https://mindstep.ru/wiki/api.php?action=feedcontributions&feedformat=atom&user=Hunter+po 2026-05-03T05:16:55Z Вклад MediaWiki 1.36.1 https://mindstep.ru/wiki/index.php?title=%D0%95%D0%B2%D0%B0%D0%BD%D0%B3%D0%B5%D0%BB%D0%B8%D0%B5_%D0%BE%D1%82_%D0%9B%D1%83%D0%BA%D0%B8&diff=163 2025-12-20T17:09:24Z

<p>Hunter po: </p> <hr /> <div>==Ошибка №1. ИБ живет отдельно от бизнеса==<br /> <br /> [[Файл:Ошибка №1. ИБ живет отдельно от бизнеса.jpg|x250px]]<br /> <br /> Когда безопасность не встроена в экономику и финансы, операционные процессы и стратегию, она превращается в &quot;блокера&quot; и бессмысленный набор запретов. В таких компаниях ИБ узнает о запуске продукта в день релиза, о новых подрядчиках – после начала работ, а о внедрениях – когда что-то ломается.<br /> <br /> Например, один крупный ритейлер потерял миллионы из-за остановки нового мобильного приложения: ИБшники не участвовали в проекте, и API вышел в прод без даже базовых защитных мер, включая и банальную авторизацию. Утечка данных 200k пользователей стала следствием организационного разрыва между ИБ и DevOps.<br /> <br /> Как исправить:<br /> <br /> ➡ Встроить ИБ в жизненный цикл продукта, закупок, DevOps, изменения инфраструктуры.<br /> <br /> ➡ Привязать риски безопасности к бизнес-метрикам (ну или пойти по пути недопустимых событий).<br /> <br /> ➡ Сформировать у руководства понимание, что ИБ – функция управления бизнес-рисками, а не &quot;технический отдел&quot;.<br /> <br /> ==Ошибка №2. Не работают политики и регламенты==<br /> <br /> [[Файл:Ошибка №2. Не работают политики и регламенты.jpg|x250px]]<br /> <br /> Документы есть, но они либо не отражают реальность, либо никто им не следует. Сотрудники подписывают положения &quot;для галочки&quot;, а процессы строятся вне нормативов.<br /> <br /> Например, в одной финансовой компании политика по управлению доступами требовала отключать доступ уволенного сотрудника в течение часа, но ИТ делала это &quot;когда дойдут руки&quot;, а иногда и вовсе не узнавала о факте увольнения, так как HR &quot;забывал&quot; уведомить об этом соответствующие подразделения. Инсайдер, экс-сотрудник, воспользовавшись этим &quot;окном&quot; унес из облачной CRM десятки контрактов.<br /> <br /> Как исправить:<br /> <br /> ➡ Политики должны описывать реальные процессы, а не процессы должны подстраиваться под бумажные процессы.<br /> <br /> ➡ Нормативы должны быть встроены в ITSM / DevOps-платформы.<br /> <br /> ➡ Контроль исполнения – обязательная часть аудита.<br /> <br /> ==Ошибка №3. Неправильное распределение ответственности==<br /> <br /> [[Файл:Ошибка №3. Неправильное распределение ответственности.jpg|x250px]]<br /> <br /> Классическая ошибка: &quot;ИБ отвечает за все&quot;. На деле безопасность – распределенная функция (это вообще-то функция, а не подразделение). Когда ответственность не формализована, никто не отвечает за доступы, обновления, уязвимости, конфиги и мониторинг.<br /> <br /> Например, в одной госструктуре ИТ-администраторы считали, что патчи ставит ИБ, а ИБ считала наоборот. Результат – эксплуатация старого RCE в Exchange и компрометация внутреннего домена.<br /> <br /> Как исправить:<br /> <br /> ➡ Составить матрицу RACI на ключевые процессы (не забывайте ее поддерживать в актуальном состоянии).<br /> <br /> ➡ Декомпозировать зоны ответственности: ИТ, ИБ, DevOps.<br /> <br /> ➡ Закрепить ответственность в форме KPI.<br /> <br /> ==Ошибка №4. Ориентация только на инструменты==<br /> <br /> [[Файл:Ошибка №4. Ориентация только на инструменты.jpg|x250px]]<br /> <br /> Руководство покупает &quot;волшебные коробки&quot;, а процессы остаются прежними. SIEM без собственных, регулярно обновляемых правил корреляции, DLP без классификации информации согласно ее ценности и процессов обработки, EDR без реагирования – мертвые инвестиции.<br /> <br /> Например, компания внедрила SIEM, но не выделила команду аналитиков, которые бы постоянно проводила анализ событий ИБ, адаптацию правил, написание корреляционных цепочек и т.п. Полгода SIEM работал &quot;на запись&quot;, а атака через компрометацию VPN-доступа осталась незамеченной – хотя события были в логах.<br /> <br /> Как исправить:<br /> <br /> ➡ Любой инструмент не может существовать без людей, процессов и интеграции.<br /> <br /> ➡ Начинать нужно с процессов, а не с закупок.<br /> <br /> ==Ошибка №5. Отсутствие стратегии развития ИБ==<br /> <br /> [[Файл:Ошибка №5. Отсутствие стратегии развития ИБ.jpg|x250px]]<br /> <br /> Работа ведется хаотично, в режиме тушения пожаров. Нет целевой архитектуры, дорожной карты, метрик зрелости и и процесса ее оценки.<br /> <br /> Например, у крупного холдинга SOC появился раньше, чем инвентаризация ресурсов. В результате SOC не видел 40% инфраструктуры.<br /> <br /> Как исправить:<br /> <br /> ➡ Построить модель зрелости (NIST CSF, разные варианты CMM).<br /> <br /> ➡ Выработать 2–3-летнюю дорожную карту с приоритетами.<br /> <br /> ➡ Связать стратегию ИБ со стратегией цифровой трансформации и бизнес-стратегией.<br /> <br /> ==Ошибка №6. Пентесты раз в год вместо постоянного контроля==<br /> <br /> [[Файл:Ошибка №6. Пентесты раз в год вместо постоянного контроля.jpg|x250px]]<br /> <br /> Однократный пентест – иллюзия безопасности. Уязвимости появляются ежедневно.<br /> <br /> Например, один банк прошел летом пентест в соответствие с требованиями Банка России и ФСТЭК. Осенью появилась критическая уязвимость в VPN-шлюзе – ее никто не заметил. Через нее APT-группировка получила доступ внутрь банковской инфраструктуры и месяц держалась внутри сети.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрить постоянное сканирование уязвимостей, в том числе включая и внедрение решений класса BAS (Breach &amp; Attack Simulation).<br /> <br /> ➡ Проводить периодические Red Team / Purple Team.<br /> <br /> ➡ Выставить компанию или ее ключевые системы на Bug Bounty и кибериспытания.<br /> <br /> ==Ошибка №7. Игнорирование «некритичных» уязвимостей==<br /> <br /> [[Файл:Ошибка №7. Игнорирование «некритичных» уязвимостей.jpg|x250px]]<br /> <br /> Уязвимость CVSS 5.0 может быть идеальной точкой входа, если ее эксплуатация проста.<br /> <br /> Например, в 2023–2024 годах сотни компаний пострадали от массовых атак через уязвимости в Confluence и MOVEit, имеющий невысокий CVSS.<br /> <br /> Как исправить:<br /> <br /> ➡ Оценивать уязвимости по их эксплуатируемости/трендовости (EPSS, KEV), а не только по их базовому уровню CVSS.<br /> <br /> ➡ Учитывать бизнес-контекст и критичность систем, в которых найдены уязвимости.<br /> <br /> ➡ Строить процесс риск-ориентированного обновления.<br /> <br /> ==Ошибка №8. Нет отлаженного процесса реагирования==<br /> <br /> [[Файл:Ошибка №8. Нет отлаженного процесса реагирования.jpg|x250px]]<br /> <br /> SOC находит проблему, но дальше начинается хаос. Кто блокирует? Кто согласует отключение атакованных систем? Кто информирует вышестоящее начальство об инциденте? Кто занимается восстанавлением?<br /> <br /> Например, в медицинской организации SOC увидел расширение плацдарма (lateral movement) шифровальщиком, но не смог остановить атаку из-за отсутствия полномочий. Через 3 часа был зашифрованы сегменты с данными пациентов, электронными медицинскими записями и медицинским оборудованием.<br /> <br /> Как исправить:<br /> <br /> ➡ Создать соответствующие плейбуки под типовые для организации инциденты с указанием ролей, сценариями действий, чеклистами.<br /> <br /> ➡ Проводить регулярные киберучения (штабные и технические, на киберполигонах).<br /> <br /> ➡ Дать SOC привилегии осуществлять &quot;срочные действия&quot;.<br /> <br /> ==Ошибка №9. Нет обучения и тренировки==<br /> <br /> [[Файл:Ошибка №9. Нет обучения и тренировки.jpg|x250px]]<br /> <br /> Персонал не знает, как действовать, потому что никогда не проводилось обучение действиям в нештатных ситуациях и при инцидентах.<br /> <br /> Например, на заводе оператор не знал, что делать при блокировке HMI шифровальщиком и в панике обесточил часть цеха, остановив производство и увеличив ущерб от атаки.<br /> <br /> Как исправить:<br /> <br /> ➡ Регулярные штабные киберучения, а также иные формы сценарной геймификации процесса обучения.<br /> <br /> ➡ Практические тренировки реагирования на инциденты (как противопожарные тренировки).<br /> <br /> ➡ Обучение не только и не столько служб ИБ и ИТ, но и бизнес-подразделений.<br /> <br /> ==Ошибка №10. Нет реестра активов==<br /> <br /> [[Файл:Ошибка №10. Нет реестра активов.jpg|x250px]]<br /> <br /> Нельзя защитить то, чего не знаешь. Замурованные в стены сервера (был у меня такой кейс как-то), виртуалки-&quot;летучие голландцы&quot;, установленные для удобства Wi-Fi-точки доступа, забытые VPN-доступы, старые тестовые стенды – все это прекрасные входы внутрь инфраструктуры.<br /> <br /> Например, в Colonial Pipeline одной из точек входа был старый VPN-аккаунт без MFA, невнесенный в список активов.<br /> <br /> Как исправить:<br /> <br /> ➡ Формирование собственной базы CMDB или доступ к ИТшной, а также автоматическое обнаружение активов.<br /> <br /> ➡ Инвентаризация облаков, SaaS, теневых ИТ (shadow IT), включая теневые ML.<br /> <br /> ➡ Классификация данных и сервисов по критичности для бизнеса.<br /> <br /> ==Ошибка №11. Слабый контроль подрядчиков (supply chain)==<br /> <br /> [[Файл:Ошибка №11. Слабый контроль подрядчиков (supply chain).jpg|x250px]]<br /> <br /> Внешние вендоры имеют доступ к вашей инфраструктуре, но вы не контролируете их безопасность и их доступы в вашу внутрянку.<br /> <br /> Например, атаки на SolarWinds, MOVEit, 3CX – крупнейшие supply chain инциденты последних лет.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрить процесс оценки вендоров.<br /> <br /> ➡ Требовать MFA, регистрации событий, ограничение доступов.<br /> <br /> ➡ Контролировать работу подрядчиков в реальном времени.<br /> <br /> ==Ошибка №12. Нет безопасной разработки и контроля изменений==<br /> <br /> [[Файл:Ошибка №12. Нет безопасной разработки и контроля изменений.jpg|x250px]]<br /> <br /> Продукт выходит быстрее, чем его успевают проверять на предмет безопасности. Небезопасные настройки по умолчанию, жестко зашитые ключи и секреты, слабая авторизация – типичные дефекты, приводящие к ущербу.