответствии со стандартом процесс управления рисками информационной безопасности позволяет организовать следующее:

  • идентификацию рисков;
  • оценку рисков в терминах последствий для бизнеса и вероятности их появления;
  • сообщение и осознание вероятности и последствий рисков;
  • выстраивание порядка приоритетов для обработки рисков;
  • выстраивание приоритета для действий по уменьшению вероятности возникновения рисков;
  • вовлечение заинтересованных лиц в процесс принятия решений по управлению рисками и информирование о статусе процесса управления рисками;
  • мониторинг эффективности обработки рисков;
  • регулярное отслеживание и пересмотр рисков и процесса управления рисками;
  • выявление информации для улучшения подхода к управлению рисками;
  • обучение менеджеров и сотрудников рискам и действиям для их снижения.

В области управления рисками информационной безопасности существует определенный прогресс, позволяющий заинтересованным специалистам переходить от теоретических описаний к практическим действиям. Так, международный стандарт ISO 27005:2008 служит отправной теоретической точкой, дальнейший практический путь от которой, несмотря на индивидуальный подход для каждой организации, может быть эффективно реализован с помощью как минимум двух методик.

Примечательно, что схема процесса управления рисками информационной безопасности совпадает со схемой стандарта 31000, представленной ранее, что еще раз подтверждает одинаковый подход к управлению рисками в серии стандартов ISO. Стандарт носит теоретический характер, но будет полезен в качестве основы для дальнейшего внедрения системы управления рисками.

Рабочая среда по управлению IТ-рисками (The Risk IT Framework), основанная на стандарте Cobit организации ISACA, включает в себя теоретическую базу, инструкцию по применению – методологию и практические примеры.

В данном документе дается определение IТ-риска – это бизнес-риск, в частности бизнес-риск, ассоциированный с использованием, владением, произведением действий, вовлечением, влиянием или адаптацией IТ в организации.

Процессная модель данной среды состоит из трех доменов:

  • управление риском (Risk Governance);
  • оценка риска (Risk Evaluation);
  • реагирование на риск (Risk Response).

В документе тщательно разобрана эта трехдоменная модель. Приведены все необходимые определения, разобрана ролевая модель по перечисляемым процессам, а также порядок внедрения.

Инструкция по применению для IТ-рисков (The Risk IT Practitioner Guide) является логическим продолжением рабочей среды, ориентированным на практическое внедрение трехдоменной модели в организации. В документе представлены необходимые шаблоны, таблицы и другие документы, которые можно при необходимости изменить и использовать в системе управления рисками вашей организации. Также дается описание лучших практик внедрения систем IТ-рисков.

Методика по управлению рисками информационных систем Кена Джаворски основана на стандарте ISO и акцентирует свое внимание на практических аспектах внедрения системы управления рисками, а также содержит необходимые шаблоны и способы расчета влияния рисков на деятельность организации.

Подводя итоги, можно сделать вывод, что в области управления рисками информационной безопасности существует определенный прогресс, позволяющий заинтересованным специалистам переходить от теоретических описаний к практическим действиям. Так, международный стандарт ISO 27005:2008 служит отправной теоретической точкой, дальнейший практический путь от которой, несмотря на индивидуальный подход для каждой организации, может быть эффективно реализован с помощью как минимум двух методик.

Система управления рисками как часть корпоративного управления уже показывает свою эффективность в тех компаниях, в которых она начинает внедряться или уже внедрена. В связи с кризисным состоянием мировой экономики на данный момент можно предполагать распространение в будущем подобных систем и в госсекторе. Это возможно даже сегодня, так как уже существуют стандарты и другие документы по системе управления рисками, позволяющие внедрить данную систему качественно и в относительно короткие сроки. Принципиальным моментом является тот факт, что, помимо «общих» документов, существуют отраслевые стандарты управления рисками, в частности управления рисками IТ/ИБ. Однако, учитывая специфику российской экономики, многие организации больше рассчитывают на поддержку государства или так называемый административный ресурс, недостаточно уделяя внимания системе корпоративного управления и управления рисками в частности. Как следствие, в нашей стране возрастает предрасположенность к более крупным, чем в США, банкротствам. Вот только бездействие вряд ли будет способствовать разрешению проблемы.

Тема 3: Внешние и внутренние угрозы безопасности информации. Методы и процедуры их выявления

Вопросы:

1. Особенности современных информационных систем как объекта защиты информации.

2. Классификация угроз безопасности информации.

3. Характеристика основных угроз НСД и способов их реализации.

4. Характеристика основных классов атак, реализуемых в сетях общего пользования.

5. Методы оценки опасности угроз.

Литература:

  1. Будников С.А., Паршин Н.В. Информационная безопасность автоматизированных систем: Учебн. пособие – Воронеж, ЦПКС ТЗИ, 2009.

  2. Белов Е.Б. и др. Основы информационной безопасности: Учебное пособие. – М.: Горячая линия – Телеком, 2005.

  3. Запечников С.В. и др. Информационная безопасность открытых систем. Часть 1: Учебник для вузов. – М.: Горячая линия – Телеком, 2006.

  4. Малюк А.А. Информационная безопасность: концептуальные и методологические основы защиты информации: Учебное пособие для ВУЗов. – М.: Горячая линия – Телеком, 2004.

  5. Малюк А.А., Пазизин С.В., Погожин Н.С. Введение в защиту информации в автоматизированных системах: Учебное пособие для ВУЗов. – М.: Горячая линия – Телеком, 2004.

  6. Хорев А.А. Защита информации от утечки по техническим каналам. – Учебн. пособие. – М.: МО РФ, 2006.

  7. Закон Российской Федерации от 28.12.2010 № 390 «О безопасности».

  8. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

  9. Указ Президента Российской Федерации от 6 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера».

