Федеральная служба по техническому и экспортному контролю (фстэк россии)
 Скачать 0.57 Mb.
|
|
а) оценка вероятности (возможности) реализации угрозы безопасности информации Под вероятностью реализации угрозы безопасности информации понима- ется определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в инфор- мационной системе с заданными структурно-функциональными характеристи- ками и особенностями функционирования. Вводятся три вербальные градации этого показателя: низкая вероятность – отсутствуют объективные предпосылки к реализации j-ой угрозы безопасности информации, отсутствует требуемая статистика по фактам реализации j-ой угрозы безопасности информации (возникновения инци- дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз- можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет; средняя вероятность – существуют предпосылки к реализации j-ой угрозы безопасности информации, зафиксированы случаи реализации j-ой угрозы без- опасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на возможность реализации j-ой угрозы без- опасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре- вышает 1 раза в год; высокая вероятность – существуют объективные предпосылки к реализа- ции j-ой угрозы безопасности информации, существует достоверная статистика реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на высокую возмож- ность реализации j-ой угрозы безопасности информации, у нарушителя имеются 22 мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра- за в год. В случае отсутствия требуемых данных для оценки вероятности реализа- ции угрозы безопасности информации или наличия сомнений в объективности экспертных оценок при определении вербальных градаций вероятности реализа- ции угроз безопасности информации, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Y j ). Возможность реализации j-ой угрозы безопасности информации (Y j ) оце- нивается исходя из уровня защищенности информационной системы (Y 1 ) и по- тенциала нарушителя (Y 2 ), необходимого для реализации этой угрозы безопас- ности информации в информационной системе с заданными структурно- функциональными характеристиками и особенностями функционирования: Y j = [уровень защищенности (Y 1 ); потенциал нарушителя (Y 2 )]. При определении угроз безопасности информации на этапе создания ин- формационной системы в случае, когда меры защиты информации не реализова- ны или не проведена оценка их достаточности и эффективности, оценка возмож- ности реализации j-ой угрозы безопасности информации (Y j ) проводится относи- тельно уровня проектной защищенности информационной системы (Y 1П ): Y j = [уровень проектной защищенности (Y 1П ); потенциал нарушителя (Y 2 )]. Под уровнем проектной защищенности (Y 1П ) понимается исходная защи- щенность информационной системы, обусловленная заданными при проектиро- вании структурно-функциональными характеристиками и условиями ее функци- онирования. Уровень проектной защищенности (Y 1П ) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 3. Показатели, характеризующие проектную защищенность информационной системы Таблица 3 Структурно-функциональные характе- ристики информационной системы, условия ее эксплуатации Уровень проектной защищенности ин- формационной системы (Y 1П ) Высокий Средний Низкий 1. По структуре информационной си- стемы: автономное автоматизированное рабо- чее место; локальная информационная система; распределенная информационная си- стема + + + 2. По используемым информационным технологиям: 23 системы на основе виртуализации; системы, реализующие «облачные вычисления»; системы с мобильными устройства- ми; системы с технологиями беспровод- ного доступа; грид-системы; суперкомпьютерные системы + + + + + + 3. По архитектуре информационной системы: системы на основе «тонкого клиен- та»; системы на основе одноранговой се- ти; файл-серверные системы; центры обработки данных; системы с удаленным доступом пользователей; использование разных типов опера- ционных систем (гетерогенность сре- ды); использование прикладных про- грамм, независимых от операционных систем; использование выделенных каналов связи + + + + + + + + 4. По наличию (отсутствию) взаимо- связей с иными информационными си- стемами: взаимодействующая с системами; невзаимодействующая с системами + + 5. По наличию (отсутствию) взаимо- связей (подключений) к сетям связи общего пользования: подключенная; подключенная через выделенную инфраструктуру (gov.ru или иную); неподключенной + + + 6. По размещению технических средств: расположенные в пределах одной контролируемой зоны; расположенные в пределах несколь- ких контролируемых зон; + + 24 расположенные вне контролируемой зоны + 7. По режимам обработки информации в информационной системе: многопользовательский; однопользовательский + + 8. По режимам разграничения прав до- ступа: без разграничения; с разграничением + + 9. По режимам разделения функций по управлению информационной системой: без разделения; выделение рабочих мест для адми- нистрирования в отдельный домен; использование различных сетевых адресов; использование выделенных каналов для администрирования + + + + 10. По подходам к сегментированию информационной системы: без сегментирования; с сегментированием + + В ходе создания информационной системы уровень ее проектной защи- щенности (Y 1П ) определяется следующим образом: а) информационная система имеет высокий уровень проектной защищен- ности (Y 1П ), если не менее 80% характеристик информационной системы соот- ветствуют уровню «высокий» (суммируются положительные решения по второ- му столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по третьему столб- цу); б) информационная система имеет средний уровень проектной защищен- ности (Y 1П ), если не выполняются условия по пункту а) и не менее 90% характе- ристик информационной системы соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по третьему столбцу, соот- ветствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности; в) информационная система имеет низкий уровень проектной защищенно- сти (Y 1П ), если не выполняются условия по пунктам а) и б). В соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных си- стемах, до ввода в эксплуатацию информационной системы должны быть реали- зованы меры защиты информации, направленные на блокирование (нейтрализа- 25 цию) актуальных угроз безопасности информации. Таким образом, ввод в экс- плуатацию информационной системы осуществляется при условии достижения высокого уровня исходной защищенности информационной системы от нару- шителя с заданным потенциалом. Вместе с тем, в ходе эксплуатации информационной системы возможно появление новых уязвимостей, повышение потенциала нарушителя, изменение структурно-функциональных характеристик, значимости обрабатываемой ин- формации, особенностей функционирования информационной системы и других условий, приводящих к возникновению новых угроз безопасности информации, которые могут существенно снизить уровень проектной защищенности инфор- мационной системы. В этом случае для поддержания уровня защищенности ин- формационной системы в ходе эксплуатации должен проводиться регулярный анализ изменения угроз безопасности информации, а актуальные угрозы без- опасности информации подлежат периодической переоценке. В ходе эксплуатации информационной системы уровень ее защищенности (Y 1 ) определяется следующим образом: а) в информационной системе обеспечивается высокий уровень защищен- ности (Y 1 ), если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появив- шихся дополнительных угроз безопасности информации с высокой оперативно- стью («за минуты») могут быть приняты меры защиты информации, нейтрали- зующие эти угрозы; б) в информационной системе обеспечивается средний уровень защищен- ности (Y 1 ), если в ходе эксплуатации информационной системы появились до- полнительные угрозы безопасности информации и в отношении них оперативно («за часы») могут быть приняты меры защиты информации, нейтрализующие эти угрозы; в) в информационной системе обеспечивается низкий уровень защищен- ности (Y 1 ), если в ходе эксплуатации информационной системы появились до- полнительные угрозы безопасности информации и в отношении них не могут быть с высокой оперативностью или оперативно приняты меры защиты инфор- мации, нейтрализующие эти угрозы. Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас- ности информации, может быть базовым (низким), базовым повышенным (сред- ним) или высоким. Значение потенциала нарушителя (Y 2 ) для j-ой угрозы без- опасности информации определяется на основе данных, приведенных в банке данных угроз безопасности информации ФСТЭК России, а также в базовых и типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК России для информационных систем различных классов и типов. В случае отсут- ствия информации о потенциале нарушителя для реализации j-ой угрозы без- опасности значение потенциала (Y 2 ) определяется в соответствии с приложением № 3 к настоящей Методике. Возможность реализации j-ой угрозы безопасности информации (Y j ) в за- висимости от уровня защищенности информационной системы (Y 1 /Y 1П ) и потен- 26 циала нарушителя (Y 2 ) определяется как высокая, средняя или низкая в соответ- ствии с таблицей 4. Возможность реализации угрозы безопасности информации Таблица 4 Уровень защищенности (Y 1 /Y 1П ) Потенциал нарушителя (Y 2 ) Высокий Средний Низкий Базовый (низкий) Низкая Средняя Высокая Базовый повышенный (средний) Средняя Высокая Высокая Высокий Высокая Высокая Высокая б) оценка степени возможного ущерба от реализации