<br /> <br /> Например, в 2022 один финтех-стартап потерял десятки миллионов из-за ошибки в авторизации в API (IDOR). Ошибка появилась после &quot;быстрого&quot; релиза кода без его анализа.<br /> <br /> Как исправить:<br /> <br /> ➡ Ввести в компании практику DevSecOps.<br /> <br /> ➡ Включение Security Gate в CI/CD.<br /> <br /> ➡ Внедрить статический и динамический анализ и проверка IaC.<br /> <br /> ==Ошибка №13. Резервные копии есть, но не тестируются==<br /> <br /> [[Файл:Ошибка №13. Резервные копии есть, но не тестируются.jpg|x250px]]<br /> <br /> Половина компаний узнает о том, что бэкапы нечитаемы и данные невосстановимы, исключительно во время инцидентов с шифровальщиками.<br /> <br /> Например, в 2023 муниципальный госпиталь в США был вынужден выплатить выкуп, потому что четыре года бэкапы записывались на поврежденный стример, а никто даже не побеспокоился проверить, работает ли он.<br /> <br /> Как исправить:<br /> <br /> ➡ Тестировать восстановление из резервных копий регулярно.<br /> <br /> ➡ Хранить оффлайн-копии.<br /> <br /> ➡ Документировать процедуры восстановления.<br /> <br /> ==Ошибка №14. Ошибки конфигураций==<br /> <br /> [[Файл:Ошибка №14. Ошибки конфигураций.jpg|x250px]]<br /> <br /> Самый распространенный тип уязвимостей. Человеческий фактор + сложность инфраструктуры приводят к бесконечному потоку ошибочных конфигураций, которыми и пользуются плохие парни.<br /> <br /> Например, открытые для общего доступа корзины Elasticsearch/S3/MinIO приводили к утечкам миллионов данных в компаниях Uber, Verizon и десятках других.<br /> <br /> Как исправить:<br /> <br /> ➡ Применять автоматические сканеры конфигураций.<br /> <br /> ➡ Проверять соответствие политикам безопасности (например, CIS Benchmarks или предоставленные разработчиками сканеров безопасности).<br /> <br /> ➡ Обязательный анализ кода IaC.<br /> <br /> ==Ошибка №15. Отсутствие сегментации==<br /> <br /> [[Файл:Ошибка №15. Отсутствие сегментации.jpg|x250px]]<br /> <br /> Плоская сеть – это рай для злоумышленников, расширяющих плацдарм внутри скомпрометированной инфраструктуры.<br /> <br /> Например, WannaCry распространялся мгновенно именно в плоских сетях без сегментации. То же самое – Ryuk, Conti и другие шифровальщики. <br /> <br /> Как исправить:<br /> <br /> ➡ Внедрять сетевую сегментацию, VLAN, микросегментацию.<br /> <br /> ➡ Внедрять Zero Trust Network Access.<br /> <br /> ➡ Ограничение межсервисных коммуникаций.<br /> <br /> ==Ошибка №16. Нет регистрации событий и мониторинга==<br /> <br /> [[Файл:Ошибка №16. Нет регистрации событий и мониторинга.jpg|x250px]]<br /> <br /> Компания может быть взломана месяцы назад – и не знать об этом, а хакеры орудуют внутри инфраструктуры, не боясь обнаружения.<br /> <br /> Например, Equifax была скомпрометирована более двух месяцев прежде, чем заметила активность в системе.<br /> <br /> Как исправить:<br /> <br /> ➡ Регистрация всех критичных для конкретной компании/процесса/системы событий.<br /> <br /> ➡ Централизация логов.<br /> <br /> ➡ Построение SOC с аналитикой и ML-корреляцией событий.<br /> <br /> ==Ошибка №17. Слабая или отсутствующая MFA==<br /> <br /> [[Файл:Ошибка №17. Слабая или отсутствующая MFA.jpg|x250px]]<br /> <br /> Усталость от push'ей и запросов на подтверждение аутентификации, однофакторные протоколы, использование одноразовых кодов в SMS, отсутствие защиты сессий – и злоумышленник внутри.<br /> <br /> Например, во время взлома Uber в 2022 атакующий использовал усталость от push-уведомлений и социальный инжиниринг для обхода MFA. Аналогичным образом взламывали Cisco, казино MGM Grand и многие другие компании.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрение FIDO2.<br /> <br /> ➡ Контроль устройства и контекстный доступ.<br /> <br /> ➡ Защищенные каналы выдачи токенов.<br /> <br /> ==Ошибка №18. Legacy-системы==<br /> <br /> [[Файл:Ошибка №18. Legacy-системы.jpg|x250px]]<br /> <br /> Старые ОС, уже не поддерживаемые производителем компоненты, устаревшие сервера и оборудование – идеальная мишень для атак.<br /> <br /> Например, WannaCry массово поражал Windows XP, которая продолжала использоваться в больницах и госучреждениях.<br /> <br /> Как исправить:<br /> <br /> ➡ Разработать и реализовывать план миграции.<br /> <br /> ➡ Виртуализация и изоляция legacy.<br /> <br /> ➡ Мониторинг вокруг критичных legacy-узлов.<br /> <br /> ==Ошибка №19. Теневые ИТ и данные (shadow IT / data)==<br /> <br /> [[Файл:Ошибка №19. Теневые ИТ и данные (shadow IT - data).jpg|x250px]]<br /> <br /> Облака, личные Google Docs, неучтенные SaaS, тестовые базы с реальными данными, оплаченные личными картами GPT-сервисы – все это выходит за рамки привычного контроля ИБ и является точкой проникновения в компанию и утечки данных.<br /> <br /> Например, сотрудник случайно оставил копию клиентской базы в личном Dropbox → утечка и большой штраф от регулятора.<br /> <br /> Как исправить:<br /> <br /> ➡ Открыть &quot;официальный&quot; способ решать нужные для выполнения служебных обязанностей задачи или предложить работникам корпоративные лицензии на нужные сервисы.<br /> <br /> ➡ Обеспечить мониторинг теневых сервисов и потоков данных (вообще, иметь карту информационных потоков также полезно, как и базу активов).<br /> <br /> ➡ Разработать и контролировать политику хранения данных.<br /> <br /> ==Ошибка №20. Отсутствие сети контактов между специалистами==<br /> <br /> [[Файл:Ошибка №20. Отсутствие сети контактов между специалистами.jpg|x250px]]<br /> <br /> Во время инцидентов часто теряется драгоценное время, потому что ИБ, ИТ, DevOps, юристы, PR, подрядчики или специалисты с иными нужными компетенциями просто не могут оперативно связаться друг с другом. Контакты устарели, лежат в недоступных системах, хранятся у одного человека или вовсе отсутствуют.<br /> <br /> Например, в одном финтехе при компрометации CI/CD ИБ не смогла найти DevOps-лида – его контактов не было в актуальном списке. В результате восстановление задержалось на несколько часов, и злоумышленники успели распространить вредоносный код на продовый кластер.<br /> <br /> Как исправить:<br /> <br /> ➡ Создать и обновлять единый перечень аварийных контактов.<br /> <br /> ➡ Хранить его в нескольких местах, включая офлайн.<br /> <br /> ➡ Включить коммуникационные сценарии в программу учений.<br /> <br /> ==Ошибка №21. Отсутствие культуры ненаказания==<br /> <br /> [[Файл:Ошибка №21. Отсутствие культуры ненаказания.jpg|x250px]]<br /> <br /> Когда за ошибки карают – их скрывают. Инциденты растут, а цикл обнаружения увеличивается.<br /> <br /> Например, на одном производстве сотрудник заметил подозрительные файлы, но боялся сообщить, &quot;вдруг он что-то сделал не так&quot;. Через час началось массовое шифрование внутри инфраструктуры.<br /> <br /> Как исправить:<br /> <br /> ➡ Формировать прозрачную систему поощрения за раннее предупреждение.<br /> <br /> ➡ Анализ инцидентов без поиска виноватого (не путать с анализом root cause).<br /> <br /> ➡ Публичные кейсы успешного поведения.<br /> <br /> ==Ошибка №22. Коммуникация ИБ на &quot;птичьем техническом диалекте&quot;==<br /> <br /> [[Файл:Ошибка №22. Коммуникация ИБ на &quot;птичьем техническом диалекте&quot;.jpg|x250px]]<br /> <br /> Когда CISO говорит на языке CVE, SIEM, EDR, SOC и ATT&amp;CK, бизнес слышит белый шум. В итоге нужные решения не принимаются.<br /> <br /> Например, одна компания откладывала внедрение MFA три года, потому что &quot;доклад ИБ непонятен&quot;. После демонстрации удачного бизнес-кейса внедрили за месяц.<br /> <br /> Как исправить:<br /> <br /> ➡ Переводить риски на язык денег и последствий.<br /> <br /> ➡ Давать руководству понятные ему сценарии и альтернативы.<br /> <br /> ➡ Построить &quot;CISO Dashboard&quot; с бизнес-метриками.<br /> <br /> ==Ошибка №23. Невыполнение требований compliance==<br /> <br /> [[Файл:Ошибка №23. Невыполнение требований compliance.jpg|x250px]]<br /> <br /> Компания может годами игнорировать обязательные требования регуляторов или отраслевых стандартов, но в момент инцидента это может обернуться штрафами, проверками, ограничениями деятельности, потерей лицензий и серьезными репутационными последствиями. Нередко оказывается, что ущерб от невыполнения некоторых нормативных актов (не всех) куда выше стоимости его соблюдения.<br /> <br /> Например, после крупного инцидента в одной финансовой организации регулятор установил, что компания не выполняла обязательные требования PCI DSS по журналированию и сегментации. В результате – многомиллионные штрафы, внеплановая проверка, запрет на запуск новых услуг и прямые убытки от оттока клиентов.<br /> <br /> Как исправить:<br /> <br /> ➡ Проводить регулярную оценку соответствия адекватным требованиям и устранять пробелы до проверок и инцидентов.<br /> <br /> ➡ Автоматизировать контроль выполнения адекватных требований по ключевым зонам (доступы, сегментация, журналы регистрации).<br /> <br /> ➡ Встраивать compliance в архитектуру процессов, а не оформлять в виде отчетов &quot;для аудиторов&quot;, или пытаться выполнить все в авральном режиме.<br /> <br /> ==Ошибка №24. Выгорание специалистов ИБ==<br /> <br /> [[Файл:Ошибка №24. Выгорание специалистов ИБ.jpg|x250px]]<br /> <br /> Перегруженные специалисты совершают ошибки, принимают плохие решения и покидают команду.<br /> <br /> Например, SOC-команда крупной авиакомпании пропустила ранние признаки атаки, потому что работала в режиме постоянных переработок.<br /> <br /> Как исправить:<br /> <br /> ➡ Реалистичные и обоснованные нагрузки.<br /> <br /> ➡ Автоматизация рутинных операций<br /> <br /> ➡ Поддержка команды и программы благополучия (well-being).<br /> <br /> (c) Алексей Лукацкий 2025</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9624._%D0%92%D1%8B%D0%B3%D0%BE%D1%80%D0%B0%D0%BD%D0%B8%D0%B5_%D1%81%D0%BF%D0%B5%D1%86%D0%B8%D0%B0%D0%BB%D0%B8%D1%81%D1%82%D0%BE%D0%B2_%D0%98%D0%91.jpg&diff=162 2025-12-20T17:00:52Z

