- •Описание систем и сетей и их характеристика как объектов защиты
- •Возможные негативные последствия от реализации (возникновения) угроз безопасности информации
- •Возможные объекты воздействия угроз безопасности информации
- •Источники угроз безопасности информации
- •Способы реализации (возникновения) угроз безопасности информации
- •Актуальные угрозы безопасности информации
- •Описание базового объекта
- •Ранжирование угроз иб
- •Ранжирование групп источников угроз иб
- •Ранжирование источников угроз иб
- •Ранжирование групп методов реализации угроз иб
- •Расчет коэффициентов корреляции
Ранжирование групп методов реализации угроз иб
gm |
Код |
Группа методов реализации угроз ИБ |
Кgm |
(Кgm)N |
1 |
[M1.А.0] |
Активные аналитические методы |
0,33 |
0,07 |
2 |
[M1.В.0] |
Пассивные аналитические методы |
0,33 |
0,07 |
3 |
[M2.А.0] |
Активные технические методы |
0,76 |
0,15 |
4 |
[M2.В.0] |
Пассивные технические методы |
0,19 |
0,04 |
5 |
[M3.A.0] |
Активные программно-аппаратные методы |
1,00 |
0,20 |
6 |
[M3.B.0] |
Пассивные программно-аппаратные методы |
0,33 |
0,07 |
7 |
[M4.A.0] |
Активные социальные методы |
0,92 |
0,18 |
8 |
[M5.A.0] |
Активные организационные методы |
0,72 |
0,13 |
9 |
[M6.0.0] |
Предпосылки реализации угроз |
0,43 |
0,09 |
Расчет коэффициентов корреляции
Результаты расчета с указанием промежуточных результатов, проведенного в соответствии с методическими рекомендациями сведены в таблицу.
Коэффициенты корреляции и промежуточные результаты расчетов |
|||||
gu |
Код |
Группа методов реализации угроз ИБ |
Кgu |
(Кgu)N |
(Кgu)N |
1 |
[A.I.0.0] |
Сопутствующие излучения |
0,19 |
0,18 |
0,75 |
2 |
[A.II.0.0] |
Активизируемые |
0,52 |
0,22 |
0,90 |
3 |
[A.III.0.0] |
Особенности элементов |
0,22 |
0,23 |
0,96 |
4 |
[A.IV.0.0] |
Особенности объекта |
0,85 |
0,21 |
0,85 |
5 |
[B.I.0.0] |
Ошибки (халатность) |
0,44 |
0,23 |
0,96 |
6 |
[B.II.0.0] |
Нарушения |
0,85 |
0,21 |
0,88 |
7 |
[B.III.0.0] |
Психогенные |
0,44 |
0,20 |
0,90 |
8 |
[C.I.0.0] |
Сбои и отказы |
0,36 |
0,24 |
1,00 |
9 |
[C.II.0.0] |
Косвенные причины |
0,59 |
0,23 |
0,96 |
Ориентировочная оценка степени опасности уязвимостей |
|||||||
Код |
Уязвимости |
(k1)f |
(k2)f |
(k3)f |
(Kоп)f |
||
[А.I.0.0] |
сопутствующие техническим средствам излучения |
(Kgu)N = 0,75 |
|||||
[A.I.a.1] |
побочные излучения элементов технических средств |
4 |
3 |
4 |
0,288 |
||
[A.I.a.2] |
излучения кабельных линий технических средств |
2 |
2 |
2 |
0,048 |
||
[A.I.a.3] |
излучения на частотах работы генераторов |
2 |
2 |
2 |
0,048 |
||
[A.I.a.4] |
излучения на частотах самовозбуждения усилителей |
2 |
2 |
2 |
0,048 |
||
[A.I.b.1] |
наводки электромагнитных излучений на линии и проводники |
2 |
2 |
2 |
0,048 |
||
[A.I.b.2] |
просачивание сигналов в цепи электропитания, в цепи заземления |
3 |
3 |
3 |
0,162 |
||
[A.I.b.3] |
