КР 3121ТмЗ Иванов вар 11. Модель угроз и нарушителя информационной безопасности объекта информатизации

• Название: Модель угроз и нарушителя информационной безопасности объекта информатизации
• Дата: 07.06.2022
• Размер: 44.21 Kb.
• Имя файла: КР 3121ТмЗ Иванов вар 11.docx
• Тип: Курсовой проект; #574793
• страница: 2 из 5

Обозначения и сокращения

АБС — автоматизированная банковская система;

БС — банковская система;

ЖЦ — жизненный цикл;

ИБ — информационная безопасность;

НСД — несанкционированный доступ;

НРД — нерегламентированные действия в рамках предоставленных полномочий;

РФ — Российская Федерация;

СКЗИ — средство криптографической защиты информации;

СМИБ — система менеджмента информационной безопасности;

СИБ — система информационной безопасности;

СОИБ — система обеспечения информационной безопасности;

ЭВМ — электронная вычислительная машина;

ЭЦП — электронная цифровая подпись.

3. ЦЕЛИ И ЗАДАЧИ ОБЕСПЕЧЕНИЯ иб

Основной целью обеспечения информационной безопасности компании является сохранение конфиденциальности, целостности и доступности информации.

Также к целям политики безопасности относят:

Обеспечение уровня безопасности, соответствующего нормативным документам компании.

Следование экономической целесообразности в выборе защитных мер.

Обеспечение соответствующего уровня безопасности в конкретных функциональных областях.

Основными задачами обеспечения информационной безопасности являются:

защита от угроз утечки, утраты и несанкционированной модификации;

нейтрализация последствий от реализованных угроз;

обеспечение соответствия законодательству и стандартам.

4. Модели угроз и нарушителей информациОННОЙ безопасности БАНКА

Угрозы  ИБ объекта защиты можно разделить на внутренние и внешние.

Внутренние угрозы

неквалифицированная  внутренняя  политика компании по  организации информационных  технологий  и  управлению безопасностью;

отсутствие  соответствующей квалификации персонала по обеспечению деятельности и управлению объектом защиты;

преднамеренные  и  непреднамеренные  действия  персонала по нарушению безопасности;

предательство персонала;

техногенные аварии и разрушения, пожары.

Внешние угрозы

негативные  воздействия  недобросовестных  конкурентов  и государственных структур;

преднамеренные  и  непреднамеренные  действия  заинтересованных структур и физических лиц (сбор информации, шантаж, угрозы физического воздействия  и др.);

утечка  конфиденциальной  информации  на  носителях  информации и по каналам связи;

несанкционированное проникновение на объект защиты;

несанкционированный  доступ  к  носителям  информации  и каналам  связи  с  целью  хищения,  искажения, уничтожения, блокирования информации;

стихийные  бедствия  и  другие  форс-мажорные  обстоятельства;

преднамеренные  и  непреднамеренные  действия  поставщиков  услуг  по  обеспечению  безопасности и поставщиков технических и программных продуктов.

Классификация угроз для автоматизированных систем:

Угрозы  конфиденциальности  данных  и  программ.

Реализуются при несанкционированном доступе к данным  (например, к сведениям  о  состоянии  счетов  клиентов  банка),  программам  или каналам связи.

Информация,  обрабатываемая  на  компьютерах  или  передаваемая по локальным сетям, может быть снята через  технические  каналы  утечки.  При  этом  используется аппаратура, осуществляющая анализ электромагнитных излучений, возникающих при работе компьютера.

Такой  съем  информации  представляет  собой  сложную  техническую  задачу  и  требует  привлечения  квалифицированных специалистов.  С помощью приемного устройства, выполненного на базе стандартного телевизора, можно было перехватывать информацию, выводимую  на  мониторы компьютеров  с  расстояния  в  тысячу и более метров. Это утверждение верно касаемо старых ЭЛТ мониторов – про современные плоские мониторы такого не слышал – уровень излучения у них гораздо ниже.

