Кахиров. По данным исследований в области охраны и безопасности торговые предприятия относятся к одним из самых сложных и ответственных объектов охраняемых объектов
 Скачать 173.99 Kb.
|
 Рисунок 1 – Источники угроз Остановимся на каждой группе угроз более подробно. 1. Антропогенные источники угроз. Антропогенными источниками угроз безопасности могут выступать субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Только в этом случае можно говорить о причинении ущерба. Эта группа наиболее обширна и представляет наибольший интерес с точки зрения организации защиты, так как действия субъекта всегда можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия в этом случае управляемы и напрямую зависят от воли организаторов системы защиты. В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Субъекты (источники), действия которых могут привести к нарушению безопасности, могут быть как внешние, так и внутренние. Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. К ним относятся: – криминальные структуры; – мелкие воришки; – потенциальные преступники; – недобросовестные партнеры; – технический персонал; – представители надзорных организаций и аварийных служб; – представители силовых структур; – конкуренты. Внутренние субъекты (источники), как правило, представляют собой квалифицированных специалистов в области программного обеспечения и технических средств, знакомые со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты, имеют возможность использования штатного оборудования и технических средств. К ним относятся: – основной персонал (пользователи, программисты, разработчики); – представители службы безопасности; – вспомогательный персонал (уборщики, охрана); – технический персонал (жизнеобеспечение, эксплуатация). Необходимо учитывать, что особую группу внутренних антропогенных источников составляют лица с нарушенной психикой и специально внедренные и завербованные агенты, которые могут быть из числа основного, вспомогательного и технического персонала, а также представителей службы защиты. Данная группа рассматривается в составе перечисленных выше источников угроз, но методы парирования угрозам для этой группы могут иметь свои отличия. 2. Техногенные источники угроз. Эта группа содержит источники угроз, определяемые технической деятельностью человека и развитием цивилизации. Эти источники угроз менее прогнозируемы, напрямую зависят от свойств техники и поэтому требуют особого внимания. Данный класс источников угроз безопасности особенно актуален в современных условиях, так как эксперты ожидают резкого роста числа техногенных катастроф, вызванных физическим и моральным устареванием технического парка используемого оборудования, а также отсутствием материальных средств на его обновление. Технические средства, являющиеся источниками потенциальных угроз безопасности, так же могут быть внешними: – средства связи; – сети инженерных коммуникации (водоснабжения, канализации); – некачественные технические средства обработки информации; – некачественные программные средства обработки информации; – вспомогательные средства (охраны, сигнализации, телефонии); – другие технические средства, применяемые в учреждении. 3. Стихийные источники угроз. Третья группа источников угроз объединяет обстоятельства, составляющие непреодолимую силу, то есть такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. К непреодолимой силе в законодательстве и договорной практике относят стихийные бедствия или иные обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить при современном уровне человеческого знания и возможностей. Такие источники угроз совершенно не поддаются прогнозированию и поэтому меры защиты от них должны применяться всегда. Стихийные источники потенциальных угроз безопасности, как правило, являются внешними по отношению к защищаемому объекту и под ними понимаются прежде всего природные катаклизмы: – пожары; – землетрясения; – наводнения; – ураганы; – различные непредвиденные обстоятельства; – необъяснимые явления; – другие форс-мажорные обстоятельства. 2.2 Человеческий фактор как антропогенный источник угроз Чаще всего к возникновению значительного ущерба приводят злонамеренные или ошибочные действия людей, а техногенные источники, как правило, выступают в качестве предпосылки. Криминальные структуры всегда могут выступать в качестве внешнего источника угроз. Магазин – это объект, который всегда приносит немалую прибыль, и соответственно является «лакомым куском» для криминала. Для магазинов самообслуживания, где товар находится в свободном доступе для покупателей, высока вероятность кражи мелких товаров путём их проноса в/под одеждой, в пакетах, сумках и т.д. Но помимо кражи товаров возможна и их порча, нарушение товарных качеств или непосредственно употребление товаров в торговом зале. В течение последних лет, наряду с пособиями для хакеров, на полках магазинов в изобилии появились книги по промышленному шпионажу, и некоторые из них уже являются рекордсменами продаж. В списках услуг охранно-сыскных структур присутствует получение информации и наблюдение за конкурентами и партнёрами, подобные функции выполняют и собственные службы безопасности многих крупных магазинов. Конкуренты могут получать информацию в ходе беседы после выступлений и на специально организованных переговорах, предметом которых могут стать вопросы поиска новых поставщиков товаров, объемы и пути вложения прибыли. При соответствующей подготовке недоброжелатели могут эффективно использовать современные психотехнологии, эксплуатировать желание субъекта показать себя влиятельным, осведомлённым, компетентным, использовать вредные привычки и скрытые потребности. В первую очередь объектом воздействия становятся менеджеры, так как именно они осведомлены в наибольшей степени о хозяйственной деятельности магазина. Особенно полезными для недобросовестных конкурентов могут оказаться уволенные сотрудники, а также сотрудники, получившие приглашение, в том числе мнимое, на работу. Находящиеся в штате работники также не всегда следуют интересам организации. Наибольшую потенциальную угрозу для информационных ресурсов компании представляют менеджеры магазина, как лица, обладающие большими организационными полномочиями. Например, к потерям могут привести распоряжения о закупке товаров по завышенным ценам. Иногда информационные угрозы возникают вследствие неудовлетворительного выполнения руководителями контролирующих функций. Известны случаи, когда продавалось оборудование, с дисков которого не удалялась конфиденциальная информация компании и партнёров. Во избежание возникновения ущерба целесообразно обязать менеджеров согласовывать решение вопросов, связанных с информационными рисками, с руководителем службы безопасности. Значительной угрозой информационной безопасности компании является низкая квалификация персонала, недостаточная для корректной работы с корпоративной информационной системой. Особо опасными являются некомпетентные сотрудники, выдающие себя за грамотных пользователей или считающие себя таковыми. Во многих магазинах отсутствует контроль над установкой на рабочих станциях программного обеспечения. Не понимая возможных последствий, сотрудник может установить на своём рабочем месте заинтересовавшую его программу или "патч", существенно снизив эффективность усилий по обеспечению корпоративной сетевой безопасности кампании в целом. Подобная угроза возникает и в случае подключения находящейся в локальной сети рабочей станции к Интернет через модем или мобильный телефон, оснащённый функцией цифровой связи. Не будет лишним ещё раз упомянуть об угрозах, исходящих от приклеенных к мониторам стикеров с паролями, и практике обмена паролями между менеджерами, выполняющими сходные функции. В ряде случаев проблемы безопасности связаны с тем, что легальные пользователи информации используют необходимую для работы информацию не по назначению. Причиной может быть злой умысел, халатность, непонимание последствий распространения доступных им сведений. Очевидно, что данная проблема неразрешима только технологическими мерами. Наибольшую опасность представляют сотрудники, обиженные на организацию, и её руководителей. Поэтому случаи возникновения явных и скрытых конфликтов, несоответствия сложившейся ситуации ожиданиям сотрудников, могут рассматриваться как потенциальные предпосылки нарушений информационной безопасности. Особого внимания требуют связанные с такими ситуациями случаи увольнения сотрудников. Как отмечалось выше, сотрудник, уволившийся из компании с чувством обиды, легко может стать источником информации для недоброжелателей. Следует обратить особое внимание на отбор кандидатов, которым предполагается доверить выполнение операций, требующих большой материальной ответственности. Не меньшее значение, чем профессиональные навыки, имеют лояльность кандидата и способность сохранять приверженность интересам компании даже в сложных ситуациях. По этой причине лица, на вершине системы ценностей которых находится материальное вознаграждение, скорее всего, получат отказ. С особой осторожностью следует относиться к кандидатам, слишком часто меняющим работу, предоставившим недостоверные сведения, привлекавшимся к административной и уголовной ответственности, имеющим психические или невротические расстройства. Особое внимание следует уделить тому, чтобы работа сотрудника в организации соответствовала его ожиданиям. В частности руководителю следует воздержаться от необоснованных обещаний. Психологический контакт важен так же, как формальный. Традиционной проблемой, связанной с IT-сотрудниками, является контроль и оценка результатов деятельности. Немногие руководители способны воспринимать "птичий" язык и вникать в сущность их работы, в том числе в вопросы защиты данных. И немногие владеющие глубокими знаниями в IT, компетентны в вопросах управления. Например, в IТ-подразделениях часто отсутствуют должностные инструкции и не проводятся аттестации. Иногда IТ-специалистов рассматривают как обслуживающий персонал, пытаются нагрузить дополнительной работой, не определённой должностной инструкцией. Это ухудшает выполнение прямых обязанностей, вызывает недовольство, отрицательно сказывается на лояльности, приводит к высокой текучке кадров. 