неравномерность потребления тока электропитания |
4 |
3 |
4 |
0,288 |
||
[A.I.c.1] |
акустические излучения |
1 |
1 |
1 |
0,006 |
||
[A.I.c.2] |
виброакустические излучения |
1 |
1 |
1 |
0,006 |
||
[A.II.0.0] |
активизируемые |
(Kgu)N = 0,90 |
|||||
[A.II.a.1] |
аппаратные закладки устанавливаемые в телефонные линии |
1 |
1 |
1 |
0,0072 |
||
[A.II.a.2] |
аппаратные закладки устанавливаемые в сети электропитания |
4 |
2 |
5 |
0,288 |
||
[A.II.a.3] |
аппаратные закладки устанавливаемые в помещениях |
1 |
1 |
1 |
0,0072 |
||
[A.II.a.4] |
аппаратные закладки устанавливаемые в технических средствах |
1 |
1 |
1 |
0,0072 |
||
[A.II.b.1] |
вредоносные программы |
5 |
5 |
5 |
0,9 |
||
[A.II.b.2] |
технологические выходы из программ |
3 |
4 |
3 |
0,2592 |
||
[A.II.b.3] |
нелегальные копии ПО |
5 |
5 |
5 |
0,9 |
||
[A.III.0.0] |
определяемые особенностями элементов |
(Kgu)N = 0,96 |
|||||
[A.III.a.1] |
обладающие электроакустическими преобразованиями ТА |
1 |
1 |
1 |
0,00768 |
||
[A.III.a.2] |
обладающие электроакустическими преобразованиями громкоговорители |
1 |
1 |
1 |
0,00768 |
||
[A.III.a.3] |
обладающие электроакустическими преобразованиями индуктивности |
1 |
1 |
1 |
0,00768 |
||
[A.III.a.4] |
обладающие электроакустическими преобразованиями дроссели |
1 |
1 |
1 |
0,00768 |
||
[A.III.a.5] |
обладающие электроакустическими преобразованиями трансформаторы |
1 |
1 |
1 |
0,00768 |
||
[A.III.b.1] |
подверженные воздействию электромагнитного поля магнитные носители |
1 |
1 |
1 |
0,00768 |
||
[A.III.b.2] |
подверженные воздействию электромагнитного поля микросхемы |
1 |
1 |
1 |
0,00768 |
||
[A.III.b.3] |
нелинейные элементы, подверженные ВЧ навязыванию |
1 |
1 |
1 |
0,00768 |
||
[A.IV.0.0] |
определяемые особенностями защищаемого объекта |
(Kgu)N = 0,85 |
|||||
[A.IV.a.1] |
отсутствие контролируемой зоны |
3 |
4 |
3 |
0,2448 |
||
[A.IV.a.2] |
наличие прямой видимости объектов |
4 |
3 |
3 |
0,2448 |
||
[A.IV.a.3] |
наличие удаленных и мобильных элементов объекта |
2 |
2 |
2 |
0,0544 |
||
[A.IV.a.4] |
наличие вибрирующих отражающих поверхностей |
1 |
1 |
1 |
0,0068 |
||
[A.IV.b.1] |
использование радиоканалов |
1 |
1 |
1 |
0,0068 |
||
[A.IV.b.2] |
использование глобальных информационных сетей |
5 |
5 |
5 |
0,85 |
||
[A.IV.b.3] |
использование арендуемых каналов |
1 |
1 |
1 |
0,0068 |
||
[B.I.0.0] |
ошибки (халатность) |
(Kgu)N = 0,96 |
|||||
[B.I.a.1] |
ошибки при разработке алгоритмов и программного обеспечения |
1 |
1 |
1 |
0,00768 |
||
[B.I.a.2] |
ошибки при инсталляции и загрузке программного обеспечения |
4 |
3 |
3 |
0,27648 |
||
[B.I.a.3] |
ошибки при эксплуатации программного обеспечения |
3 |
2 |
2 |
0,09216 |
||
[B.I.a.4] |
ошибки при вводе данных (информации) |
2 |
2 |
2 |
0,06144 |
||
[B.I.а.5] |
ошибки при настройке сервисов универсальных систем |
2 |
2 |
2 |
0,06144 |
||
[B.I.а.6] |
ошибки самообучающейся сложной системы систем |
1 |
1 |
1 |
0,00768 |
||
[B.I.b.1] |
ошибки при включении/выключении технических средств |
2 |
2 |
2 |
0,06144 |
||
[B.I.b.2] |
ошибки при использовании технических средств охраны |
1 |
1 |
1 |
0,00768 |
||
[B.I.b.3] |
ошибки при использовании средств обмена информацией |
3 |
2 |
3 |
0,13824 |
||
[B.I.c.1] |
ошибки при конфигурировании и управлении сложной системы |
2 |
3 |
2 |
0,09216 |
||
[B.I.c.2] |
ошибки при настройке программного обеспечения |
3 |
4 |
3 |
0,27648 |
||
[B.I.c.3] |
ошибки при организации управления потоками обмена информации |
2 |
2 |
2 |
0,06144 |
||
[B.I.c.4] |
ошибки при настройке технических средств |
2 |
2 |
2 |
0,06144 |
||
[B.I.c.5] |
ошибки при настройке штатных средств защиты ПО |
1 |
1 |
1 |
0,00768 |
||
[B.I.d.1] |
повреждение (удаление) программного обеспечения |
2 |
3 |
3 |
0,13824 |
||
[B.I.d.2] |
повреждение (удаление) данных |
5 |
3 |
5 |
0,576 |
||
[B.I.d.3] |
повреждение (уничтожение) носителей информации |
5 |
4 |
5 |
0,768 |
||
[B.I.d.4] |
повреждение каналов связи |
1 |
1 |
1 |
0,00768 |
||
[B.II.0.0] |
нарушения |
(Kgu)N = 0,88 |
|||||
[B.II.a.1] |
нарушения доступа на объект |
2 |
2 |
2 |
0,05632 |
||
[B.II.a.2] |
нарушения доступа к техническим средствам |
1 |
1 |
1 |
0,00704 |
||
[B.II.a.3] |
нарушения соблюдения конфиденциальности |
1 |
1 |
1 |
0,00704 |
||
[B.II.b.1] |
нарушения энергообеспечения |
2 |
1 |
1 |
0,01408 |
||
[B.II.b.2] |
нарушения жизнеобеспечения |
1 |
1 |
1 |
0,00704 |
||
[B.II.b.3] |
установка нештатного оборудования |
3 |
2 |
3 |
0,12672 |
||
[B.II.b.4] |
инсталляция нештатного ПО (игрового, обучающего и др.) |
1 |
1 |
1 |
0,00704 |
||
[B.II.c.1] |
нарушения режима обработки и обмена информацией |
3 |
4 |
3 |
0,25344 |
||
[B.II.c.2] |
нарушения режима хранения и уничтожения носителей информации |
2 |
3 |
3 |
0,12672 |
||
[B.II.c.3] |
нарушения режима уничтожения производственных отходов и брака |
1 |
1 |
1 |
0,00704 |
||
[B.III.0.0] |
психогенные |
(Kgu)N = 0,90 |
|||||
[B.III.a.1] |
антагонистические отношения (зависть, озлобленность, обида) |
1 |
1 |
1 |
0,0072 |
||
[B.III.a.3] |
неудовлетворенность своим положением |
1 |
1 |
1 |
0,0072 |
||
[B.III.a.4] |
неудовлетворенность действиями руководства |
1 |
2 |
2 |
0,0288 |
||
[B.III.a.5] |
психологическая несовместимость |
1 |
2 |
1 |
0,0144 |
||
[B.III.b.1] |
психические отклонения |
2 |
1 |
1 |
0,0144 |
||
[B.III.b.2] |
стрессовые ситуации |
2 |
2 |
2 |
0,0576 |
||
[C.I.0.0] |
сбои и отказы |
(Kgu)N = 1,00 |
|||||
[C.I.a.1] |
отказы ТС обрабатывающих информацию |
2 |
2 |
2 |
0,064 |
||
[C.I.a.2] |
отказы ТС обеспечивающих работоспособность средств обработки |
1 |
1 |
1 |
0,008 |
||
[C.I.a.3] |
отказы ТС обеспечивающих охрану и контроль доступа |
3 |
2 |
3 |
0,144 |
||
[C.I.b.1] |
старение и размагничивание дискет и съемных носителей |
