Разработка системы менеджмента инцидентов информационной безопасности для хозяйствующего субъекта в области информационных техно. Курсовой проект_ИБ. Курсовой проект по дисциплине Системы информационной безопасности

• Название: Курсовой проект по дисциплине Системы информационной безопасности
• Анкор: Разработка системы менеджмента инцидентов информационной безопасности для хозяйствующего субъекта в области информационных техно
• Дата: 11.11.2022
• Размер: 227.47 Kb.
• Имя файла: Курсовой проект_ИБ.docx
• Тип: Курсовой проект; #783099
• страница: 6 из 33

РАЗДЕЛ IV. АНАЛИЗ РИСКОВ

Выполним анализ рисков информационной системы предприятия на основе модели угроз и уязвимостей [3]. Для того чтобы оценить риск информации, необходимо проанализировать все угрозы, действующие на информационную систему, и уязвимости, через которые возможна реализация угроз.

Исходя из введенных владельцем информационной системы данных, можно построить модель угроз и уязвимостей, актуальных для информационной системы компании. На основе полученной модели будет проведен анализ вероятности реализации угроз информационной безопасности на каждый актив и, исходя из этого, рассчитаны риски.

Инвентаризация и определение критичности активов (через их категорирование) выполнены в предыдущем разделе. Далее, в соответствие с выбранной методикой, необходимо определить угрозы активам и уязвимости, через которые они могут быть реализованы.

4.1 Описание угроз и уязвимостей информационной системы

Проанализируем угрозы, действующие на информационную систему, и уязвимости, через которые возможна реализация угроз. Возьмем следующие актуальные для рассматриваемой ИС угрозы:

1. 
   Неисправности в системе электроснабжения.
   
2. 
   Аппаратные отказы.
   
3. 
   Несанкционированное использование носителей данных.
   
4. 
   Ухудшение состояния носителей данных.
   
5. 
   Программные сбои.
   
6. 
   Использование программного обеспечения несанкционированными пользователями.
   
7. 
   Нелегальное проникновение злоумышленников под видом санкционированных пользователей.
   
8. 
   Вредоносное программное обеспечение.
   
9. 
   Незаконный импорт/экспорт программного обеспечения.
   
10. 
    Ошибка персонала.
    
11. 
    Доступ несанкционированных пользователей к сети.
    
12. 
    Перехват информации.
    
13. 
    Несанкционированное проникновение к средствам связи.
    
14. 
    Несанкционированный доступ из сетей общего пользования.
    

Будем считать, что все эти угрозы могут реализовываться через какие-либо уязвимости. Возможные уязвимости, через которые могут реализоваться угрозы, приведены в таблице 5.

4.2 Вероятности и критичности реализации угроз

Определим вероятности реализации угроз через конкретные уязвимости (таблица 6), а также критичность угрозы для конкретных активов (таблица 7) (номера активов взяты из перечня активов таблицы 4).

4.3 Расчет уровней угроз и риск активов

4.3.1. Уровень угрозы по уязвимости Th рассчитаем на основе критичности и вероятности реализации угрозы через данную уязвимость по формуле:

,

где ER_c,I,a – критичность реализации угрозы (указывается в процентах),

P(V)_c,I,a – вероятность реализации угрозы через данную уязвимость (указывается в процентах).

Таблица 5 – Угрозы и уязвимости АС

Угроза	Уязвимости, через которые может реализоваться угроза
Неисправности в системе электроснабжения	Ненадежность системы электроснабжения
Аппаратные отказы	Ненадежность аппаратной части
Несанкционированное использование носителей данных	Недисциплинированность персонала
Ухудшение состояния носителей данных	Ненадежность носителей данных Несвоевременность замены внешних носителей информации
Программные сбои	Ошибки программного обеспечения Ошибки конфигурации
Использование программного обеспечения несанкционированными пользователями	Недисциплинированность персонала Ненадлежащий контроль доступа Ненадежность системы идентификации и аутентификации
Нелегальное проникновение злоумышленников под видом санкционированных пользователей	Ненадлежащий контроль доступа
Вредоносное программное обеспечение	Отсутствие или неправильная конфигурация антивируса Использование внешних носителей за пределами АС Уязвимости системного программного обеспечения Уязвимости прикладного программного обеспечения Ошибки конфигурации межсетевого экрана
Незаконный импорт/экспорт программного обеспечения	Недисциплинированность персонала
Ошибка персонала	Недисциплинированность персонала Недостаточная подготовка персонала Усталость персонала Личные проблемы персонала
Доступ несанкционированных пользователей к сети	Недисциплинированность персонала Ненадлежащий контроль доступа
Перехват информации	Недисциплинированность персонала Ненадлежащий контроль доступа
Несанкционированное проникновение к средствам связи	Недисциплинированность персонала Ненадлежащий контроль доступа
Несанкционированный доступ из сетей общего пользования	Ошибки конфигурации Ненадежность системы идентификации и аутентификации Уязвимости системного программного обеспечения Уязвимости прикладного программного обеспечения Ошибки конфигурации межсетевого экрана Недисциплинированность персонала

Таблица 6 – Вероятности реализации угроз через уязвимости в процентах

Угроза	Уязвимость	Ненадежность системы электроснабжения	Ненадежность аппаратной части	Недисциплинированность персонала	Ненадежность носителей данных	Несвоевременность замены внешних носителей информации	Ошибки программного обеспечения	Ошибки конфигурации	Ненадежность системы идентификации и аутентификации	Ненадлежащий контроль доступа	Отсутствие или неправильная конфигурация антивируса	Использование внешних носителей за пределами АС	Уязвимости системного программного обеспечения	Уязвимости прикладного программного обеспечения	Ошибки конфигурации межсетевого экрана	Недостаточная подготовка персонала	Усталость персонала	Личные проблемы персонала
Неисправности в системе электроснабжения		2	0	0.1	0	0	0	0	0	0	0	0	0	0	0	0	0	0
Аппаратные отказы		0.1	0.2	0.1	0.1	0.1	1	1	0	0	0	0	0	0	0	0	0	0
Несанкционированное использование носителей данных		0	0	5	0	0	0	0	0	5	0	0	0	0	0	0	0	0
Ухудшение состояния носителей данных		0	0.2	2	10	7	0	0	0	0	0	0	0	0	0	0	0	0
Программные сбои		0	0.05	2	2	1	5	2	0	0	0	0	5	5	0	0	0	0
Использование программного обеспечения несанкционированными пользователями		0	0	2	0	0	0	0	7	4	0	0	0	0	0	0	0	0
Нелегальное проникновение злоумышленников под видом санкционированных пользователей		0	0	1	0	0	0	0	0	5	0	0	0	0	0	5	2	1
Вредоносное программное обеспечение		0	0	10	0	0	10	7	0	5	30	10	5	5	10	5	0	0
Незаконный импорт/экспорт программного обеспечения		0	0	2	0	0	0	5	0	5	0	0	0	0	0	0	0	0
Ошибка персонала		0	0	5	0	0	0	0	0	0	0	0	0	0	0	10	5	3
Доступ несанкционированных пользователей к сети		0	0	1	0	0	0	7	0	7	0	0	3	2	10	5	2	1
Перехват информации		0	5	5	0	0	0	5	3	7	0	0	3	2	10	5	2	1
Несанкционированное проникновение к средствам связи		0	0	1	0	0	0	0	0	5	0	0	0	0	0	5	2	1
Несанкционированный доступ из сетей общего пользования		0	0	0	0	0	0	5	3	0	0	0	3	2	7	2	0	0