Интернет-ресурсы:

  1. Особенности современных информационных систем как объекта защиты информации

Одним из важнейших аспектов проблемы обеспечения безопасности компьютерных систем является определение, анализ и классификация возможных угроз безопасности ИС. Перечень значимых угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для проведения анализа рисков и формулирования требований к системе зашиты ИС.

Большинство современных ИС обработки информации, в общем случае, представляет собой территориально распределенные системы интенсивно взаимодействующие (синхронизирующиеся) между собой по данным (ресурсам) и управлению (событиям) — локальные вычислительные сети (ЛВС) и/или отдельные ЭВМ.

В распределенных ИС возможны все «традиционные» способы несанкционированного вмешательства в их работу и доступа к информации. Кроме того, для них характерны и новые специфические каналы проникновения в систему и несанкционированного доступа к информации, наличие которых объясняется целым рядом особенностей современных ИС.

Основными особенностями распределенных ИС являются:

  • территориальная разнесенность компонентов системы и наличие интенсивного обмена информацией между ними;

  • широкий спектр используемых способов представления, хранения и протоколов передачи информации;

  • интеграция данных различного назначения, принадлежащих различным субъектам, в рамках единых баз данных и, наоборот, размещение необходимых некоторым субъектам данных в различных удаленных узлах сети;

  • абстрагирование владельцев данных от физических структур и места размещения данных;

  • использование режимов распределенной обработки данных;

  • участие в процессе автоматизированной обработки информации большого количества пользователей и персонала различных категорий;

  • непосредственный и одновременный доступ к ресурсам (в том числе и информационным) большого числа пользователей (субъектов) различных категорий;

  • высокая степень разнородности используемых средств вычислительной техники и связи, а также их программного обеспечения;

  • отсутствие специальных средств защиты в большинстве типов технических средств, широко используемых в ИС.

В общем случае ИС состоят из следующих основных структурно-функциональных элементов:

  • рабочих станций — отдельных ЭВМ или терминалов сети, на которых реализуются автоматизированные рабочие места пользователей (абонентов, операторов);

  • серверов или host -машин (служб файлов, печати, баз данных и т.п.) не выделенных (или выделенных, то есть не совмещенных с рабочими станциями) высокопроизводительных ЭВМ, предназначенных для реализации функций хранения, печати данных, обслуживания рабочих станций сети и т.п. действий;

  • сетевых устройств (маршрутизаторов, коммутаторов, шлюзов, центров коммутации пакетов, коммуникационных ЭВМ) — элементов, обеспечивающих соединение нескольких сетей передачи данных, либо нескольких сегментов одной и той же сети, возможно имеющих различные протоколы взаимодействия;

  • каналов связи (локальных, телефонных, с узлами коммутации и т.д.).

Рабочие станции являются наиболее доступными компонентами сетей и именно с них могут быть предприняты наиболее многочисленные попытки совершения несанкционированных действий. С рабочих станций осуществляется управление процессами обработки информации, запуск программ, ввод и корректировка данных, на дисках рабочих станций могут размещаться важные данные и программы обработки. На видеомониторы и печатающие устройства рабочих станций выводится информация при работе пользователей (операторов), выполняющих различные функции и имеющих разные полномочия по доступу к данным и другим ресурсам системы. Именно на рабочих станциях осуществляется ввод имен и паролей пользователями. Поэтому рабочие станции должны быть надежно защищены от доступа посторонних лиц и должны содержать средства разграничения доступа к ресурсам со стороны законных пользователей, имеющих разные полномочия. Кроме того, средства защиты должны предотвращать нарушения нормальной настройки (конфигурации) рабочих станций и режимов их функционирования, вызванные неумышленным вмешательством неопытных (невнимательных) пользователей.

В особой защите нуждаются такие привлекательные для злоумышленников элементы сетей как серверы ( host — машины) и сетевые устройства. Первые — как концентраторы больших объемов информации, вторые — как элементы, в которых осуществляется преобразование (возможно через открытую, незашифрованную форму представления) данных при согласовании протоколов обмена в различных участках сети.

Благоприятным для повышения безопасности серверов и мостов обстоятельством является, как правило, наличие возможностей их надежной защиты физическими средствами и организационными мерами в силу их выделенности, позволяющей сократить до минимума число лиц из персонала, имеющих непосредственный доступ к ним. Иными словами, непосредственные случайные воздействия персонала и преднамеренные локальные воздействия злоумышленников на выделенные серверы и мосты можно считать маловероятными. В то же время, все более распространенными становятся массированные атаки на серверы и мосты (а равно и на рабочие станции) с использованием средств удаленного доступа. Здесь злоумышленники, прежде всего, могут искать возможности повлиять на работу различных подсистем рабочих станций, серверов и мостов, используя недостатки протоколов обмена и средств разграничения удаленного доступа к ресурсам и системным таблицам. Использоваться могут все возможности и средства, от стандартных (без модификации компонентов) до подключения специальных аппаратных средств (каналы, как правило, слабо защищены от подключения) и применения высококлассных программ для преодоления системы защиты.

Конечно, сказанное выше не означает, что не будет попыток внедрения аппаратных и программных закладок в сами мосты и серверы, открывающих широкие дополнительные возможности по несанкционированному удаленному доступу. Закладки могут быть внедрены как с удаленных станций (посредством вирусов или иным способом), так и непосредственно в аппаратуру и программы серверов при их ремонте, обслуживании, модернизации, переходе на новые версии программного обеспечения, смене оборудования.

Каналы и средства связи также нуждаются в защите. В силу большой пространственной протяженности линий связи (через неконтролируемую или слабо контролируемую территорию) практически всегда существует возможность подключения к ним, либо вмешательства в процесс передачи данных.