Оценка рисков информационной системы организации используя потоки. Мошак_БИТи С_ПР2_21. Практическая работа 2 Оценка риска информационной безопасности корпоративной информационной системы на основе модели информационных потоков
 Скачать 236.04 Kb.
|
|
МИНИСТЕРСТВО связи и МАССОВЫх КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ государственное образовательное учреждение высшего профессионального образования «САНКТ-ПЕТЕРБУГРСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ ТЕЛЕКОММУНИКАЦИЙ им. проф. М.А. БОНЧ-БРУЕВИЧА» Факультет Информационных систем и технологий Кафедра Информационных управляющих систем РАБОТА ЗАЩИЩЕНА С ОЦЕНКОЙ ПРЕПОДАВАТЕЛЬ
РАБОТУ ВЫПОЛНИЛ(А)
Санкт-Петербург 2023 Цель работы: рассчитать риск информационной безопасности корпоративной информационной системы на основе модели информационных потоков Теоретические основы Современные ИС строятся, как правило, на архитектуре «клиент-сервер» с применением технологии виртуальных серверов и предусматривают «закрытый» и «открытый» контуры обработки, хранения и передачи информации. В «закрытом» контуре, который может иметь различные классы защищенности, обрабатывается конфиденциальная информация с различным грифом секретности, а в «открытом» контуре - открытая информация. При этом сертифицированными средствами однонаправленной передачи информации обеспечивается только односторонняя передача информации из «открытого» контура в «закрытый». Типовая схема организации взаимодействия контуров ИС СН приведена на рис.1. Вешнее взаимодействие ИС с корпоративными системами осуществляется через «закрытый» контур с применением сертифицированных средств криптографической защиты информации (СКЗИ) с шифрованием информации, а с другими системами – через «открытый» контур с применением сертифицированных межсетевых экранов (МЭ). В качестве базового сетевого протокола используется IP-протокол.  Рис. 1 - Общая схема взаимодействия «закрытого» и «открытого» контуров предприятия В общем случае корпоративная ИС организации на технологии «клиент-сервер» включает в себя следующие функциональные компоненты: сервера СУБД и файл-сервера, осуществляющие обработку и хранение инфоуслуг; автоматизированные рабочие места (АРМ) – оконечные абонентские системы ИС; корпоративная мультисервисная сеть связи на основе IP-QoS технологий, включающая в себя локальную вычислительную сеть (ЛВС) и WAN-компоненту, обеспечивающую связь территориально удаленных ЛВС организации. В корпоративную сеть входят структурированные кабельные системы (СКС), на базе которых строятся ЛВС предприятия, сетевое оборудование (концентраторы, коммутаторы, маршрутизаторы, мультиплексоры, межсетевые экраны и т. д.) и внешние каналы связи. а также механизмы, обеспечивающие их функционирование, в том числе системы и средства защиты информации. Методы оценивания информационных рисков В настоящее время используются различные методы оценки информационных рисков отечественных компаний и управления ими. Оценка информационных рисков компании может быть выполнена в соответствии со следующим планом: идентификация и количественная оценка информационных ресурсов компании, значимых для бизнеса; оценивание возможных угроз; оценивание существующих уязвимостей; оценивание эффективности средств обеспечения информационной безопасности. Предполагается, что значимые для бизнеса уязвимые информационные ресурсы компании подвергаются риску, если по отношению к ним существуют какие-либо угрозы. Другими словами, риски характеризуют опасность, которая может угрожать компонентам корпоративной информационной системы. При этом информационные риски компании зависят от: показателей ценности информационных ресурсов; вероятности реализации угроз для ресурсов; эффективности существующих или планируемых средств обеспечения информационной безопасности. Цель оценивания рисков состоит в определении характеристик рисков корпоративной информационной системы и ее ресурсов. После оценки рисков можно выбрать средства, обеспечивающие желаемый уровень информационной безопасности компании. При оценивании рисков учитываются такие факторы, как ценность ресурсов, значимость угроз и уязвимостей, эффективность имеющихся и планируемых средств защиты. Сами показатели ресурсов, значимости угроз и уязвимостей, эффективность средств защиты могут быть установлены как количественными методами (например, при нахождении стоимостных характеристик), так и качественными, скажем, с учетом штатных или чрезвычайно опасных нештатных воздействий внешней среды. Возможность реализации угрозы для некоторого ресурса компании оценивается вероятностью ее реализации в течение заданного отрезка времени. При этом вероятность того, что угроза реализуется, определяется