умп_практика. УМП_практика_2020_выходРИО_20_02_20. Учебнометодическое пособие к практическим работам основная профессиональная образовательная программа
 Скачать 403.28 Kb.
|
|
Расчет рисков по угрозе нарушения «конфиденциальности» Для каждого информационного потока рассчитывается коэффициент локальной либо удаленной защищенности информации, хранящейся на ресурсе, в зависимости от типа доступа. Если доступ локальный, то рассчитывается только коэффициент локальной защищенности информации. Если доступ удаленный, то рассчитывается коэффициент удаленной защищенности информации, хранящейся на ресурсе и коэффициент локальной защищенности рабочего места пользователя. Расчет коэффициентов защищенности. Коэффициент локальной защищенности информациирассчитывается, если доступ к информации в данном информационном потоке локальный. Он равен сумме весов средств физической и локальной защиты информации. Учитываются все средства физической защиты и средства локальной защиты информации, обеспечивающие защиту информации по угрозе «конфиденциальность». Рассмотрим пример расчета для «открытого» сервера: средства физической защиты: контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение) (22), система видеонаблюдения (16); средства локальной защиты: отсутствие дисководов и USB-портов (10), наличие соглашений о конфиденциальности (20). Коэффициент удаленной защищенности информации на ресурсерассчитывается, если доступ к информации в данном информационном потоке удаленный. Он необходим для того, чтобы учесть сетевые средства защиты, и равен сумме весов средств корпоративной сетевой защиты информации (межсетевой экран, серверная антивирусная защита). Рассмотрим пример расчета для «открытого» сервера: средства корпоративной сетевой защиты информации на сервере: DLP-система (24). Коэффициент локальной защищенности рабочего места пользователя (группы пользователей) рассчитывается только при удаленном доступе к информации. Он равен сумме весов средств физической, локальной и персональной сетевой защиты информации. Рассмотрим пример расчета для «открытого» сервера: средства физической защиты: контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение) (22), система видеонаблюдения (16); средства локальной защиты: отсутствие дисководов и USB-портов (10), наличие соглашений о конфиденциальности (20), средства антивирусной защиты (10); средства персональной защиты: межсетевой экран (5), система криптозащиты электронной почты (5). Для дальнейших расчетов по каждому потоку из трех коэффициентов выбирается наименьший коэффициент защищенности (НК). Расчёт результирующих коэффициентов для информационных потоков представлен в табл.5.5. Таблица 5.5
Учет наличия доступа через VPN При локальном доступе VPN не учитывается, поскольку локальная сеть не используется для передачи информации. При удалённом доступе через VPN к наименьшему коэффициенту защищенности потока прибавляется вес VPN шлюза (20). Это сетевое устройство повышает защищённость информации. При этом от наименьшего коэффициента переходят к результирующему: РК = НК+20 или РК = НК+0. Расчёт результирующих коэффициентов для информационных потоков представлен в табл. 5.6. Таблица 5.6
Расчёт итогового коэффициента защищённости Далее от результирующего коэффициента (РК) переходят к итоговому коэффициенту (ИК) защищенности. Рассчитывается он следующим образом: если количество пользователей 1, и у группы нет доступа в Интернет, то ИК=1/РК;  если количество человек N и у группы пользователей нет доступа в Интернет, то ИК=N/РК;если группа пользователей имеет доступ в Интернет, то ИК увеличивается в 2 раза:ИК=2N/РК. Если при удаленном доступе к Интернет-пользователей VPN-соединение не используется (Интернет заведен на компьютер, а не на сервер), то для них итоговый коэффициент защищенности (ИК) умножается на 4, в силу отсутствия зашиты шлюза ИК=4N/РК. Расчёт итоговых коэффициентов для информационных потоков представлен в табл. 5.7. Таблица 5.7
Расчёт итоговой вероятности Чтобы получить итоговую вероятность (ИВ), необходимо сначала определить базовую вероятность (БВ) реализации угрозы нарушения конфиденциальности и умножить её на ИК: ИВ=БВ×ИК. Базовая вероятность БВ реализации угрозы «К» определяется на основе метода экспертных оценок. Группа экспертов определяет БВ для каждой информации (для каждого потока). БВ может задать владелец информации. Промежуточная вероятность (ПВ) вычисляется как: ПВ=ИБВ×ИК. Итоговая вероятность  как суммарная по нескольким группам пользователей. Расчёт итоговой вероятности показан в табл.5.8. Для удобства разобьем расчет итоговой вероятности для серверов закрытого и открытого контуров. Таблица 5.8
Итоговая базовая вероятность (ИБВ) одинакова для всех потоков, поскольку к информации имеется доступ через Интернет. Если на ресурсе расположены несколько видов информации, причем к некоторым из них осуществляется доступ через Интернет (группами анонимных, авторизованных или мобильных Интернет-пользователей), то угрозы, исходящие от этих групп пользователей, могут повлиять и на другие виды информации. Следовательно, это необходимо учесть. Если на одном из ресурсов, находящемся в сетевой группе, хранится информация, к которой осуществляют доступ указанные группы пользователей, то это учитывается аналогично для всех видов информации, хранящихся на всех ресурсах, входящих в сетевую группу. В реальной информационной системе все ресурсы, взаимосвязанные между собой, оказывают друг на друга влияние. Т.е. злоумышленник, проникнув на один ресурс информационной системы (например, получив доступ к информации ресурса), может без труда получить доступ к ресурсам, физически связанным со взломанным. Расчёт риска по угрозе нарушение «конфиденциальности» для каждой информации Риск по угрозе «конфиденциальность» для каждой информации рассчитывается как произведение итоговой вероятности на ущерб. Расчёт риска по угрозе «конфиденциальность» приведен в табл. 5.9. Таблица 5.9
Расчёт риска по угрозе нарушение «конфиденциальности» для ресурса Риск для ресурса, на котором хранится несколько видов информаций равен сумме рисков по всем видам информации. Так как основными ресурсами в организации являются сервер закрытого контура и сервер открытого контура, то риски для данных ресурсов рассчитываются как сумма рисков по всем информационным потокам к этому ресурсу. Расчёт риска по угрозе «конфиденциальность» для ресурса показана в табл. 5.10. Таблица 5.10
На этом расчет рисков по угрозе нарушение «конфиденциальности» закончен. |