<p>Hunter po: Ошибка №24. Выгорание специалистов ИБ</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №24. Выгорание специалистов ИБ</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9623._%D0%9D%D0%B5%D0%B2%D1%8B%D0%BF%D0%BE%D0%BB%D0%BD%D0%B5%D0%BD%D0%B8%D0%B5_%D1%82%D1%80%D0%B5%D0%B1%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B9_compliance.jpg&diff=161 2025-12-20T17:00:21Z

<p>Hunter po: Ошибка №23. Невыполнение требований compliance</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №23. Невыполнение требований compliance</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9622._%D0%9A%D0%BE%D0%BC%D0%BC%D1%83%D0%BD%D0%B8%D0%BA%D0%B0%D1%86%D0%B8%D1%8F_%D0%98%D0%91_%D0%BD%D0%B0_%22%D0%BF%D1%82%D0%B8%D1%87%D1%8C%D0%B5%D0%BC_%D1%82%D0%B5%D1%85%D0%BD%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%BE%D0%BC_%D0%B4%D0%B8%D0%B0%D0%BB%D0%B5%D0%BA%D1%82%D0%B5%22.jpg&diff=160 2025-12-20T16:59:51Z

<p>Hunter po: Ошибка №22. Коммуникация ИБ на &quot;птичьем техническом диалекте&quot;</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №22. Коммуникация ИБ на &quot;птичьем техническом диалекте&quot;</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9621._%D0%9E%D1%82%D1%81%D1%83%D1%82%D1%81%D1%82%D0%B2%D0%B8%D0%B5_%D0%BA%D1%83%D0%BB%D1%8C%D1%82%D1%83%D1%80%D1%8B_%D0%BD%D0%B5%D0%BD%D0%B0%D0%BA%D0%B0%D0%B7%D0%B0%D0%BD%D0%B8%D1%8F.jpg&diff=159 2025-12-20T16:59:20Z

<p>Hunter po: Ошибка №21. Отсутствие культуры ненаказания</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №21. Отсутствие культуры ненаказания</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9620._%D0%9E%D1%82%D1%81%D1%83%D1%82%D1%81%D1%82%D0%B2%D0%B8%D0%B5_%D1%81%D0%B5%D1%82%D0%B8_%D0%BA%D0%BE%D0%BD%D1%82%D0%B0%D0%BA%D1%82%D0%BE%D0%B2_%D0%BC%D0%B5%D0%B6%D0%B4%D1%83_%D1%81%D0%BF%D0%B5%D1%86%D0%B8%D0%B0%D0%BB%D0%B8%D1%81%D1%82%D0%B0%D0%BC%D0%B8.jpg&diff=158 2025-12-20T16:58:53Z

<p>Hunter po: Ошибка №20. Отсутствие сети контактов между специалистами</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №20. Отсутствие сети контактов между специалистами</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9618._Legacy-%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D1%8B.jpg&diff=157 2025-12-20T16:57:27Z

<p>Hunter po: Ошибка №18. Legacy-системы</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №18. Legacy-системы</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9617._%D0%A1%D0%BB%D0%B0%D0%B1%D0%B0%D1%8F_%D0%B8%D0%BB%D0%B8_%D0%BE%D1%82%D1%81%D1%83%D1%82%D1%81%D1%82%D0%B2%D1%83%D1%8E%D1%89%D0%B0%D1%8F_MFA.jpg&diff=156 2025-12-20T16:57:03Z

<p>Hunter po: Ошибка №17. Слабая или отсутствующая MFA</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №17. Слабая или отсутствующая MFA</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9616._%D0%9D%D0%B5%D1%82_%D1%80%D0%B5%D0%B3%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%86%D0%B8%D0%B8_%D1%81%D0%BE%D0%B1%D1%8B%D1%82%D0%B8%D0%B9_%D0%B8_%D0%BC%D0%BE%D0%BD%D0%B8%D1%82%D0%BE%D1%80%D0%B8%D0%BD%D0%B3%D0%B0.jpg&diff=155 2025-12-20T16:56:35Z

<p>Hunter po: Ошибка №16. Нет регистрации событий и мониторинга</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №16. Нет регистрации событий и мониторинга</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9615._%D0%9E%D1%82%D1%81%D1%83%D1%82%D1%81%D1%82%D0%B2%D0%B8%D0%B5_%D1%81%D0%B5%D0%B3%D0%BC%D0%B5%D0%BD%D1%82%D0%B0%D1%86%D0%B8%D0%B8.jpg&diff=154 2025-12-20T16:56:08Z

<p>Hunter po: Ошибка №15. Отсутствие сегментации</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №15. Отсутствие сегментации</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9614._%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B8_%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D1%83%D1%80%D0%B0%D1%86%D0%B8%D0%B9.jpg&diff=153 2025-12-20T16:55:40Z

<p>Hunter po: Ошибка №14. Ошибки конфигураций</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №14. Ошибки конфигураций</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9613._%D0%A0%D0%B5%D0%B7%D0%B5%D1%80%D0%B2%D0%BD%D1%8B%D0%B5_%D0%BA%D0%BE%D0%BF%D0%B8%D0%B8_%D0%B5%D1%81%D1%82%D1%8C,_%D0%BD%D0%BE_%D0%BD%D0%B5_%D1%82%D0%B5%D1%81%D1%82%D0%B8%D1%80%D1%83%D1%8E%D1%82%D1%81%D1%8F.jpg&diff=152 2025-12-20T16:55:14Z

<p>Hunter po: Ошибка №13. Резервные копии есть, но не тестируются</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №13. Резервные копии есть, но не тестируются</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9612._%D0%9D%D0%B5%D1%82_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D0%B9_%D1%80%D0%B0%D0%B7%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D0%BA%D0%B8_%D0%B8_%D0%BA%D0%BE%D0%BD%D1%82%D1%80%D0%BE%D0%BB%D1%8F_%D0%B8%D0%B7%D0%BC%D0%B5%D0%BD%D0%B5%D0%BD%D0%B8%D0%B9.jpg&diff=151 2025-12-20T16:54:44Z

<p>Hunter po: Ошибка №12. Нет безопасной разработки и контроля изменений</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №12. Нет безопасной разработки и контроля изменений</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9611._%D0%A1%D0%BB%D0%B0%D0%B1%D1%8B%D0%B9_%D0%BA%D0%BE%D0%BD%D1%82%D1%80%D0%BE%D0%BB%D1%8C_%D0%BF%D0%BE%D0%B4%D1%80%D1%8F%D0%B4%D1%87%D0%B8%D0%BA%D0%BE%D0%B2_(supply_chain).jpg&diff=150 2025-12-20T16:54:20Z

<p>Hunter po: Ошибка №11. Слабый контроль подрядчиков (supply chain)</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №11. Слабый контроль подрядчиков (supply chain)</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%9610._%D0%9D%D0%B5%D1%82_%D1%80%D0%B5%D0%B5%D1%81%D1%82%D1%80%D0%B0_%D0%B0%D0%BA%D1%82%D0%B8%D0%B2%D0%BE%D0%B2.jpg&diff=149 2025-12-20T16:53:52Z

<p>Hunter po: Ошибка №10. Нет реестра активов</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №10. Нет реестра активов</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%969._%D0%9D%D0%B5%D1%82_%D0%BE%D0%B1%D1%83%D1%87%D0%B5%D0%BD%D0%B8%D1%8F_%D0%B8_%D1%82%D1%80%D0%B5%D0%BD%D0%B8%D1%80%D0%BE%D0%B2%D0%BA%D0%B8.jpg&diff=148 2025-12-20T16:53:19Z

<p>Hunter po: Ошибка №9. Нет обучения и тренировки</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №9. Нет обучения и тренировки</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%968._%D0%9D%D0%B5%D1%82_%D0%BE%D1%82%D0%BB%D0%B0%D0%B6%D0%B5%D0%BD%D0%BD%D0%BE%D0%B3%D0%BE_%D0%BF%D1%80%D0%BE%D1%86%D0%B5%D1%81%D1%81%D0%B0_%D1%80%D0%B5%D0%B0%D0%B3%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F.jpg&diff=147 2025-12-20T16:52:37Z

<p>Hunter po: Ошибка №8. Нет отлаженного процесса реагирования</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №8. Нет отлаженного процесса реагирования</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%967._%D0%98%D0%B3%D0%BD%D0%BE%D1%80%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5_%C2%AB%D0%BD%D0%B5%D0%BA%D1%80%D0%B8%D1%82%D0%B8%D1%87%D0%BD%D1%8B%D1%85%C2%BB_%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D0%B5%D0%B9.jpg&diff=146 2025-12-20T16:52:03Z

<p>Hunter po: Ошибка №7. Игнорирование «некритичных» уязвимостей</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №7. Игнорирование «некритичных» уязвимостей</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%966._%D0%9F%D0%B5%D0%BD%D1%82%D0%B5%D1%81%D1%82%D1%8B_%D1%80%D0%B0%D0%B7_%D0%B2_%D0%B3%D0%BE%D0%B4_%D0%B2%D0%BC%D0%B5%D1%81%D1%82%D0%BE_%D0%BF%D0%BE%D1%81%D1%82%D0%BE%D1%8F%D0%BD%D0%BD%D0%BE%D0%B3%D0%BE_%D0%BA%D0%BE%D0%BD%D1%82%D1%80%D0%BE%D0%BB%D1%8F.jpg&diff=145 2025-12-20T16:51:12Z

<p>Hunter po: Ошибка №6. Пентесты раз в год вместо постоянного контроля</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №6. Пентесты раз в год вместо постоянного контроля</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%965._%D0%9E%D1%82%D1%81%D1%83%D1%82%D1%81%D1%82%D0%B2%D0%B8%D0%B5_%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%B5%D0%B3%D0%B8%D0%B8_%D1%80%D0%B0%D0%B7%D0%B2%D0%B8%D1%82%D0%B8%D1%8F_%D0%98%D0%91.jpg&diff=144 2025-12-20T16:50:42Z

<p>Hunter po: Ошибка №5. Отсутствие стратегии развития ИБ</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №5. Отсутствие стратегии развития ИБ</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%964._%D0%9E%D1%80%D0%B8%D0%B5%D0%BD%D1%82%D0%B0%D1%86%D0%B8%D1%8F_%D1%82%D0%BE%D0%BB%D1%8C%D0%BA%D0%BE_%D0%BD%D0%B0_%D0%B8%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BC%D0%B5%D0%BD%D1%82%D1%8B.jpg&diff=143 2025-12-20T16:50:07Z

<p>Hunter po: Ошибка №4. Ориентация только на инструменты</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №4. Ориентация только на инструменты</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%963._%D0%9D%D0%B5%D0%BF%D1%80%D0%B0%D0%B2%D0%B8%D0%BB%D1%8C%D0%BD%D0%BE%D0%B5_%D1%80%D0%B0%D1%81%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5_%D0%BE%D1%82%D0%B2%D0%B5%D1%82%D1%81%D1%82%D0%B2%D0%B5%D0%BD%D0%BD%D0%BE%D1%81%D1%82%D0%B8.jpg&diff=142 2025-12-20T16:49:11Z

<p>Hunter po: Ошибка №3. Неправильное распределение ответственности</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №3. Неправильное распределение ответственности</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%962._%D0%9D%D0%B5_%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D0%B0%D1%8E%D1%82_%D0%BF%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B8_%D0%B8_%D1%80%D0%B5%D0%B3%D0%BB%D0%B0%D0%BC%D0%B5%D0%BD%D1%82%D1%8B.jpg&diff=141 2025-12-20T16:48:28Z

<p>Hunter po: Ошибка №2. Не работают политики и регламенты</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №2. Не работают политики и регламенты</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%95%D0%B2%D0%B0%D0%BD%D0%B3%D0%B5%D0%BB%D0%B8%D0%B5_%D0%BE%D1%82_%D0%9B%D1%83%D0%BA%D0%B8&diff=140 2025-12-20T16:47:19Z

<p>Hunter po: /* Ошибка 9. Нет обучения и тренировки */</p> <hr /> <div>==Ошибка №1. ИБ живет отдельно от бизнеса==<br /> <br /> [[Файл:Ошибка №1. ИБ живет отдельно от бизнеса.jpg|x250px]]<br /> <br /> Когда безопасность не встроена в экономику и финансы, операционные процессы и стратегию, она превращается в &quot;блокера&quot; и бессмысленный набор запретов. В таких компаниях ИБ узнает о запуске продукта в день релиза, о новых подрядчиках – после начала работ, а о внедрениях – когда что-то ломается.<br /> <br /> Например, один крупный ритейлер потерял миллионы из-за остановки нового мобильного приложения: ИБшники не участвовали в проекте, и API вышел в прод без даже базовых защитных мер, включая и банальную авторизацию. Утечка данных 200k пользователей стала следствием организационного разрыва между ИБ и DevOps.<br /> <br /> Как исправить:<br /> <br /> ➡️ Встроить ИБ в жизненный цикл продукта, закупок, DevOps, изменения инфраструктуры.<br /> <br /> ➡️ Привязать риски безопасности к бизнес-метрикам (ну или пойти по пути недопустимых событий).<br /> <br /> ➡️ Сформировать у руководства понимание, что ИБ – функция управления бизнес-рисками, а не &quot;технический отдел&quot;.<br /> <br /> ==Ошибка №2. Не работают политики и регламенты==<br /> <br /> Документы есть, но они либо не отражают реальность, либо никто им не следует. Сотрудники подписывают положения &quot;для галочки&quot;, а процессы строятся вне нормативов.<br /> <br /> Например, в одной финансовой компании политика по управлению доступами требовала отключать доступ уволенного сотрудника в течение часа, но ИТ делала это &quot;когда дойдут руки&quot;, а иногда и вовсе не узнавала о факте увольнения, так как HR &quot;забывал&quot; уведомить об этом соответствующие подразделения. Инсайдер, экс-сотрудник, воспользовавшись этим &quot;окном&quot; унес из облачной CRM десятки контрактов.<br /> <br /> Как исправить:<br /> <br /> ➡️ Политики должны описывать реальные процессы, а не процессы должны подстраиваться под бумажные процессы.<br /> <br /> ➡️ Нормативы должны быть встроены в ITSM / DevOps-платформы.<br /> <br /> ➡️ Контроль исполнения – обязательная часть аудита.<br /> <br /> ==Ошибка №3. Неправильное распределение ответственности==<br /> <br /> Классическая ошибка: &quot;ИБ отвечает за все&quot;. На деле безопасность – распределенная функция (это вообще-то функция, а не подразделение). Когда ответственность не формализована, никто не отвечает за доступы, обновления, уязвимости, конфиги и мониторинг.<br /> <br /> Например, в одной госструктуре ИТ-администраторы считали, что патчи ставит ИБ, а ИБ считала наоборот. Результат – эксплуатация старого RCE в Exchange и компрометация внутреннего домена.<br /> <br /> Как исправить:<br /> <br /> ➡️ Составить матрицу RACI на ключевые процессы (не забывайте ее поддерживать в актуальном состоянии).<br /> <br /> ➡️ Декомпозировать зоны ответственности: ИТ, ИБ, DevOps.<br /> <br /> ➡️ Закрепить ответственность в форме KPI.<br /> <br /> ==Ошибка №4. Ориентация только на инструменты==<br /> <br /> Руководство покупает &quot;волшебные коробки&quot;, а процессы остаются прежними. SIEM без собственных, регулярно обновляемых правил корреляции, DLP без классификации информации согласно ее ценности и процессов обработки, EDR без реагирования – мертвые инвестиции.<br /> <br /> Например, компания внедрила SIEM, но не выделила команду аналитиков, которые бы постоянно проводила анализ событий ИБ, адаптацию правил, написание корреляционных цепочек и т.п. Полгода SIEM работал &quot;на запись&quot;, а атака через компрометацию VPN-доступа осталась незамеченной – хотя события были в логах.<br /> <br /> Как исправить:<br /> <br /> ➡ Любой инструмент не может существовать без людей, процессов и интеграции.<br /> <br /> ➡ Начинать нужно с процессов, а не с закупок.<br /> <br /> ==Ошибка №5. Отсутствие стратегии развития ИБ==<br /> <br /> Работа ведется хаотично, в режиме тушения пожаров. Нет целевой архитектуры, дорожной карты, метрик зрелости и и процесса ее оценки.<br /> <br /> Например, у крупного холдинга SOC появился раньше, чем инвентаризация ресурсов. В результате SOC не видел 40% инфраструктуры.<br /> <br /> Как исправить:<br /> <br /> ➡ Построить модель зрелости (NIST CSF, разные варианты CMM).<br /> <br /> ➡ Выработать 2–3-летнюю дорожную карту с приоритетами.<br /> <br /> ➡ Связать стратегию ИБ со стратегией цифровой трансформации и бизнес-стратегией.<br /> <br /> ==Ошибка №6. Пентесты раз в год вместо постоянного контроля==<br /> <br /> Однократный пентест – иллюзия безопасности. Уязвимости появляются ежедневно.<br /> <br /> Например, один банк прошел летом пентест в соответствие с требованиями Банка России и ФСТЭК. Осенью появилась критическая уязвимость в VPN-шлюзе – ее никто не заметил. Через нее APT-группировка получила доступ внутрь банковской инфраструктуры и месяц держалась внутри сети.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрить постоянное сканирование уязвимостей, в том числе включая и внедрение решений класса BAS (Breach &amp; Attack Simulation).<br /> <br /> ➡ Проводить периодические Red Team / Purple Team.<br /> <br /> ➡ Выставить компанию или ее ключевые системы на Bug Bounty и кибериспытания.<br /> <br /> ==Ошибка №7. Игнорирование «некритичных» уязвимостей==<br /> <br /> Уязвимость CVSS 5.0 может быть идеальной точкой входа, если ее эксплуатация проста.<br /> <br /> Например, в 2023–2024 годах сотни компаний пострадали от массовых атак через уязвимости в Confluence и MOVEit, имеющий невысокий CVSS.<br /> <br /> Как исправить:<br /> <br /> ➡ Оценивать уязвимости по их эксплуатируемости/трендовости (EPSS, KEV), а не только по их базовому уровню CVSS.<br /> <br /> ➡ Учитывать бизнес-контекст и критичность систем, в которых найдены уязвимости.<br /> <br /> ➡ Строить процесс риск-ориентированного обновления.<br /> <br /> ==Ошибка №8. Нет отлаженного процесса реагирования==<br /> <br /> SOC находит проблему, но дальше начинается хаос. Кто блокирует? Кто согласует отключение атакованных систем? Кто информирует вышестоящее начальство об инциденте? Кто занимается восстанавлением?<br /> <br /> Например, в медицинской организации SOC увидел расширение плацдарма (lateral movement) шифровальщиком, но не смог остановить атаку из-за отсутствия полномочий. Через 3 часа был зашифрованы сегменты с данными пациентов, электронными медицинскими записями и медицинским оборудованием.<br /> <br /> Как исправить:<br /> <br /> ➡ Создать соответствующие плейбуки под типовые для организации инциденты с указанием ролей, сценариями действий, чеклистами.<br /> <br /> ➡ Проводить регулярные киберучения (штабные и технические, на киберполигонах).<br /> <br /> ➡ Дать SOC привилегии осуществлять &quot;срочные действия&quot;.<br /> <br /> ==Ошибка №9. Нет обучения и тренировки==<br /> <br /> Персонал не знает, как действовать, потому что никогда не проводилось обучение действиям в нештатных ситуациях и при инцидентах.<br /> <br /> Например, на заводе оператор не знал, что делать при блокировке HMI шифровальщиком и в панике обесточил часть цеха, остановив производство и увеличив ущерб от атаки.<br /> <br /> Как исправить:<br /> <br /> ➡ Регулярные штабные киберучения, а также иные формы сценарной геймификации процесса обучения.<br /> <br /> ➡ Практические тренировки реагирования на инциденты (как противопожарные тренировки).<br /> <br /> ➡ Обучение не только и не столько служб ИБ и ИТ, но и бизнес-подразделений.<br /> <br /> ==Ошибка №10. Нет реестра активов==<br /> <br /> Нельзя защитить то, чего не знаешь. Замурованные в стены сервера (был у меня такой кейс как-то), виртуалки-&quot;летучие голландцы&quot;, установленные для удобства Wi-Fi-точки доступа, забытые VPN-доступы, старые тестовые стенды – все это прекрасные входы внутрь инфраструктуры.<br /> <br /> Например, в Colonial Pipeline одной из точек входа был старый VPN-аккаунт без MFA, невнесенный в список активов.<br /> <br /> Как исправить:<br /> <br /> ➡ Формирование собственной базы CMDB или доступ к ИТшной, а также автоматическое обнаружение активов.<br /> <br /> ➡ Инвентаризация облаков, SaaS, теневых ИТ (shadow IT), включая теневые ML.<br /> <br /> ➡ Классификация данных и сервисов по критичности для бизнеса.<br /> <br /> ==Ошибка №11. Слабый контроль подрядчиков (supply chain)==<br /> <br /> Внешние вендоры имеют доступ к вашей инфраструктуре, но вы не контролируете их безопасность и их доступы в вашу внутрянку.<br /> <br /> Например, атаки на SolarWinds, MOVEit, 3CX – крупнейшие supply chain инциденты последних лет.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрить процесс оценки вендоров.<br /> <br /> ➡ Требовать MFA, регистрации событий, ограничение доступов.<br /> <br /> ➡ Контролировать работу подрядчиков в реальном времени.<br /> <br /> ==Ошибка №12. Нет безопасной разработки и контроля изменений==<br /> <br /> Продукт выходит быстрее, чем его успевают проверять на предмет безопасности. Небезопасные настройки по умолчанию, жестко зашитые ключи и секреты, слабая авторизация – типичные дефекты, приводящие к ущербу.<br /> <br /> Например, в 2022 один финтех-стартап потерял десятки миллионов из-за ошибки в авторизации в API (IDOR). Ошибка появилась после &quot;быстрого&quot; релиза кода без его анализа.<br /> <br /> Как исправить:<br /> <br /> ➡ Ввести в компании практику DevSecOps.<br /> <br /> ➡ Включение Security Gate в CI/CD.<br /> <br /> ➡ Внедрить статический и динамический анализ и проверка IaC.<br /> <br /> ==Ошибка №13. Резервные копии есть, но не тестируются==<br /> <br /> Половина компаний узнает о том, что бэкапы нечитаемы и данные невосстановимы, исключительно во время инцидентов с шифровальщиками.<br /> <br /> Например, в 2023 муниципальный госпиталь в США был вынужден выплатить выкуп, потому что четыре года бэкапы записывались на поврежденный стример, а никто даже не побеспокоился проверить, работает ли он.<br /> <br /> Как исправить:<br /> <br /> ➡ Тестировать восстановление из резервных копий регулярно.<br /> <br /> ➡ Хранить оффлайн-копии.<br /> <br /> ➡ Документировать процедуры восстановления.<br /> <br /> ==Ошибка №14. Ошибки конфигураций==<br /> <br /> Самый распространенный тип уязвимостей. Человеческий фактор + сложность инфраструктуры приводят к бесконечному потоку ошибочных конфигураций, которыми и пользуются плохие парни.<br /> <br /> Например, открытые для общего доступа корзины Elasticsearch/S3/MinIO приводили к утечкам миллионов данных в компаниях Uber, Verizon и десятках других.<br /> <br /> Как исправить:<br /> <br /> ➡ Применять автоматические сканеры конфигураций.<br /> <br /> ➡ Проверять соответствие политикам безопасности (например, CIS Benchmarks или предоставленные разработчиками сканеров безопасности).<br /> <br /> ➡ Обязательный анализ кода IaC.<br /> <br /> ==Ошибка №15. Отсутствие сегментации==<br /> <br /> Плоская сеть – это рай для злоумышленников, расширяющих плацдарм внутри скомпрометированной инфраструктуры.<br /> <br /> Например, WannaCry распространялся мгновенно именно в плоских сетях без сегментации. То же самое – Ryuk, Conti и другие шифровальщики. <br /> <br /> Как исправить:<br /> <br /> ➡ Внедрять сетевую сегментацию, VLAN, микросегментацию.<br /> <br /> ➡ Внедрять Zero Trust Network Access.<br /> <br /> ➡ Ограничение межсервисных коммуникаций.<br /> <br /> ==Ошибка №16. Нет регистрации событий и мониторинга==<br /> <br /> Компания может быть взломана месяцы назад – и не знать об этом, а хакеры орудуют внутри инфраструктуры, не боясь обнаружения.<br /> <br /> Например, Equifax была скомпрометирована более двух месяцев прежде, чем заметила активность в системе.<br /> <br /> Как исправить:<br /> <br /> ➡ Регистрация всех критичных для конкретной компании/процесса/системы событий.<br /> <br /> ➡ Централизация логов.<br /> <br /> ➡ Построение SOC с аналитикой и ML-корреляцией событий.<br /> <br /> ==Ошибка №17. Слабая или отсутствующая MFA==<br /> <br /> Усталость от push'ей и запросов на подтверждение аутентификации, однофакторные протоколы, использование одноразовых кодов в SMS, отсутствие защиты сессий – и злоумышленник внутри.<br /> <br /> Например, во время взлома Uber в 2022 атакующий использовал усталость от push-уведомлений и социальный инжиниринг для обхода MFA. Аналогичным образом взламывали Cisco, казино MGM Grand и многие другие компании.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрение FIDO2.<br /> <br /> ➡ Контроль устройства и контекстный доступ.<br /> <br /> ➡ Защищенные каналы выдачи токенов.<br /> <br /> ==Ошибка №18. Legacy-системы==<br /> <br /> Старые ОС, уже не поддерживаемые производителем компоненты, устаревшие сервера и оборудование – идеальная мишень для атак.<br /> <br /> Например, WannaCry массово поражал Windows XP, которая продолжала использоваться в больницах и госучреждениях.<br /> <br /> Как исправить:<br /> <br /> ➡ Разработать и реализовывать план миграции.<br /> <br /> ➡ Виртуализация и изоляция legacy.<br /> <br /> ➡ Мониторинг вокруг критичных legacy-узлов.<br /> <br /> ==Ошибка №19. Теневые ИТ и данные (shadow IT / data)==<br /> <br /> Облака, личные Google Docs, неучтенные SaaS, тестовые базы с реальными данными, оплаченные личными картами GPT-сервисы – все это выходит за рамки привычного контроля ИБ и является точкой проникновения в компанию и утечки данных.<br /> <br /> Например, сотрудник случайно оставил копию клиентской базы в личном Dropbox → утечка и большой штраф от регулятора.<br /> <br /> Как исправить:<br /> <br /> ➡ Открыть &quot;официальный&quot; способ решать нужные для выполнения служебных обязанностей задачи или предложить работникам корпоративные лицензии на нужные сервисы.<br /> <br /> ➡ Обеспечить мониторинг теневых сервисов и потоков данных (вообще, иметь карту информационных потоков также полезно, как и базу активов).<br /> <br /> ➡ Разработать и контролировать политику хранения данных.<br /> <br /> ==Ошибка №20. Отсутствие сети контактов между специалистами==<br /> <br /> Во время инцидентов часто теряется драгоценное время, потому что ИБ, ИТ, DevOps, юристы, PR, подрядчики или специалисты с иными нужными компетенциями просто не могут оперативно связаться друг с другом. Контакты устарели, лежат в недоступных системах, хранятся у одного человека или вовсе отсутствуют.<br /> <br /> Например, в одном финтехе при компрометации CI/CD ИБ не смогла найти DevOps-лида – его контактов не было в актуальном списке. В результате восстановление задержалось на несколько часов, и злоумышленники успели распространить вредоносный код на продовый кластер.<br /> <br /> Как исправить:<br /> <br /> ➡ Создать и обновлять единый перечень аварийных контактов.<br /> <br /> ➡ Хранить его в нескольких местах, включая офлайн.<br /> <br /> ➡ Включить коммуникационные сценарии в программу учений.<br /> <br /> ==Ошибка №21. Отсутствие культуры ненаказания==<br /> <br /> Когда за ошибки карают – их скрывают. Инциденты растут, а цикл обнаружения увеличивается.<br /> <br /> Например, на одном производстве сотрудник заметил подозрительные файлы, но боялся сообщить, &quot;вдруг он что-то сделал не так&quot;. Через час началось массовое шифрование внутри инфраструктуры.<br /> <br /> Как исправить:<br /> <br /> ➡ Формировать прозрачную систему поощрения за раннее предупреждение.<br /> <br /> ➡ Анализ инцидентов без поиска виноватого (не путать с анализом root cause).<br /> <br /> ➡ Публичные кейсы успешного поведения.<br /> <br /> ==Ошибка №22. Коммуникация ИБ на &quot;птичьем техническом диалекте&quot;==<br /> <br /> Когда CISO говорит на языке CVE, SIEM, EDR, SOC и ATT&amp;CK, бизнес слышит белый шум. В итоге нужные решения не принимаются.<br /> <br /> Например, одна компания откладывала внедрение MFA три года, потому что &quot;доклад ИБ непонятен&quot;. После демонстрации удачного бизнес-кейса внедрили за месяц.<br /> <br /> Как исправить:<br /> <br /> ➡ Переводить риски на язык денег и последствий.<br /> <br /> ➡ Давать руководству понятные ему сценарии и альтернативы.<br /> <br /> ➡ Построить &quot;CISO Dashboard&quot; с бизнес-метриками.<br /> <br /> ==Ошибка №23. Невыполнение требований compliance==<br /> <br /> Компания может годами игнорировать обязательные требования регуляторов или отраслевых стандартов, но в момент инцидента это может обернуться штрафами, проверками, ограничениями деятельности, потерей лицензий и серьезными репутационными последствиями. Нередко оказывается, что ущерб от невыполнения некоторых нормативных актов (не всех) куда выше стоимости его соблюдения.<br /> <br /> Например, после крупного инцидента в одной финансовой организации регулятор установил, что компания не выполняла обязательные требования PCI DSS по журналированию и сегментации. В результате – многомиллионные штрафы, внеплановая проверка, запрет на запуск новых услуг и прямые убытки от оттока клиентов.<br /> <br /> Как исправить:<br /> <br /> ➡ Проводить регулярную оценку соответствия адекватным требованиям и устранять пробелы до проверок и инцидентов.<br /> <br /> ➡ Автоматизировать контроль выполнения адекватных требований по ключевым зонам (доступы, сегментация, журналы регистрации).<br /> <br /> ➡ Встраивать compliance в архитектуру процессов, а не оформлять в виде отчетов &quot;для аудиторов&quot;, или пытаться выполнить все в авральном режиме.<br /> <br /> ==Ошибка №24. Выгорание специалистов ИБ==<br /> <br /> Перегруженные специалисты совершают ошибки, принимают плохие решения и покидают команду.<br /> <br /> Например, SOC-команда крупной авиакомпании пропустила ранние признаки атаки, потому что работала в режиме постоянных переработок.<br /> <br /> Как исправить:<br /> <br /> ➡ Реалистичные и обоснованные нагрузки.<br /> <br /> ➡ Автоматизация рутинных операций<br /> <br /> ➡ Поддержка команды и программы благополучия (well-being).<br /> <br /> (c) Алексей Лукацкий 2025</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%95%D0%B2%D0%B0%D0%BD%D0%B3%D0%B5%D0%BB%D0%B8%D0%B5_%D0%BE%D1%82_%D0%9B%D1%83%D0%BA%D0%B8&diff=139 2025-12-20T16:46:42Z

<p>Hunter po: Новая страница: «==Ошибка №1. ИБ живет отдельно от бизнеса== Файл:Ошибка №1. ИБ живет отдельно от бизнеса.jp...»</p> <hr /> <div>==Ошибка №1. ИБ живет отдельно от бизнеса==<br /> <br /> [[Файл:Ошибка №1. ИБ живет отдельно от бизнеса.jpg|x250px]]<br /> <br /> Когда безопасность не встроена в экономику и финансы, операционные процессы и стратегию, она превращается в &quot;блокера&quot; и бессмысленный набор запретов. В таких компаниях ИБ узнает о запуске продукта в день релиза, о новых подрядчиках – после начала работ, а о внедрениях – когда что-то ломается.<br /> <br /> Например, один крупный ритейлер потерял миллионы из-за остановки нового мобильного приложения: ИБшники не участвовали в проекте, и API вышел в прод без даже базовых защитных мер, включая и банальную авторизацию. Утечка данных 200k пользователей стала следствием организационного разрыва между ИБ и DevOps.<br /> <br /> Как исправить:<br /> <br /> ➡️ Встроить ИБ в жизненный цикл продукта, закупок, DevOps, изменения инфраструктуры.<br /> <br /> ➡️ Привязать риски безопасности к бизнес-метрикам (ну или пойти по пути недопустимых событий).<br /> <br /> ➡️ Сформировать у руководства понимание, что ИБ – функция управления бизнес-рисками, а не &quot;технический отдел&quot;.<br /> <br /> ==Ошибка №2. Не работают политики и регламенты==<br /> <br /> Документы есть, но они либо не отражают реальность, либо никто им не следует. Сотрудники подписывают положения &quot;для галочки&quot;, а процессы строятся вне нормативов.<br /> <br /> Например, в одной финансовой компании политика по управлению доступами требовала отключать доступ уволенного сотрудника в течение часа, но ИТ делала это &quot;когда дойдут руки&quot;, а иногда и вовсе не узнавала о факте увольнения, так как HR &quot;забывал&quot; уведомить об этом соответствующие подразделения. Инсайдер, экс-сотрудник, воспользовавшись этим &quot;окном&quot; унес из облачной CRM десятки контрактов.<br /> <br /> Как исправить:<br /> <br /> ➡️ Политики должны описывать реальные процессы, а не процессы должны подстраиваться под бумажные процессы.<br /> <br /> ➡️ Нормативы должны быть встроены в ITSM / DevOps-платформы.<br /> <br /> ➡️ Контроль исполнения – обязательная часть аудита.<br /> <br /> ==Ошибка №3. Неправильное распределение ответственности==<br /> <br /> Классическая ошибка: &quot;ИБ отвечает за все&quot;. На деле безопасность – распределенная функция (это вообще-то функция, а не подразделение). Когда ответственность не формализована, никто не отвечает за доступы, обновления, уязвимости, конфиги и мониторинг.<br /> <br /> Например, в одной госструктуре ИТ-администраторы считали, что патчи ставит ИБ, а ИБ считала наоборот. Результат – эксплуатация старого RCE в Exchange и компрометация внутреннего домена.<br /> <br /> Как исправить:<br /> <br /> ➡️ Составить матрицу RACI на ключевые процессы (не забывайте ее поддерживать в актуальном состоянии).<br /> <br /> ➡️ Декомпозировать зоны ответственности: ИТ, ИБ, DevOps.<br /> <br /> ➡️ Закрепить ответственность в форме KPI.<br /> <br /> ==Ошибка №4. Ориентация только на инструменты==<br /> <br /> Руководство покупает &quot;волшебные коробки&quot;, а процессы остаются прежними. SIEM без собственных, регулярно обновляемых правил корреляции, DLP без классификации информации согласно ее ценности и процессов обработки, EDR без реагирования – мертвые инвестиции.<br /> <br /> Например, компания внедрила SIEM, но не выделила команду аналитиков, которые бы постоянно проводила анализ событий ИБ, адаптацию правил, написание корреляционных цепочек и т.п. Полгода SIEM работал &quot;на запись&quot;, а атака через компрометацию VPN-доступа осталась незамеченной – хотя события были в логах.<br /> <br /> Как исправить:<br /> <br /> ➡ Любой инструмент не может существовать без людей, процессов и интеграции.<br /> <br /> ➡ Начинать нужно с процессов, а не с закупок.<br /> <br /> ==Ошибка №5. Отсутствие стратегии развития ИБ==<br /> <br /> Работа ведется хаотично, в режиме тушения пожаров. Нет целевой архитектуры, дорожной карты, метрик зрелости и и процесса ее оценки.<br /> <br /> Например, у крупного холдинга SOC появился раньше, чем инвентаризация ресурсов. В результате SOC не видел 40% инфраструктуры.<br /> <br /> Как исправить:<br /> <br /> ➡ Построить модель зрелости (NIST CSF, разные варианты CMM).<br /> <br /> ➡ Выработать 2–3-летнюю дорожную карту с приоритетами.<br /> <br /> ➡ Связать стратегию ИБ со стратегией цифровой трансформации и бизнес-стратегией.<br /> <br /> ==Ошибка №6. Пентесты раз в год вместо постоянного контроля==<br /> <br /> Однократный пентест – иллюзия безопасности. Уязвимости появляются ежедневно.<br /> <br /> Например, один банк прошел летом пентест в соответствие с требованиями Банка России и ФСТЭК. Осенью появилась критическая уязвимость в VPN-шлюзе – ее никто не заметил. Через нее APT-группировка получила доступ внутрь банковской инфраструктуры и месяц держалась внутри сети.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрить постоянное сканирование уязвимостей, в том числе включая и внедрение решений класса BAS (Breach &amp; Attack Simulation).<br /> <br /> ➡ Проводить периодические Red Team / Purple Team.<br /> <br /> ➡ Выставить компанию или ее ключевые системы на Bug Bounty и кибериспытания.<br /> <br /> ==Ошибка №7. Игнорирование «некритичных» уязвимостей==<br /> <br /> Уязвимость CVSS 5.0 может быть идеальной точкой входа, если ее эксплуатация проста.<br /> <br /> Например, в 2023–2024 годах сотни компаний пострадали от массовых атак через уязвимости в Confluence и MOVEit, имеющий невысокий CVSS.<br /> <br /> Как исправить:<br /> <br /> ➡ Оценивать уязвимости по их эксплуатируемости/трендовости (EPSS, KEV), а не только по их базовому уровню CVSS.<br /> <br /> ➡ Учитывать бизнес-контекст и критичность систем, в которых найдены уязвимости.<br /> <br /> ➡ Строить процесс риск-ориентированного обновления.<br /> <br /> ==Ошибка №8. Нет отлаженного процесса реагирования==<br /> <br /> SOC находит проблему, но дальше начинается хаос. Кто блокирует? Кто согласует отключение атакованных систем? Кто информирует вышестоящее начальство об инциденте? Кто занимается восстанавлением?<br /> <br /> Например, в медицинской организации SOC увидел расширение плацдарма (lateral movement) шифровальщиком, но не смог остановить атаку из-за отсутствия полномочий. Через 3 часа был зашифрованы сегменты с данными пациентов, электронными медицинскими записями и медицинским оборудованием.<br /> <br /> Как исправить:<br /> <br /> ➡ Создать соответствующие плейбуки под типовые для организации инциденты с указанием ролей, сценариями действий, чеклистами.<br /> <br /> ➡ Проводить регулярные киберучения (штабные и технические, на киберполигонах).<br /> <br /> ➡ Дать SOC привилегии осуществлять &quot;срочные действия&quot;.<br /> <br /> ==Ошибка 9. Нет обучения и тренировки==<br /> <br /> Персонал не знает, как действовать, потому что никогда не проводилось обучение действиям в нештатных ситуациях и при инцидентах.<br /> <br /> Например, на заводе оператор не знал, что делать при блокировке HMI шифровальщиком и в панике обесточил часть цеха, остановив производство и увеличив ущерб от атаки.<br /> <br /> Как исправить:<br /> <br /> ➡ Регулярные штабные киберучения, а также иные формы сценарной геймификации процесса обучения.<br /> <br /> ➡ Практические тренировки реагирования на инциденты (как противопожарные тренировки).<br /> <br /> ➡ Обучение не только и не столько служб ИБ и ИТ, но и бизнес-подразделений.<br /> <br /> ==Ошибка №10. Нет реестра активов==<br /> <br /> Нельзя защитить то, чего не знаешь. Замурованные в стены сервера (был у меня такой кейс как-то), виртуалки-&quot;летучие голландцы&quot;, установленные для удобства Wi-Fi-точки доступа, забытые VPN-доступы, старые тестовые стенды – все это прекрасные входы внутрь инфраструктуры.<br /> <br /> Например, в Colonial Pipeline одной из точек входа был старый VPN-аккаунт без MFA, невнесенный в список активов.<br /> <br /> Как исправить:<br /> <br /> ➡ Формирование собственной базы CMDB или доступ к ИТшной, а также автоматическое обнаружение активов.<br /> <br /> ➡ Инвентаризация облаков, SaaS, теневых ИТ (shadow IT), включая теневые ML.<br /> <br /> ➡ Классификация данных и сервисов по критичности для бизнеса.<br /> <br /> ==Ошибка №11. Слабый контроль подрядчиков (supply chain)==<br /> <br /> Внешние вендоры имеют доступ к вашей инфраструктуре, но вы не контролируете их безопасность и их доступы в вашу внутрянку.<br /> <br /> Например, атаки на SolarWinds, MOVEit, 3CX – крупнейшие supply chain инциденты последних лет.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрить процесс оценки вендоров.<br /> <br /> ➡ Требовать MFA, регистрации событий, ограничение доступов.<br /> <br /> ➡ Контролировать работу подрядчиков в реальном времени.<br /> <br /> ==Ошибка №12. Нет безопасной разработки и контроля изменений==<br /> <br /> Продукт выходит быстрее, чем его успевают проверять на предмет безопасности. Небезопасные настройки по умолчанию, жестко зашитые ключи и секреты, слабая авторизация – типичные дефекты, приводящие к ущербу.<br /> <br /> Например, в 2022 один финтех-стартап потерял десятки миллионов из-за ошибки в авторизации в API (IDOR). Ошибка появилась после &quot;быстрого&quot; релиза кода без его анализа.<br /> <br /> Как исправить:<br /> <br /> ➡ Ввести в компании практику DevSecOps.<br /> <br /> ➡ Включение Security Gate в CI/CD.<br /> <br /> ➡ Внедрить статический и динамический анализ и проверка IaC.<br /> <br /> ==Ошибка №13. Резервные копии есть, но не тестируются==<br /> <br /> Половина компаний узнает о том, что бэкапы нечитаемы и данные невосстановимы, исключительно во время инцидентов с шифровальщиками.<br /> <br /> Например, в 2023 муниципальный госпиталь в США был вынужден выплатить выкуп, потому что четыре года бэкапы записывались на поврежденный стример, а никто даже не побеспокоился проверить, работает ли он.<br /> <br /> Как исправить:<br /> <br /> ➡ Тестировать восстановление из резервных копий регулярно.<br /> <br /> ➡ Хранить оффлайн-копии.<br /> <br /> ➡ Документировать процедуры восстановления.<br /> <br /> ==Ошибка №14. Ошибки конфигураций==<br /> <br /> Самый распространенный тип уязвимостей. Человеческий фактор + сложность инфраструктуры приводят к бесконечному потоку ошибочных конфигураций, которыми и пользуются плохие парни.<br /> <br /> Например, открытые для общего доступа корзины Elasticsearch/S3/MinIO приводили к утечкам миллионов данных в компаниях Uber, Verizon и десятках других.<br /> <br /> Как исправить:<br /> <br /> ➡ Применять автоматические сканеры конфигураций.<br /> <br /> ➡ Проверять соответствие политикам безопасности (например, CIS Benchmarks или предоставленные разработчиками сканеров безопасности).<br /> <br /> ➡ Обязательный анализ кода IaC.<br /> <br /> ==Ошибка №15. Отсутствие сегментации==<br /> <br /> Плоская сеть – это рай для злоумышленников, расширяющих плацдарм внутри скомпрометированной инфраструктуры.<br /> <br /> Например, WannaCry распространялся мгновенно именно в плоских сетях без сегментации. То же самое – Ryuk, Conti и другие шифровальщики. <br /> <br /> Как исправить:<br /> <br /> ➡ Внедрять сетевую сегментацию, VLAN, микросегментацию.<br /> <br /> ➡ Внедрять Zero Trust Network Access.<br /> <br /> ➡ Ограничение межсервисных коммуникаций.<br /> <br /> ==Ошибка №16. Нет регистрации событий и мониторинга==<br /> <br /> Компания может быть взломана месяцы назад – и не знать об этом, а хакеры орудуют внутри инфраструктуры, не боясь обнаружения.<br /> <br /> Например, Equifax была скомпрометирована более двух месяцев прежде, чем заметила активность в системе.<br /> <br /> Как исправить:<br /> <br /> ➡ Регистрация всех критичных для конкретной компании/процесса/системы событий.<br /> <br /> ➡ Централизация логов.<br /> <br /> ➡ Построение SOC с аналитикой и ML-корреляцией событий.<br /> <br /> ==Ошибка №17. Слабая или отсутствующая MFA==<br /> <br /> Усталость от push'ей и запросов на подтверждение аутентификации, однофакторные протоколы, использование одноразовых кодов в SMS, отсутствие защиты сессий – и злоумышленник внутри.<br /> <br /> Например, во время взлома Uber в 2022 атакующий использовал усталость от push-уведомлений и социальный инжиниринг для обхода MFA. Аналогичным образом взламывали Cisco, казино MGM Grand и многие другие компании.<br /> <br /> Как исправить:<br /> <br /> ➡ Внедрение FIDO2.<br /> <br /> ➡ Контроль устройства и контекстный доступ.<br /> <br /> ➡ Защищенные каналы выдачи токенов.<br /> <br /> ==Ошибка №18. Legacy-системы==<br /> <br /> Старые ОС, уже не поддерживаемые производителем компоненты, устаревшие сервера и оборудование – идеальная мишень для атак.<br /> <br /> Например, WannaCry массово поражал Windows XP, которая продолжала использоваться в больницах и госучреждениях.<br /> <br /> Как исправить:<br /> <br /> ➡ Разработать и реализовывать план миграции.<br /> <br /> ➡ Виртуализация и изоляция legacy.<br /> <br /> ➡ Мониторинг вокруг критичных legacy-узлов.<br /> <br /> ==Ошибка №19. Теневые ИТ и данные (shadow IT / data)==<br /> <br /> Облака, личные Google Docs, неучтенные SaaS, тестовые базы с реальными данными, оплаченные личными картами GPT-сервисы – все это выходит за рамки привычного контроля ИБ и является точкой проникновения в компанию и утечки данных.<br /> <br /> Например, сотрудник случайно оставил копию клиентской базы в личном Dropbox → утечка и большой штраф от регулятора.<br /> <br /> Как исправить:<br /> <br /> ➡ Открыть &quot;официальный&quot; способ решать нужные для выполнения служебных обязанностей задачи или предложить работникам корпоративные лицензии на нужные сервисы.<br /> <br /> ➡ Обеспечить мониторинг теневых сервисов и потоков данных (вообще, иметь карту информационных потоков также полезно, как и базу активов).<br /> <br /> ➡ Разработать и контролировать политику хранения данных.<br /> <br /> ==Ошибка №20. Отсутствие сети контактов между специалистами==<br /> <br /> Во время инцидентов часто теряется драгоценное время, потому что ИБ, ИТ, DevOps, юристы, PR, подрядчики или специалисты с иными нужными компетенциями просто не могут оперативно связаться друг с другом. Контакты устарели, лежат в недоступных системах, хранятся у одного человека или вовсе отсутствуют.<br /> <br /> Например, в одном финтехе при компрометации CI/CD ИБ не смогла найти DevOps-лида – его контактов не было в актуальном списке. В результате восстановление задержалось на несколько часов, и злоумышленники успели распространить вредоносный код на продовый кластер.<br /> <br /> Как исправить:<br /> <br /> ➡ Создать и обновлять единый перечень аварийных контактов.<br /> <br /> ➡ Хранить его в нескольких местах, включая офлайн.<br /> <br /> ➡ Включить коммуникационные сценарии в программу учений.<br /> <br /> ==Ошибка №21. Отсутствие культуры ненаказания==<br /> <br /> Когда за ошибки карают – их скрывают. Инциденты растут, а цикл обнаружения увеличивается.<br /> <br /> Например, на одном производстве сотрудник заметил подозрительные файлы, но боялся сообщить, &quot;вдруг он что-то сделал не так&quot;. Через час началось массовое шифрование внутри инфраструктуры.<br /> <br /> Как исправить:<br /> <br /> ➡ Формировать прозрачную систему поощрения за раннее предупреждение.<br /> <br /> ➡ Анализ инцидентов без поиска виноватого (не путать с анализом root cause).<br /> <br /> ➡ Публичные кейсы успешного поведения.<br /> <br /> ==Ошибка №22. Коммуникация ИБ на &quot;птичьем техническом диалекте&quot;==<br /> <br /> Когда CISO говорит на языке CVE, SIEM, EDR, SOC и ATT&amp;CK, бизнес слышит белый шум. В итоге нужные решения не принимаются.<br /> <br /> Например, одна компания откладывала внедрение MFA три года, потому что &quot;доклад ИБ непонятен&quot;. После демонстрации удачного бизнес-кейса внедрили за месяц.<br /> <br /> Как исправить:<br /> <br /> ➡ Переводить риски на язык денег и последствий.<br /> <br /> ➡ Давать руководству понятные ему сценарии и альтернативы.<br /> <br /> ➡ Построить &quot;CISO Dashboard&quot; с бизнес-метриками.<br /> <br /> ==Ошибка №23. Невыполнение требований compliance==<br /> <br /> Компания может годами игнорировать обязательные требования регуляторов или отраслевых стандартов, но в момент инцидента это может обернуться штрафами, проверками, ограничениями деятельности, потерей лицензий и серьезными репутационными последствиями. Нередко оказывается, что ущерб от невыполнения некоторых нормативных актов (не всех) куда выше стоимости его соблюдения.<br /> <br /> Например, после крупного инцидента в одной финансовой организации регулятор установил, что компания не выполняла обязательные требования PCI DSS по журналированию и сегментации. В результате – многомиллионные штрафы, внеплановая проверка, запрет на запуск новых услуг и прямые убытки от оттока клиентов.<br /> <br /> Как исправить:<br /> <br /> ➡ Проводить регулярную оценку соответствия адекватным требованиям и устранять пробелы до проверок и инцидентов.<br /> <br /> ➡ Автоматизировать контроль выполнения адекватных требований по ключевым зонам (доступы, сегментация, журналы регистрации).<br /> <br /> ➡ Встраивать compliance в архитектуру процессов, а не оформлять в виде отчетов &quot;для аудиторов&quot;, или пытаться выполнить все в авральном режиме.<br /> <br /> ==Ошибка №24. Выгорание специалистов ИБ==<br /> <br /> Перегруженные специалисты совершают ошибки, принимают плохие решения и покидают команду.<br /> <br /> Например, SOC-команда крупной авиакомпании пропустила ранние признаки атаки, потому что работала в режиме постоянных переработок.<br /> <br /> Как исправить:<br /> <br /> ➡ Реалистичные и обоснованные нагрузки.<br /> <br /> ➡ Автоматизация рутинных операций<br /> <br /> ➡ Поддержка команды и программы благополучия (well-being).<br /> <br /> (c) Алексей Лукацкий 2025</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:%D0%9E%D1%88%D0%B8%D0%B1%D0%BA%D0%B0_%E2%84%961._%D0%98%D0%91_%D0%B6%D0%B8%D0%B2%D0%B5%D1%82_%D0%BE%D1%82%D0%B4%D0%B5%D0%BB%D1%8C%D0%BD%D0%BE_%D0%BE%D1%82_%D0%B1%D0%B8%D0%B7%D0%BD%D0%B5%D1%81%D0%B0.jpg&diff=138 2025-12-20T16:29:41Z

<p>Hunter po: Ошибка №1. ИБ живет отдельно от бизнеса</p> <hr /> <div>== Краткое описание ==<br /> Ошибка №1. ИБ живет отдельно от бизнеса</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%97%D0%B0%D0%B3%D0%BB%D0%B0%D0%B2%D0%BD%D0%B0%D1%8F_%D1%81%D1%82%D1%80%D0%B0%D0%BD%D0%B8%D1%86%D0%B0&diff=137 2025-12-20T16:27:07Z

<p>Hunter po: /* Философия */</p> <hr /> <div><br /> == Публикации ==<br /> <br /> *[[Информационная безопасность для CIO]] - (25.06.2012, правки 04.12.2012) - on-line книга «Учебник 4CIO. Версия 2.0»;<br /> *[[Информационная безопасность ключевых систем информационной инфраструктуры (ИБ КСИИ)]] - журнал Connect №9, 2013.<br /> *[[Кибербезопасность]] - ...<br /> <br /> ==Нормативные акты==<br /> *[[Об информации, информационных технологиях и о защите информации|Об информации, информационных технологиях и о защите информации]] - Федерального закона от 27 июля 2006 г. № 149-ФЗ.<br /> *[[Требования по защите АСУ ТП|План-проспект проекта Требований к защите информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды]] - План-проспект ФСТЭК России.<br /> *[[Требования по защите ГИС|Требования по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах]] - Приказ ФСТЭК России 11 февраля 2013 г. N 17.<br /> *[[Требования по защите ПДн|Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных]] - Приказ ФСТЭК России 18.02.2013 г. N 21.<br /> *[[Методы защиты информации в государственных информационных системах|Методы защиты информации в государственных информационных системах]] - Методический документ ФСТЭК России 2013 г. Проект. Версия 1.3<br /> *[[Методика определения угроз безопасности информации в информационных системах]] - Методический документ ФСТЭК России 2015 г. Проект.<br /> <br /> ==Философия==<br /> *[[Дао программирования]];<br /> *[[Дао информационной безопасности]];<br /> *[[Просто Дао]];<br /> *[[Дао &quot;Путь Торговли&quot;]];<br /> *[[Искусство войны]];<br /> *[[Дао Петра Попова]] - словарик тимлида и архитектора;<br /> *[[Евангелие от Луки]] - ошибки информационной безопасности в бизнесе.<br /> <br /> ==Ошибки==<br /> *[[Истории о сбоях программного обеспечения военной техники]];<br /> <br /> ==Проекты==<br /> *[[Агрогенез]] - мониторинг и управление микроклиматом;</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%97%D0%B0%D0%B3%D0%BB%D0%B0%D0%B2%D0%BD%D0%B0%D1%8F_%D1%81%D1%82%D1%80%D0%B0%D0%BD%D0%B8%D1%86%D0%B0&diff=135 2020-09-18T07:28:36Z

<p>Hunter po: /* Философия */</p> <hr /> <div><br /> == Публикации ==<br /> <br /> *[[Информационная безопасность для CIO]] - (25.06.2012, правки 04.12.2012) - on-line книга «Учебник 4CIO. Версия 2.0»;<br /> *[[Информационная безопасность ключевых систем информационной инфраструктуры (ИБ КСИИ)]] - журнал Connect №9, 2013.<br /> *[[Кибербезопасность]] - ...<br /> <br /> ==Нормативные акты==<br /> *[[Об информации, информационных технологиях и о защите информации|Об информации, информационных технологиях и о защите информации]] - Федерального закона от 27 июля 2006 г. № 149-ФЗ.<br /> *[[Требования по защите АСУ ТП|План-проспект проекта Требований к защите информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды]] - План-проспект ФСТЭК России.<br /> *[[Требования по защите ГИС|Требования по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах]] - Приказ ФСТЭК России 11 февраля 2013 г. N 17.<br /> *[[Требования по защите ПДн|Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных]] - Приказ ФСТЭК России 18.02.2013 г. N 21.<br /> *[[Методы защиты информации в государственных информационных системах|Методы защиты информации в государственных информационных системах]] - Методический документ ФСТЭК России 2013 г. Проект. Версия 1.3<br /> *[[Методика определения угроз безопасности информации в информационных системах]] - Методический документ ФСТЭК России 2015 г. Проект.<br /> <br /> ==Философия==<br /> *[[Дао программирования]];<br /> *[[Дао информационной безопасности]];<br /> *[[Просто Дао]];<br /> *[[Дао &quot;Путь Торговли&quot;]];<br /> *[[Искусство войны]];<br /> *[[Дао Петра Попова]] - словарик тимлида и архитектора.<br /> <br /> ==Ошибки==<br /> *[[Истории о сбоях программного обеспечения военной техники]];<br /> <br /> ==Проекты==<br /> *[[Агрогенез]] - мониторинг и управление микроклиматом;</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%94%D0%B0%D0%BE_%D0%9F%D0%B5%D1%82%D1%80%D0%B0_%D0%9F%D0%BE%D0%BF%D0%BE%D0%B2%D0%B0&diff=134 2020-09-18T07:27:25Z

<p>Hunter po: </p> <hr /> <div>=Словарик архитектора=<br /> '''Петушня какая-то''' - Некорректный код, слабая архитектурная реализация, не учитывающая сложность проекта и объём данных, предполагаемый к обработке.<br /> <br /> '''Опять петушня полная''' - Периодически повторяющаяся ситуация с некорректным кодом, приводящая к серьезным фрустрациям архитектора и ответственных лиц.<br /> <br /> =Словарик тимлида=<br /> '''Бизнесориентированность''' - Умение жертвовать архитектурными принципами построения качественного ПО ради гонки функционала от заказчика и не испытывать при этом психологических затруднений.<br /> <br /> '''Отсутствие бизнесориентированности''' - Неумение жертвовать личным психологическим комфортом ради гонки функционала от заказчика.<br /> <br /> '''Все проебали''' - Ввиду возникших сложностей при аналитической проработке задач и архитектурных сложностей построения функционала в текущем варианте ПО часть задач не удаётся корректно завершить в рамках данного спринта и их необходимо перенести на следующий спринт.<br /> <br /> '''Опять все проебем''' - В данной ситуации мы считаем, что уже включили в спринт достаточное количество функционала и есть риск не успеть корректно выполнить некоторые из них.<br /> <br /> '''Нихуя не успеем''' - Ввиду того, что часть сил проектной команды пришлось отвлекать на исправление ошибок прошлого релиза, данную задачу выполнить корректно в срок не удалось.<br /> <br /> '''Пудель''' - Человек далекий от производственных процессов, постройки промышленного ПО, без инженерного мышления и менеджерских навыков, пребывающий в иллюзиях и прострациях относительно рабочего процесса и совершенно не понимающий задач, которые ставят команде, однако волей судеб поставленный руководить процессами или аналитическими постановками задач.<br /> <br /> '''Ты мне втираешь какую-то дичь''' - Попытка убедить собеседника в вымышленном функционале системы контроля версий<br /> <br /> '''У нас своя версия скрама''' - Попытка объяснить нежелание следовать технологическим процессам в проекте и кастомизация известных процессов под себя<br /> <br /> '''Софтскиллы''' - Умение безостановочно пиздеть и оперативно находить аргументы, почему опять был проебан тот или иной функционал<br /> <br /> '''Пиздец, а не спринт''' - При планировании спринта были допущены ошибки и команда взяла больше задач, чем возможно их выполнить. При планировании следующего спринта, разумеется, никто не будет учитывать техдолг с прошлого спринта, поскольку заказчику похуй на техдолг и его задача - нагрузить проектную команду на 150 процентов.<br /> <br /> '''Полный пиздец, блядь''' - Некорректное планирование спринта привело к тому, что несколько критических задач не выполнены, обязуемся выполнить к среде.<br /> <br /> '''Нихуя не успел''' - В силу высокой оперативной загрузки с командой на данную задачу не нашлось возможности выделить время.<br /> <br /> '''Вы/они там ебанулись совсем''' - Данная задача невозможна к выполнению за столь короткий срок в полтора дня, поскольку требует вначале аналитической и архитектурной проработки, предварительная оценка выполнения с учетом доставки функционала на стенды превышает несколько спринтов и требует серьезных архитектурных изменений.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%94%D0%B0%D0%BE_%D0%9F%D0%B5%D1%82%D1%80%D0%B0_%D0%9F%D0%BE%D0%BF%D0%BE%D0%B2%D0%B0&diff=133 2020-09-18T07:26:58Z

<p>Hunter po: </p> <hr /> <div>=Словарик архитектора=<br /> '''Петушня какая-то''' - Некорректный код, слабая архитектурная реализация, не учитывающая сложность проекта и объём данных, предполагаемый к обработке.<br /> '''Опять петушня полная''' - Периодически повторяющаяся ситуация с некорректным кодом, приводящая к серьезным фрустрациям архитектора и ответственных лиц.<br /> <br /> =Словарик тимлида=<br /> '''Б͟и͟з͟н͟е͟с͟о͟р͟и͟е͟н͟т͟и͟р͟о͟в͟а͟н͟н͟о͟с͟т͟ь͟''' - Умение жертвовать архитектурными принципами построения качественного ПО ради гонки функционала от заказчика и не испытывать при этом психологических затруднений.<br /> <br /> '''О͟т͟с͟у͟т͟с͟т͟в͟и͟е͟ ͟б͟и͟з͟н͟е͟с͟о͟р͟и͟е͟н͟т͟и͟р͟о͟в͟а͟н͟н͟о͟с͟т͟и͟''' - Неумение жертвовать личным психологическим комфортом ради гонки функционала от заказчика.<br /> <br /> <br /> '''Бизнесориентированность''' - Умение жертвовать архитектурными принципами построения качественного ПО ради гонки функционала от заказчика и не испытывать при этом психологических затруднений.<br /> <br /> '''Отсутствие бизнесориентированности''' - Неумение жертвовать личным психологическим комфортом ради гонки функционала от заказчика.<br /> <br /> '''Все проебали''' - Ввиду возникших сложностей при аналитической проработке задач и архитектурных сложностей построения функционала в текущем варианте ПО часть задач не удаётся корректно завершить в рамках данного спринта и их необходимо перенести на следующий спринт.<br /> <br /> '''Опять все проебем''' - В данной ситуации мы считаем, что уже включили в спринт достаточное количество функционала и есть риск не успеть корректно выполнить некоторые из них.<br /> <br /> '''Нихуя не успеем''' - Ввиду того, что часть сил проектной команды пришлось отвлекать на исправление ошибок прошлого релиза, данную задачу выполнить корректно в срок не удалось.<br /> <br /> '''Пудель''' - Человек далекий от производственных процессов, постройки промышленного ПО, без инженерного мышления и менеджерских навыков, пребывающий в иллюзиях и прострациях относительно рабочего процесса и совершенно не понимающий задач, которые ставят команде, однако волей судеб поставленный руководить процессами или аналитическими постановками задач.<br /> <br /> '''Ты мне втираешь какую-то дичь''' - Попытка убедить собеседника в вымышленном функционале системы контроля версий<br /> <br /> '''У нас своя версия скрама''' - Попытка объяснить нежелание следовать технологическим процессам в проекте и кастомизация известных процессов под себя<br /> <br /> '''Софтскиллы''' - Умение безостановочно пиздеть и оперативно находить аргументы, почему опять был проебан тот или иной функционал<br /> <br /> '''Пиздец, а не спринт''' - При планировании спринта были допущены ошибки и команда взяла больше задач, чем возможно их выполнить. При планировании следующего спринта, разумеется, никто не будет учитывать техдолг с прошлого спринта, поскольку заказчику похуй на техдолг и его задача - нагрузить проектную команду на 150 процентов.<br /> <br /> '''Полный пиздец, блядь''' - Некорректное планирование спринта привело к тому, что несколько критических задач не выполнены, обязуемся выполнить к среде.<br /> <br /> '''Нихуя не успел''' - В силу высокой оперативной загрузки с командой на данную задачу не нашлось возможности выделить время.<br /> <br /> '''Вы/они там ебанулись совсем''' - Данная задача невозможна к выполнению за столь короткий срок в полтора дня, поскольку требует вначале аналитической и архитектурной проработки, предварительная оценка выполнения с учетом доставки функционала на стенды превышает несколько спринтов и требует серьезных архитектурных изменений.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%94%D0%B0%D0%BE_%D0%9F%D0%B5%D1%82%D1%80%D0%B0_%D0%9F%D0%BE%D0%BF%D0%BE%D0%B2%D0%B0&diff=132 2020-09-18T07:24:10Z

<p>Hunter po: Новая страница: «=Словарик архитектора= П͟е͟т͟у͟ш͟н͟я͟ ͟к͟а͟к͟а͟я͟-͟т͟о͟ - Некорректный код, слабая архи…»</p> <hr /> <div>=Словарик архитектора=<br /> П͟е͟т͟у͟ш͟н͟я͟ ͟к͟а͟к͟а͟я͟-͟т͟о͟ - Некорректный код, слабая архитектурная реализация, не учитывающая сложность проекта и объём данных, предполагаемый к обработке.<br /> О͟п͟я͟т͟ь͟ ͟п͟е͟т͟у͟ш͟н͟я͟ ͟п͟о͟л͟н͟а͟я͟ - Периодически повторяющаяся ситуация с некорректным кодом, приводящая к серьезным фрустрациям архитектора и ответственных лиц.<br /> <br /> =Словарик тимлида=<br /> '''Б͟и͟з͟н͟е͟с͟о͟р͟и͟е͟н͟т͟и͟р͟о͟в͟а͟н͟н͟о͟с͟т͟ь͟''' - Умение жертвовать архитектурными принципами построения качественного ПО ради гонки функционала от заказчика и не испытывать при этом психологических затруднений.<br /> <br /> '''О͟т͟с͟у͟т͟с͟т͟в͟и͟е͟ ͟б͟и͟з͟н͟е͟с͟о͟р͟и͟е͟н͟т͟и͟р͟о͟в͟а͟н͟н͟о͟с͟т͟и͟''' - Неумение жертвовать личным психологическим комфортом ради гонки функционала от заказчика.<br /> <br /> <br /> В͟с͟е͟ ͟п͟р͟о͟е͟б͟а͟л͟и͟ - Ввиду возникших сложностей при аналитической проработке задач и архитектурных сложностей построения функционала в текущем варианте ПО часть задач не удаётся корректно завершить в рамках данного спринта и их необходимо перенести на следующий спринт.<br /> О͟п͟я͟т͟ь͟ ͟в͟с͟е͟ ͟п͟р͟о͟е͟б͟е͟м͟ - В данной ситуации мы считаем, что уже включили в спринт достаточное количество функционала и есть риск не успеть корректно выполнить некоторые из них.<br /> Н͟и͟х͟у͟я͟ ͟н͟е͟ ͟у͟с͟п͟е͟е͟м͟ - Ввиду того, что часть сил проектной команды пришлось отвлекать на исправление ошибок прошлого релиза, данную задачу выполнить корректно в срок не удалось.<br /> (словарик тимлида)<br /> <br /> П͟у͟д͟е͟л͟ь͟ - Человек далекий от производственных процессов, постройки промышленного ПО, без инженерного мышления и менеджерских навыков, пребывающий в иллюзиях и прострациях относительно рабочего процесса и совершенно не понимающий задач, которые ставят команде, однако волей судеб поставленный руководить процессами или аналитическими постановками задач.<br /> Т͟ы͟ ͟м͟н͟е͟ ͟в͟т͟и͟р͟а͟е͟ш͟ь͟ ͟к͟а͟к͟у͟ю͟-͟т͟о͟ ͟д͟и͟ч͟ь͟ - Попытка убедить собеседника в вымышленном функционале системы контроля версий<br /> У͟ ͟н͟а͟с͟ ͟с͟в͟о͟я͟ ͟в͟е͟р͟с͟и͟я͟ ͟с͟к͟р͟а͟м͟а͟ - Попытка объяснить нежелание следовать технологическим процессам в проекте и кастомизация известных процессов под себя<br /> С͟о͟ф͟т͟с͟к͟и͟л͟л͟ы͟ - Умение безостановочно пиздеть и оперативно находить аргументы, почему опять был проебан тот или иной функционал<br /> (словарик тимлида)<br /> <br /> П͟и͟з͟д͟е͟ц͟,͟ ͟а͟ ͟н͟е͟ ͟с͟п͟р͟и͟н͟т͟- При планировании спринта были допущены ошибки и команда взяла больше задач, чем возможно их выполнить. При планировании следующего спринта, разумеется, никто не будет учитывать техдолг с прошлого спринта, поскольку заказчику похуй на техдолг и его задача - нагрузить проектную команду на 150 процентов.<br /> П͟о͟л͟н͟ы͟й͟ ͟п͟и͟з͟д͟е͟ц͟,͟ ͟б͟л͟я͟д͟ь͟ - Некорректное планирование спринта привело к тому, что несколько критических задач не выполнены, обязуемся выполнить к среде.<br /> Н͟и͟х͟у͟я͟ ͟н͟е͟ ͟у͟с͟п͟е͟л͟- В силу высокой оперативной загрузки с командой на данную задачу не нашлось возможности выделить время.<br /> В͟ы͟/͟о͟н͟и͟ ͟т͟а͟м͟ ͟е͟б͟а͟н͟у͟л͟и͟с͟ь͟ ͟с͟о͟в͟с͟е͟м͟ - Данная задача невозможна к выполнению за столь короткий срок в полтора дня, поскольку требует вначале аналитической и архитектурной проработки, предварительная оценка выполнения с учетом доставки функционала на стенды превышает несколько спринтов и требует серьезных архитектурных изменений.<br /> (словарик тимлида)</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%97%D0%B0%D0%B3%D0%BB%D0%B0%D0%B2%D0%BD%D0%B0%D1%8F_%D1%81%D1%82%D1%80%D0%B0%D0%BD%D0%B8%D1%86%D0%B0&diff=131 2018-05-29T06:40:39Z

<p>Hunter po: </p> <hr /> <div><br /> == Публикации ==<br /> <br /> *[[Информационная безопасность для CIO]] - (25.06.2012, правки 04.12.2012) - on-line книга «Учебник 4CIO. Версия 2.0»;<br /> *[[Информационная безопасность ключевых систем информационной инфраструктуры (ИБ КСИИ)]] - журнал Connect №9, 2013.<br /> *[[Кибербезопасность]] - ...<br /> <br /> ==Нормативные акты==<br /> *[[Об информации, информационных технологиях и о защите информации|Об информации, информационных технологиях и о защите информации]] - Федерального закона от 27 июля 2006 г. № 149-ФЗ.<br /> *[[Требования по защите АСУ ТП|План-проспект проекта Требований к защите информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды]] - План-проспект ФСТЭК России.<br /> *[[Требования по защите ГИС|Требования по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах]] - Приказ ФСТЭК России 11 февраля 2013 г. N 17.<br /> *[[Требования по защите ПДн|Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных]] - Приказ ФСТЭК России 18.02.2013 г. N 21.<br /> *[[Методы защиты информации в государственных информационных системах|Методы защиты информации в государственных информационных системах]] - Методический документ ФСТЭК России 2013 г. Проект. Версия 1.3<br /> *[[Методика определения угроз безопасности информации в информационных системах]] - Методический документ ФСТЭК России 2015 г. Проект.<br /> <br /> ==Философия==<br /> *[[Дао программирования]];<br /> *[[Дао информационной безопасности]];<br /> *[[Просто Дао]];<br /> *[[Дао &quot;Путь Торговли&quot;]];<br /> *[[Искусство войны]].<br /> <br /> ==Ошибки==<br /> *[[Истории о сбоях программного обеспечения военной техники]];<br /> <br /> ==Проекты==<br /> *[[Агрогенез]] - мониторинг и управление микроклиматом;</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%98%D1%81%D1%82%D0%BE%D1%80%D0%B8%D0%B8_%D0%BE_%D1%81%D0%B1%D0%BE%D1%8F%D1%85_%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%BD%D0%BE%D0%B3%D0%BE_%D0%BE%D0%B1%D0%B5%D1%81%D0%BF%D0%B5%D1%87%D0%B5%D0%BD%D0%B8%D1%8F_%D0%B2%D0%BE%D0%B5%D0%BD%D0%BD%D0%BE%D0%B9_%D1%82%D0%B5%D1%85%D0%BD%D0%B8%D0%BA%D0%B8&diff=130 2018-05-29T06:39:32Z

<p>Hunter po: Новая страница: «Файл:55d4b3ea.jpg =Истребители F-22 не смогли пересечь 180 меридиан= При попытке перегнать истр…»</p> <hr /> <div>[[Файл:55d4b3ea.jpg]]<br /> <br /> =Истребители F-22 не смогли пересечь 180 меридиан=<br /> При попытке перегнать истребители F-22 «своим ходом» с Гавайских островов на базу ВВС Kadena на японском острове Окинава программный сбой в навигационном обеспечении вынудил пилотов развернуться и возвратиться туда, откуда вылетели. Теперь стала известна истинная природа этой «навигационной аномалии».<br /> <br /> Как выяснилось, истребители не сумели преодолеть так называемую линию перемены дат — условную линию, по разные стороны которой местное время одно и то же (с точностью до часового пояса), но календарные даты различаются на одни сутки. Линия перемены дат проходит по меридиану 180 градусов с отдельными отклонениями.<br /> <br /> Перемена дат осуществляется (и вообще имеет смысл) лишь при использовании местного времени. При пересечении линии перемены дат необходимо либо прибавлять, либо вычитать одни сутки – в зависимости от того, в каком направлении осуществляется движение. По всей видимости, этот парадокс Земного шара, осознанный еще участниками экспедиции Магеллана, был позабыт разработчиками F-22 Raptor.<br /> <br /> Последствия такой забывчивости оказались весьма ощутимыми. У истребителей в полете вышли из строя топливная и навигационная системы, а также частично связь.<br /> <br /> Лишь одному пилоту удалось связаться с экспертами разработчика (компании Lockheed Martin). Несколько пилотов попытались перезагрузить ПО истребителя в полете.<br /> <br /> «Победить» ошибку не удалось, однако сами истребители и их пилоты уцелели, что в подобной ситуации следует считать несомненной удачей. Возвращение на Гавайские острова потребовало дополнительной дозаправки в воздухе.<br /> <br /> Впоследствии «навигационную аномалию» удалось исправить, и F-22 всё-таки прибыли на авиабазу назначения.<br /> <br /> =Об ошибках деления на ноль=<br /> Фирма Motorola испытывала новый процессор для автопилота на истребителе в Израиле. Всё было отлажено. Пилоты на испытаниях отправились «огибать рельеф» с севера до юга Израиля. Истребитель прекрасно пролетел на автопилоте над равнинной частью, над горной частью, над долиной реки Иордан и приближался к Мёртвому морю. Однако при подлете к нему неожиданно происходит общий сброс процессора, автопилот выключается на полном ходу, пилоты переходят на ручное управление и сажают истребитель.<br /> <br /> Процессор отправили на доработку и тестирование. Все тесты прошли снова без сбоев. Снова начали реальную проверку. Истребитель пролетел над всеми территориями, но при подлете к Мёртвому морю ситуация повторилась: общий сброс, выключение автопилота, ручная посадка.<br /> <br /> Длительные тесты не могли выявить никаких изъянов. После продолжительных попыток было найдено, что программы автопилота при вычислении параметров управления по глубоко научным секретным формулам производили деление на значение текущей высоты истребителя над уровнем океана. При подлете к Мёртвому морю высота над уровнем океана становилась нулевой (Мёртвое море расположено ниже уровня океана), и процессор при делении на ноль давал общий сброс. До этого случая никому не приходило в голову, что самолеты могут летать ниже уровня океана… <br /> <br /> =Системы распознавания, как это было в 70-х=<br /> <br /> Где-то в конце 70-х годов происходили испытания американской зенитной самоходной установки (ЗСУ) «Сержант Йорк», предназначенной для поражения вертолетов. ЗСУ была оснащена системой распознавания образов. Во время испытаний около нее безуспешно кружил вертолет-мишень, которую она так и не смогла распознать. Зато приняла за вертолет вентилятор в туалете, расположенном метрах в 800-х от ЗСУ. И успешно его поразила.<br /> <br /> =F-16 вверх ногами=<br /> <br /> Испытания американского истребителя F-16 проводились, понятное дело, в северном полушарии. На заключительном этапе самолет решили проверить где-то в Латинской Америке – с другой стороны экватора. При переводе самолета в режим автопилота он автоматически развернулся «вверх ногами». <br /> <br /> =Драматическая переинициализация=<br /> <br /> В Афганистане двое наводчиков-наблюдателей (канадцы) подсвечивали цель для наведения на нее бомбы. После сброса бомбы в GPS-приемнике закончились батарейки. Их быстро заменили. В результате ракета прилетела не туда. Причина была в том, что после подачи питания в прибор, переменные, отвечающие за координаты цели, автоматически инициализировались (присвоили значения) координатами текущего местоположения. Наводчики погибли от близкого разрыва.<br /> <br /> =Летчик Ильюшин=<br /> <br /> На испытаниях Су-24 регулярно случался отказ аппаратуры бомбометания. Причем происходило это только в том случае, если на цель заходил летчик-испытатель Ильюшин. Причина оказалась в том, что только он заходил на цель с точностью, превышавшей машинную точность. Получался «машинный ноль», после чего шел сбой из-за попытки деления на ноль.<br /> <br /> =Недотестировали=<br /> Этот пример хоть и не относится напрямую к разработке ПО, но демонстирует важность тестирования. Возникла эта проблема на межконтинентальной баллистической ракете шахтного базирования 15А30, причем уже после постановки ее на боевое дежурство. При пуске ракета выходила из шахты и взрывалась на высоте нескольких метров над землей. Причина оказалась в следующем. Рубашка сопла охлаждается окислителем, после чего он поступает в камеру сгорания. В спешке принятия нового комплекса на вооружение к очередной годовщине, в систему пуска двигателя внесли небольшие улучшения, которые не протестировали должным образом. В результате пироклапан срабатывал с большим запаздыванием. Окислитель не поступал в трубки охлаждения, а жаропрочности сопла хватало только на то, чтобы ракета вышла из шахты.<br /> <br /> =Правильно выбирайте типы данных=<br /> <br /> