5.3.1 Алгоритм описания информационной системы

На данном шаге описываются цели создания информационной системы, ее границы, информационные ресурсы, требования в области ИБ и компонентов управления информационной системой и режимом ИБ.

Описание рекомендуется делать в соответствии со следующим планом:

• аппаратные средства ИС, их конфигурация;

• используемое ПО;

• интерфейсы системы, то есть внешние и внутренние связи с позиции информационной технологии;

• типы данных и информации;

• персонал, работающий в данной ИС (обязанности);

• миссия данной ИС (основные цели);

• критичные типы данных и информационные процессы;

• функциональные требования к ИС;

• категории пользователей системы и обслуживающего персонала;

• формальные требования в области ИБ, применимые к данной ИС (законодательство, ведомственные стандарты и т.д.);

• архитектура подсистемы ИБ;

• топология локальной сети;

• программно-технические средства обеспечения ИБ;

• входные и выходные потоки данных;

• система управления в данной ИС (должностные инструкции, система планирования в сфере обеспечения ИБ);

• существующая система управления в области ИБ (резервное копирование, процедуры реагирования на нештатные ситуации, инструкции по ИБ, контроль поддержания режима ИБ и т.д.);

• организация физической безопасности;

• управление и контроль внешней по отношению к ИС средой (климатическими параметрами, электропитанием, защитой от затоплений, агрессивной среды и т.д.).

Для системы, находящейся в стадии проектирования, и для уже существующей системы характер описания и степень подробности ответов будут разными. В первом случае (стадия проектирования) достаточно указать общие требования в области ИБ.

Технология описания системы

Для получения информации по перечисленным пунктам на практике рекомендуется использовать:

• разнообразные вопросники (check-листы), которые могут быть адресованы к различным группам управленческого и обслуживающего персонала;

• интервью аналитиков (внешних), которые проводят неформальные беседы с персоналом и затем готовят формализованное описание;

• анализ формальных документов и документации предприятия;

• специализированный инструментарий (ПО). Существует разнообразное ПО, благодаря которому удается частично автоматизировать процесс описания. К нему относятся разнообразные сканеры, дающие возможность составить схему информационной системы, программы для структурированного описания информационных систем, позволяющие создать необходимые отчетные формы (описываются в главе 4).

5.3.2 Идентификация угроз и уязвимостей

На данном шаге идентифицируются угрозы. Основные применяющиеся при этом понятия:

• источник угрозы - событие либо ситуация и способ, который может привести к реализации угрозы (в результате использования потенциальной уязвимости);

• угроза - потенциал (или мера) возможности реализации источника угрозы;

• уязвимость - слабость в защите.

Одним из способов идентификации угроз является построение модели нарушителя (см. табл. 5.3).

Таблица 5.3. Пример модели нарушителя

Источник угрозы	Мотивация	Результат реализации угрозы (сценарий)
Хакер	Хулиганство, самоутверждение	Неавторизованный доступ к ИС с использованием известных уязвимостей ОС (описание сценария)
Криминальные структуры	Получение финансовой информации	Проникновение в ИС с целью получить конфиденциальные данные (описание сценария)

При составлении перечня угроз и оценке их уровня обращаются к спискам классов угроз различных организаций и информации об их рейтингах либо к средним значениям вероятности реализации данной угрозы. Подобные списки составляются и поддерживаются в актуальном состоянии несколькими организациями: The Federal Computer Incident Response Center (FedCIRC), Federal Bureau of Investigation's National Infrastructure Protection Center, SecurityFocus и др.

Идентификация уязвимостей

В результате выполнения данного шага составляется список потенциальных уязвимостей И С и возможные результаты их реализации. Одним из способов является представление в виде таблицы (см. табл. 5.4).

Таблица 5.4. Идентификация уязвимостей

Уязвимости	Источник угрозы	Результат реализации угрозы (сценарий)
МЭ допускает доступ из публичной сети к серверу А по протоколу Telnet, в том числе в гостевом режиме (ID= guest)	Неавторизованные пользователи извне	При использовании уязвимости протокола возможен доступ к файловой системе сервера А (описание сценария)
Учетные записи сотрудников, покидающих компанию, удаляются из ИС системы с запаздыванием в 1-2 дня	Внутренние нарушители, возможно в сговоре с увольняющимися сотрудниками	Незаконные финансовые операции (описание сценария)

Для существующей ИС при составлении списков прибегают к ряду источников: сетевые сканеры уязвимостей, каталоги уязвимостей разных организаций (например, база данных по уязвимостям института стандартов США (NIST)), специализированные методы анализа рисков. При оценке уровня уязвимости принимаются во внимание существующие процедуры и методы обеспечения режима информационной безопасности, данные внутреннего аудита и результаты анализа имевших место инцидентов.

Если ИС находится в стадии проектирования, учитываются планируемые процедуры обеспечения ИБ, статистика по уязвимостям, данные производителей средств защиты информации.