1.3.2. Последствия воздействия угроз и виды угрожающих воздействий Последствием воздействия угроз является нарушение системы безопасности. Рассмотрим эти последствия угроз, а также перечень и сущность различных видов угрожающих воздействий, которые являются причинами дискредитации системы безопасности. Вскрытие или несанкционированный доступ. Обстоятельство или событие, посредством которого субъект получил доступ к охраняемым данным (например, конфиденциальным), не имеющий на самом деле прав доступа к ним. Следующие угрожающие действия могут стать причиной несанкционированного вскрытия информации: 1. "Разоблачение": угрожающее действие, посредством которого охраняемые данные стали доступны непосредственно субъекту, не имеющему на это право. Оно включает: - "преднамеренное разоблачение": умышленный допуск к охраняемым данным субъекта, не имеющему на это право; - "просмотр остатка данных": исследование доступных данных, оставшихся в системе, с целью получения несанкционированного знания охраняемых данных; - "ошибка человека": действие или бездействие человека, которое неумышленно повлекло за собой несанкционированное знание субъектом охраняемых данных; - "аппаратно-программная ошибка": ошибка системы, которая повлекла за собой несанкционированное знание субъектом охраняемых данных. 2. "Перехват": угрожающее действие, посредством которого субъект имеет непосредственный несанкционированный доступ к охраняемым данным, циркулирующим между полномочными источниками и получателями. Оно включает: - "кража": получение доступа к охраняемым данным путем воровства различных накопителей информации независимо от их физической сущности (например, кассеты с магнитной лентой или магнитные диски и др.); - "прослушивание (пассивное)": обнаружение и запись данных, циркулирующих между двумя терминалами в системе связи; - "анализ излучений": непосредственное получение содержания передаваемых в системе связи сообщений путем обнаружения и обработки сигнала, излучаемого системой и "переносящего" данные, но не предназначенного для передачи сообщений. 3. "Умозаключение": угрожающее действие, посредством которого субъект получает несанкционированный, но не прямой, доступ к охраняемым данным (но не обязательно к данным, содержащимся в передаваемых сообщениях) путём осмысления характеристик или "побочных продуктов" систем связи. Оно включает: - "анализ трафика": получение знания охраняемых данных путем наблюдения за изменением характеристик системы связи, которая транспортирует данные; - "анализ сигналов": не прямое получение знания охраняемых данных, передаваемых в системе связи, путем обнаружения и анализа сигнала, излучаемого системой и "переносящего" данные, но не предназначенного для передачи сообщений. 4. "Вторжение": угрожающее действие, посредством которого субъект обеспечивает несанкционированный доступ к охраняемым данным путем обмана средств обеспечения безопасности системы. Оно включает: - "посягательство": получение несанкционированного физического доступа к охраняемым данным путем обмана системных средств защиты информации; - "проникновение": получение несанкционированного логического доступа к охраняемым данным путем обмана системных средств защиты информации; - "реконструкция": добыча охраняемых данных путем декомпозиции и анализа конструкции системного компонента. Обман. Обстоятельство или событие, которое может повлечь за собой получение полномочным субъектом искаженных данных, но воспринимаемых им как верные. Следующие угрожающие действия могут повлечь за собой обман: 1. "Маскарад": угрожающее действие, посредством которого субъект получает несанкционированный доступ к системе или осуществляет злонамеренное действие, выступая в роли полномочного субъекта; -"мистификация": попытка субъекта осуществить несанкционированный доступ в систему под видом полномочного пользователя; -"устройство для злонамеренных действий": с точки зрения "маскарада", любое аппаратно-программное устройство или программное обеспечение (например, "троянский конь"), которое якобы предназначено для поддержания эффективного и устойчивого функционирования системы, но на самом деле обеспечивает несанкционированный доступ к системным ресурсам супермаркета или обманывает пользователя путем выполнения другого злонамеренного акта. 2. "Фальсификация": угрожающее действие, посредством которого искаженные данные вводят в заблуждения полномочного субъекта; - "подмена": внесение изменений или замена истинных данных на искаженные, которые служат для обмана полномочного субъекта; - "вставка": добавление искаженных данных, которые служат для обмана полномочного субъекта. 3. "Отказ": угрожающее действие, посредством которого субъект обманывает другого путем ложного отрицания ответственности за какое-либо собственное действие. - "ложный отказ источника": действие, посредством которого автор ("держатель") данных отрицает свою ответственность за авторство (генерирование) этих данных; - "ложный отказ получателя": действие, посредством которого получатель данных отказывается от получения этих данных и обладания ими. Разрушение. Обстоятельство или событие, которое препятствует или прерывает корректное функционирование системных служб в супермаркете и реализацию необходимых действий. Следующие угрожающие действия могут вызвать разрушение: 1. "Вредительство": угрожающее действие, которое препятствует или прерывает функционирование системы путем вывода из строя ее компонентов; - "устройство для злонамеренных действий": с точки зрения "вредительства", любое аппаратно-программное устройство или программное обеспечение (например, "логическая бомба"), умышленно встраиваемое в систему для нарушения ее работоспособности или уничтожения ее ресурсов; - "физическое разрушение": умышленной разрушение системного компонента с целью препятствия нормальному функционированию системы или его прерывание; - "ошибка человека": действие или бездействие человека, которое неумышленно повлекло за собой выход из строя компонента системы; - "аппаратно-программная ошибка": ошибка, которая либо повлекла за собой повреждение системного компонента, либо привела к прекращению нормального (или полному прекращению) функционирования системы; - "природный катаклизм": любое природное явление (например, пожар, наводнение, землетрясение, молния или смерч), повлекшее за собой выход из строя компонента системы. 2. "Порча": угрожающее действие, которое вносит нежелательное изменение в функционирование системы путем вредительского изменения алгоритмов функционирования или данных системы: - "подделка": с точки зрения "порчи", умышленное искажение программного обеспечения, данных или управляющей информации системы с целью прерывания или препятствования корректному выполнению системных функций; - "устройство для злонамеренных действий": с точки зрения "порчи", любое аппаратно-программное устройство или программное обеспечение (например, "компьютерный вирус"), преднамеренно встроенное в систему с целью изменения алгоритмов и процедур функционирования системы или ее данных; - "ошибка человека": действие или бездействие человека, которое неумышленно повлекло за собой искажение алгоритмов и процедур функционирования системы или ее данных; - "аппаратно-программная ошибка": ошибка, которая повлекла за собой изменение алгоритмов и процедур функционирования системы или ее данных; - "природный катаклизм": любое природное явление (например, мощный электромагнитный импульс, вызванный молнией), повлекшее за собой искажение алгоритмов и процедур функционирования системы или ее данных. Захват. Обстоятельство или событие, в результате которого управление службами системы супермаркета и его функционирование перешло к незаконному субъекту. Следующие угрожающие действия могут повлечь за собой "захват": 1. "незаконное присвоение": угрожающее действие, посредством которого субъект присваивает себе функции несанкционированного логического или физического управления системным ресурсом; - "кража службы": несанкционированное использование службы субъектом; - "кража функциональных возможностей": незаконное приобретение действующих аппаратно-программных средств и программного обеспечения компонентов сети; - "кража данных": незаконное приобретение и использование данных. 2. "Злоупотребление": угрожающее действие, которое повлекло за собой выполнение системным компонентом каких-либо функций или процедур обслуживания, подрывающих безопасность системы; - "подделка": с точки зрения "злоупотребления", умышленное искажение программного обеспечения, данных или управляющей информации системы с целью принуждения системы выполнять несанкционированные функции или процедуры обслуживания; - "устройство для злонамеренных действий": с точки зрения "злоупотребления", любое аппаратно-программное устройство или программное обеспечение, преднамеренно встроенное в систему с целью выполнения или управления несанкционированными функцией или процедурой обслуживания; - "нарушение дозволенности": действие субъекта, которое обеспечивает для него превышение дозволенных системных полномочий путем выполнения несанкционированной функции. Анализ представленных угроз и последствий их воздействия показывает, что конечными их целями являются: – информация пользователей, циркулирующая в информационно-вычислительной сети; – работоспособность самой информационно-вычислительной сети или системы. 1.4 Классификация угроз по степени тяжести последствий и возможного ущерба По степени тяжести последствий угрозы бывают: угрозы с высокой, значительной, средней и низкой степенью тяжести последствий. Высокая тяжесть означает, что эти угрозы могут привести к резкому ухудшению всех финансово-экономических показателей деятельности магазина, что вызывает немедленное прекращение его деятельности, либо наносят такой непоправимый вред, который приведет к этим же последствиям позднее. В этом случае происходит полная ликвидация магазина. Значительная степень тяжести последствий предполагает возможность нанесения магазину таких финансовых потерь, которые окажут негативное воздействие на основные финансово-экономические показатели деятельности, на его деятельность в будущем и преодолеваются в течение длительного времени. Средняя степень тяжести означает, что преодоление последствий осуществления этих угроз требует затрат (наносит потери), сопоставимые с текущими затратами магазина, и не требует значительного времени. Угрозы с низкой степенью тяжести последствий не оказывают какого-либо существенного воздействия ни на стратегические позиции магазина, ни на его текущую деятельность. Проявления возможного ущерба могут быть различны: – моральный и материальный ущерб деловой репутации магазина; – моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц; – материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации; – материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов; – материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной; – моральный и материальный ущерб от дезорганизации деятельности магазина; – материальный и моральный ущерб от нарушения международных отношений в сфере высшего руководства магазина. Ущерб может быть причинён каким-либо субъектом, и в этом случае имеется на лицо правонарушение, а также явиться следствием независящим от субъекта проявлений (например, стихийных случаев или иных воздействий, таких как проявления техногенных свойств цивилизации). В первом случае на лицо вина субъекта, которая определяет причиненный вред как состав преступления, совершенное по злому умыслу (умышленно, то есть деяние, совершённое с прямым или косвенным умыслом) или по неосторожности (деяние, совершенное по легкомыслию, небрежности, в результате невиновного причинения вреда) и причиненный ущерб должен квалифицироваться как состав преступления, оговоренный уголовным правом. Во втором случае ущерб носит вероятностный характер и должен быть сопоставлен, как минимум с тем риском, который оговаривается гражданским, административным или арбитражным правом, как предмет рассмотрения. В теории права под ущербом понимается невыгодные для собственника магазина имущественные последствия, возникшие в результате правонарушения. Ущерб выражается в уменьшении имущества магазина, либо отторжении части этого имущества в пользу третьих лиц, либо в недополучении дохода, который был бы получен при отсутствии правонарушения (упущенная выгода). При рассмотрении в качестве субъекта, причинившего ущерб, какую-либо личность, категория "ущерб" справедлива только в том случае, когда можно доказать, что он причинен, то есть деяния личности необходимо квалифицировать в терминах правовых актов, как состав преступления. Анализ угроз безопасности показывает, какие из возможных угроз наиболее реализуемы и наносят наибольшие экономические потери. В процессе разработки системы видеонаблюдения наибольшее внимание уделяется способам предотвращения и фиксации нарушений. Желательно, чтобы выполнение требований безопасности рассматривалось в качестве одного из критериев оценки работы, и нарушение этих требований должно приводить к наказанию, определённому внутренними нормативными документами. Наряду с рядовыми сотрудниками ответственность за соблюдение правил безопасности должно нести руководство магазина. Выполнение внутренних регулирующих документов в части, касающейся безопасности, должно контролироваться службой безопасности. При этом сотрудникам необходимо объяснить, что контролируются не люди, а производственные процессы, и что такой контроль соответствует их личным интересам, так как защищает от давления на них и близких им людей со стороны криминальных структур. 3. Разработка системы видеонаблюдения типового магазина Функции системы видеонаблюдения Система видеонаблюдения, организованная в комплексе с другими системами, позволяет решать наиболее полный спектр задач в обеспечении безопасности магазина. Функции системы видеонаблюдения представлены на рисунке 2. |