Угрозы  целостности  данных,  программ,  аппаратуры.

Несанкционированная  модификация  информации  о  безопасности системы может привести к несанкционированным действиям (неверной  маршрутизации  или  утрате  передаваемых  данных)  или искажению  смысла  передаваемых  сообщений.  Целостность

аппаратуры  нарушается  при  ее  повреждении,  похищении  или незаконном изменении алгоритмов работы.

Угрозы  доступности  данных.

Возникают  в  том  случае,  когда объект  (пользователь  или процесс) не получает доступа к законно выделенным  ему службам  или  ресурсам.  Эта  угроза  реализуется захватом  всех  ресурсов,  блокированием  линий  связи несанкционированным  объектом  в  результате  передачи  по  ним своей  информации  или  исключением  необходимой  системной информации.

Эта  угроза  может  привести  к  ненадежности  или  плохому качеству обслуживания в системе и, следовательно, потенциально будет  влиять  на  достоверность  и  своевременность  доставки информации.

Угрозы отказа от  выполнения  транзакций.

Возникают в  том случае,  когда  легальный  пользователь  передает  или  принимает информацию,  а  потом  отрицает  это,  чтобы  снять  с  себя ответственность.

Угрозы информационной безопасности могут обуславливаться как  человеческими  факторами,  так  и  человеко-машинными  и машинными факторами.

Человеческие  факторы  свою  очередь  подразделяются  на: пассивные  угрозы  (угрозы,  вызванные  деятельностью,  носящей случайный,  неумышленный характер)  и  активные угрозы  (угрозы, обусловленные  умышленными,  преднамеренными  действиями людей).

Человеко-машинные  и  машинные  факторы  подразделяются на:

Пассивные угрозы

с  ошибками  процесса  проектирования,  разработки  и изготовления  систем  и  их  компонентов;

с ошибками в работе аппаратуры  из-за некачественного  ее изготовления;  с  ошибками  процесса  подготовки  и  обработки информации.

Активные угрозы

угрозы,  связанные  с  несанкционированным  доступом  к ресурсам информационной  системы;

угрозы,  реализуемые  бесконтактным  способом  (сбор  электромагнитных  излучений,  перехват  сигналов,  наводимых  в  цепях,  визуально-оптические  способы добычи  информации,  подслушивание  служебных разговоров и т. п.).

В соответствии со Стандартом Налоговой инспекции России СТО БР ИББС-1.0-2010 п.6.2. техническая инфраструктура информационной системы Налоговой инспекции, обеспечивающая реализацию банковских технологий, может быть представлена в виде иерархии следующих основных уровней:

физического (линии связи, аппаратные средства и пр.);

сетевого (сетевые аппаратные средства: маршрутизаторы, коммутаторы, концентраторы и пр.);

сетевых приложений и сервисов;

операционных систем;

систем управления базами данных;

банковских технологических процессов и приложений;

бизнес-процессов организации.

Главной целью злоумышленника является получение контроля над активами на уровне бизнес-процессов. Прямое нападение на уровне бизнес-процессов более эффективно для злоумышленника и опаснее для Налоговой инспекции, чем нападение, осуществляемое через нижние уровни, требующее специфических опыта, знаний и ресурсов (в т.ч. временных) и поэтому менее эффективное по соотношению "затраты/получаемый результат". Определение конкретных объектов защиты осуществляется на каждом из уровней информационной инфраструктуры.

Основными угрозами информационной безопасности автоматизированной системы, принятыми в Налоговой инспекции на основании п. 6.6. Стандарта БР СТО БР ИББС-1.0-2010 являются:

неблагоприятные события природного, техногенного и социального характера;

террористы и криминальные элементы;

зависимость от поставщиков/провайдеров/партнеров/клиентов;

сбои, отказы, разрушения/повреждения программных и технических средств;

работники организации БС РФ, реализующие угрозы ИБ с использованием легально предоставленных им прав и полномочий (внутренние нарушители ИБ);

работники организации БС РФ, реализующие угрозы ИБ вне легально предоставленных им прав и полномочий, а также субъекты, не являющиеся работниками организации БС РФ, но осуществляющие попытки НСД и НРД (внешние нарушители ИБ);

несоответствие требованиям надзорных и регулирующих органов, действующему законодательству.