угрозы безопас- ности информации Для оценки степени возможного ущерба от реализации угрозы безопасно- сти информации определяются возможный результат реализации угрозы без- опасности информации в информационной системе, вид ущерба, к которому мо- жет привести реализация угрозы безопасности информации, степень послед- ствий от реализации угрозы безопасности информации для каждого вида ущер- ба. В качестве результата реализации угрозы безопасности информации рас- сматриваются непосредственное или опосредованное воздействие на конфиден- циальность, целостность, доступность информации, содержащейся в информа- ционной системе. Непосредственное воздействие на конфиденциальность, целостность, до- ступность информации возможно в результате реализации прямой угрозы без- опасности информации. В этом случае объектами воздействия угрозы являются непосредственно информация и (или) иные объекты защиты информационной системы или обеспечивающей инфраструктуры, которые обеспечивают получе- ние, обработку, хранение, передачу, уничтожение информации в информацион- ной системе, в результате доступа к которым или воздействия на которые воз- можно воздействие на конфиденциальность, целостность или доступность ин- формации. Опосредованное воздействие на конфиденциальность, целостность, до- ступность информации рассматривается в результате реализации косвенных угроз безопасности информации. Реализация косвенных угроз безопасности ин- формации не приводит непосредственно к воздействию на конфиденциальность, целостность, доступность информации, но создает условия для реализации од- ной или нескольких прямых угроз безопасности информации, позволяющих реа- лизовать такое воздействие. В этом случае в качестве результата реализации косвенной угрозы необходимо рассматривать результаты реализации всех пря- 27 мых угроз безопасности информации, которые возможно реализовать в случае реализации данной косвенной угрозы. Результат реализации угрозы безопасности информации определяется воз- действием угрозы на каждое свойство безопасности информации (конфиденци- альность, целостность, доступность) в отдельности в соответствии с таблицей 5. При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна, иные установленные законодательством Российской Федерации виды информации) воздействие на конфиденциальность, целостность, доступность определяется отдельно для каж- дого вида информации (k, …, m), содержащейся в информационной системе. Таблица 5 Свойство безопасности информации Результат реализации угрозы безопасности информации Не оказывает воздействия Оказывает воздействие Конфиденциаль- ность К k X 1 В результате реализации угрозы безопасности инфор- мации отсутствует возмож- ность неправомерного досту- па, копирования, предостав- ления или распространения информации В результате реализации угрозы безопасности ин- формации возможны не- правомерный доступ, ко- пирование, предоставле- ние или распространение информации Целостность Ц k X 1 В результате реализации угрозы безопасности инфор- мации отсутствует возмож- ность уничтожения или мо- дифицирования информации В результате реализации угрозы безопасности ин- формации возможно уни- чтожение или модифици- рование информации Доступность Д k X 1 В результате реализации угрозы безопасности инфор- мации отсутствует возмож- ность блокирования инфор- мации В результате реализации угрозы безопасности ин- формации возможно бло- кирование информации При определении степени возможного ущерба необходимо исходить из то- го, что в зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, це- лостность или доступность каждого вида информации, содержащейся в инфор- мационной системе, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба. Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности ин- формации, приведены в таблице 6. 28 Таблица 6 Вид ущерба Возможные негативнее последствия от нарушения конфиденциальности, целост- ности, доступности информации Экономический (финансовый) Снижение, как минимум, одного экономического показа- теля. Потеря (кража) финансовых средств. Недополучение ожидаемой (прогнозируемой) прибыли. Необходимость дополнительных (незапланированных) затрат на выплаты штрафов (неустоек) или компенсаций. Необходимость дополнительных (незапланированных) затрат на закупку товаров, работ или услуг (в том числе закупка программного обеспечения, технических средств, вышедших из строя, замена, настройка, ремонт указанных средств). Необходимость дополнительных (незапланированных) затрат на восстановление деятельности. Потеря клиентов, поставщиков. Потеря конкурентного преимущества. Невозможность заключения договоров, соглашений. Другие прямые или косвенные финансовые потери Социальный Создание предпосылок для нанесения вреда здоровью