1 |
1 |
1 |
0,008 |
||
[C.I.b.2] |
старение и размагничивание жестких дисков |
1 |
1 |
1 |
0,008 |
||
[C.I.b.3] |
старение элементов микросхем |
2 |
2 |
1 |
0,032 |
||
[C.I.b.4] |
старение кабелей и соединительных линий |
1 |
1 |
1 |
0,008 |
||
[C.I.c.1] |
сбои операционных систем и СУБД |
1 |
1 |
1 |
0,008 |
||
[C.I.c.2] |
сбои прикладных программ |
1 |
2 |
1 |
0,016 |
||
[C.I.c.3] |
сбои сервисных программ |
2 |
3 |
3 |
0,144 |
||
[C.I.c.4] |
сбои антивирусных программ |
4 |
3 |
3 |
0,288 |
||
[C.I.d.1] |
сбои электропитания оборудования, обрабатывающего информацию |
2 |
2 |
3 |
0,096 |
||
[C.I.d.2] |
сбои электропитания обеспечивающего и вспомогательного оборудования |
1 |
1 |
1 |
0,008 |
||
[C.II.0.0] |
косвенные причины |
(Kgu)N = 0,96 |
|||||
[C.II.a.1] |
критично близкое расположение техногенных сооружений |
1 |
1 |
1 |
0,00768 |
||
[C.II.a.2] |
географическое положение объекта и климатические условия |
5 |
4 |
3 |
0,4608 |
||
[C.II.a.3] |
гидрологическая и сейсмологическая обстановка |
1 |
1 |
1 |
0,00768 |
||
[C.II.b.1] |
физический износ оборудования и сооружений |
5 |
4 |
5 |
0,768 |
||
[C.II.b.2] |
малое время наработки на отказ оборудования и ПО |
1 |
1 |
1 |
0,00768 |
||
[C.II.b.3] |
повреждения жизнеобеспечивающих коммуникаций |
1 |
1 |
1 |
0,00768 |
||
[C.II.c.1] |
физическое состояние субъекта |
3 |
2 |
1 |
0,04608 |
||
[C.II.c.2] |
психосоматическое состояние субъекта |
1 |
1 |
1 |
0,00768 |
Уязвимости c коэффициентом опасности ниже порогового значения f = 0,2 в дальнейшем при рассмотрении базового варианта могут не рассматриваться как маловероятные.
Код |
Модель угроз |
[A.I.a.1] |
Прослушка информации |
[A.II.b.1] |
Взлом компьютеров и использование их дистанционно |
[B.I.d.2] |
Утеря данных |
Представленные мероприятия по обеспечению безопасности можно реализовать с помощью следующих комплексов мер:
комплекс мер по внедрению политики безопасности;
комплекс мер по развитию инфраструктуры управления ИБ;
комплекс мер по внедрению средств защиты.
Данные комплексы предполагают устранение одних и тех же угроз, следовательно, необходим анализ каждого комплекса для выявления наиболее выгодного для реализации комплекса. Эти данные были обработаны в ходе лабораторной работы № 3 и был сделан вывод о том, что наиболее выгодным является комплекс мер по внедрению средств защиты.
Рисунок 1 – Комплекс мер
Как видно из графика комплекс мер по внедрению средств защиты имеет самую минимальную стоимость.
Для доказательства эффективности выбранного комплекса мер рассмотрим уровень остаточного риска из лабораторной работы № 5.
Рисунок 2 – Сравнение оценок остаточного риска
ВЫВОДЫ
Из полученного можно сделать вывод о том, что после принятия мер риски уменьшились. Оценка остаточного риска менее 20% от первичных рисков. Тогда мы получаем, что комплекс мер самый выгодный и эффективный.