Источники угроз на физическом, сетевом уровнях и уровне сетевых приложений:

внешние нарушители ИБ: лица, разрабатывающие/распространяющие вирусы и другие вредоносные программные коды; лица, организующие DoS, DDoS и иные виды атак; лица, осуществляющие попытки НСД и НРД;

внутренние нарушители ИБ: персонал, имеющий права доступа к аппаратному оборудованию, в том числе сетевому, администраторы серверов, сетевых приложений и т.п.;

комбинированные источники угроз: внешние и внутренние нарушители ИБ, действующие совместно и (или) согласованно;

сбои, отказы, разрушения/повреждения программных и технических средств.

Источники угроз на уровнях операционных систем, систем управления базами данных, банковских технологических процессов:

внутренние нарушители ИБ: персонал, имеющий права доступа к аппаратному оборудованию, в том числе сетевому, администраторы серверов, сетевых приложений и т.п.;

комбинированные источники угроз: внешние и внутренние нарушители ИБ, действующие совместно и (или) согласованно;

сбои, отказы, разрушения/повреждения программных и технических средств.

Источники угроз на уровне бизнес-процессов:

внутренние нарушители ИБ: персонал, имеющий права доступа к аппаратному оборудованию, в том числе сетевому, администраторы серверов, сетевых приложений и т.п.;

комбинированные источники угроз: внешние и внутренние нарушители ИБ, действующие совместно и (или) согласованно;

сбои, отказы, разрушения/повреждения программных и технических средств.

Угрозы, связанные с природными и техногенными катастрофами и террористической деятельностью.

В соответствии с требованиями к обеспечению информационной безопасности автоматизированной системы Налоговой инспекции определены следующие модели угроз:

преднамеренные программно-технические воздействия с целью нарушения целостности (уничтожения, искажения) информации в процессе ее обработки, передачи и хранения в информационной системе Налоговой инспекции;

нарушения санкционированной доступности информации в информационной системе Налоговой инспекции, за счет нарушения работоспособности программного обеспечения, коммуникационного оборудования и маршрутизаторов или их перепрограммирования (дефекты, сбои, аварии и отказы аппаратно-программных комплексов);

утечка и искажение конфиденциальной информации за счет несанкционированного доступа к ней через технические средства информационной системы Налоговой инспекции, утечка конфиденциальной информации по техническим каналам;

разглашение конфиденциальной информации и неправомерные действия со стороны лиц, имеющих право доступа к конфиденциальной информации и реализующих угрозы в рамках своих полномочий и за их пределами.

Основными критическими элементами средств автоматизации информационной системы Налоговой инспекции (в порядке убывания их важности) являются:

сервера баз данных и приложений;

коммуникационное оборудование (компоненты) системы передачи данных (маршрутизаторы, концентраторы, модемы);

специализированные АРМ с установленными СКЗИ;

рабочие станции пользователей Налоговой инспекции.

Объектами защиты средств автоматизации являются:

программно-технический комплекс в целом как автоматизированная система, обрабатывающая конфиденциальную информацию;

сервера баз данных и приложений;

специализированные автоматизированные рабочие места с установленными средствами криптографической защиты информации;

рабочие станции конечных пользователей;

каналы связи, посредством которых осуществляется информационный обмен;

помещения, в которых располагается серверная часть программно-технических комплексов и рабочие станции конечных пользователей (в зависимости от обрабатываемой информации).

Система информационной безопасности Налоговой инспекции строится в соответствии с определенным характером угроз и основных элементов системы, на которые эти угрозы распространяются, а также с учетом требований Стандарта БР СТО БР ИББС-1.0-2010 по обеспечению информационной безопасности организаций банковской системы Российской Федерации.