граждан. Возможность нарушения функционирования объектов обеспечения жизнедеятельности граждан. Организация пикетов, забастовок, митингов и других ак- ций. Увольнения. Увеличение количества жалоб в органы государственной власти или органы местного самоуправления. Появление негативных публикаций в общедоступных ис- точниках. Невозможность (прерывание) предоставления социаль- ных услуг (сервисов). Другие последствия, приводящие к нарастанию социаль- ной напряженности в обществе Политический Создание предпосылок к обострению отношений в меж- дународных отношениях. Срыв двусторонних (многосторонних) контактов с зару- бежными партнерами. Неспособность выполнения международных (двусторон- них) договорных обязательств. 29 Невозможность заключения международных (двусторон- них) договоров, соглашений. Создание предпосылок к внутриполитическому кризису. Нарушение выборного процесса. Другие последствия во внутриполитической и внешнепо- литической областях деятельности Репутационный Нарушение законодательных и подзаконных актов. Нарушение деловой репутации. Снижение престижа. Дискредитация работников. Утрата доверия. Неспособность выполнения договорных обязательств. Другие последствия, приводящие к нарушению репута- ции Ущерб в области обороны, безопас- ности и правопо- рядка Создание предпосылок к наступлению негативных по- следствий для обороны, безопасности и правопорядка. Нарушение общественного правопорядка. Неблагоприятное влияние на обеспечение общественного правопорядка. Возможность потери или снижения уровня контроля за общественным правопорядком. Отсутствие возможности оперативного оповещения населения о чрезвычайной ситуации. Другие последствия, приводящие к ущербу в области обороны, безопасности и правопорядка Ущерб субъекту персональных дан- ных Создание угрозы личной безопасности. Финансовые или иные материальные потери физического лица. Вторжение в частную жизнь. Создание угрозы здоровью. Моральный вред. Утрата репутации. Другие последствия, приводящие к нарушению прав субъекта персональных данных Технологический Невозможность решения задач (реализации функций) или снижение эффективности решения задач (реализации функций). Необходимость изменения (перестроения) внутренних процедур для достижения целей, решения задач (реализа- ции функций). Принятие неправильных решений. Простой информационной системы или сегмента инфор- мационной системы Другие последствия, приводящие к нарушению техноло- гии обработки информации 30 Указанные виды ущерба могут дополняться другими видами в зависимо- сти от целей и задач, решаемых информационной системой, а также вида обра- батываемой в ней информации. Степень возможного ущерба от реализации угрозы безопасности инфор- мации определяется степенью негативных последствий от нарушения конфиден- циальности, целостности или доступности каждого вида информации, содержа- щейся в информационной системе. Степень негативных последствий от нарушения конфиденциальности, це- лостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значе- ния «незначительные», «умеренные» и «существенные» негативные послед- ствия. Каждым оператором определяется в указанной единой шкале измерений степень негативных последствий от нарушения конфиденциальности, целостно- сти или доступности информации применительно ко всем целям и задачам, ре- шаемым информационной системой. Степень возможного ущерба определяется экспертным методом в соответ- ствии с таблицей 7. Таблица 7 Степень ущерба Характеристика степени ущерба Высокая В результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступно- сти) возможны существенные негативные последствия. Информационная система и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции Средняя В результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступно- сти) возможны умеренные негативные последствия. Информационная система и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложен- ных на них функций Низкая В результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступно- сти) возможны незначительные негативные последствия. Информационная система и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств 31 При обработке в информационной системе двух и более видов информа- ции (служебная тайна, персональные данные, налоговая тайна и иные установ- ленные законодательством Российской Федерации виды информации) степень возможного ущерба определяется отдельно для каждого вида информации (k, …, m), обрабатываемой в информационной системе, применительно к каждо- му виду ущерба. Итоговая степень возможного ущерба устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфи- денциальности, целостности, доступности информации каждого вида информа- ции применительно к каждому виду ущерба. , , ); ( max Д Ц К i Х X i k i k в) |