следующими основными факторами: привлекательностью ресурса (учитывается при рассмотрении угрозы от умышленного воздействия со стороны человека); возможностью использования ресурса для получения дохода (также в случае угрозы от умышленного воздействия со стороны человека); техническими возможностями реализации угрозы при умышленном воздействии со стороны человека; степенью легкости, с которой уязвимость может быть использована. Основные понятия и допущения модели Базовые угрозы информационной безопасности – нарушение конфиденциальности, нарушение целостности и отказ в обслуживании. Ресурс – любой контейнер, предназначенный для хранения информации, подверженный угрозам информационной безопасности (сервер, рабочая станция, переносной компьютер). Свойствами ресурса являются: перечень угроз, воздействующих на него, и критичность ресурса. Угроза– действие, которое потенциально может привести к нарушению безопасности. Свойством угрозы является перечень уязвимостей, при помощи которых может быть реализована угроза. Уязвимость – это слабое место в информационной системе, которое может привести к нарушению безопасности путем реализации некоторой угрозы. Свойствами уязвимости являются: вероятность (простота) реализации угрозы через данную уязвимость и критичность реализации угрозы через данную уязвимость. Критичностьресурса(D) – ущерб, который понесет компания от потери ресурса. Задается в уровнях (количество уровней может быть в диапазоне от 2 до или в деньгах. В зависимости от выбранного режима работы, может состоять из критичности ресурса по конфиденциальности, целостности и доступности (Dс, Di, Da). 2.Задание к практической работ оценка рисков ИС на основе модели информационных потоков ("Методика оценки рисков информационной безопасности компании Digital Security") 2.1. Построение модели ИС организации Анализ рисков информационной безопасности осуществляется с помощью построения модели информационной системыорганизации. Данная модель позволяет оценить защищенность каждого вида информации. Алгоритм позволяет получить следующие данные: Реестр ресурсов; Значения риска для каждого ценного ресурса организации; Значения риска для ресурсов после задания контрмер (остаточный риск); Эффективность контрмер; Рекомендации экспертов. Для того, чтобы построить модель ИС, необходимо проанализировать защищенность и архитектуру построения информационной системы. Специалист по ИБ, привлекая владельца (менеджера) информационной системы (используя вопросники, интервью, документацию, инструменты автоматического сканирования), должен подробно описать архитектурусети: все аппаратные (компьютерные) ресурсы, на которых хранится ценная информация; сетевые группы, в которых находятся ресурсы системы (т.е. физические связи ресурсов друг с другом); отделы, к которым относятся ресурсы; виды ценной информации; ущерб для каждого вида ценной информации по трем видам угроз; бизнес-процессы, в которых обрабатывается информация; пользователей (группы пользователей), имеющих доступ к ценной ин- формации; класс группы пользователей; доступ группы пользователей к информации; характеристики этого доступа (вид и права); средства защиты информации; средства защиты рабочего места группы пользователей. Исходя из введенных данных, можно построить полную модель информационной системы компании, на основе которой будет проведен анализ защищенности каждого вида информации на ресурсе. 2.1.1. Составить карту ИС На карте отобразить: все ресурсы (сервер, АРМ и т.д.); отделы, к которым относятся ресурсы; сетевые группы (локальные сети), физические связи ресурсов между собой и их подключения к Интернет; виды ценной информации, хранящейся на ресурсах; пользователей (группы пользователей), имеющих доступ к ценной (конфиденциальной) информации. Пример структурной схемы ИС приведен на рис.3.  Рис. 3 - Структурная схема ИС Описать в виде таблиц средства защиты каждого аппаратного ресурса, средства защиты каждого вида информации, хранящемся на нем с указанием веса каждого средства (пример):
Описать в виде таблицы вид доступа (локальный, удаленный) и права доступа (чтение, запись, удаление) для каждого пользователя (групп пользователей), а также наличие соединения через VPN, количество человек в группе для каждого информационного потока:
Указать наличие у пользователей выхода в Интернет
2.1.5. Указать ущерб компании от реализации угроз ИБ для каждого информационного потока:
Ущерб определяется с участием владельца ИС, либо им самим непосредственно. На этом описание архитектуры ИС завершается. Далее производится расчет рисков для каждого вида ценнойинформации хранящейся в ИС по угрозе «нарушение конфиденциальности». | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||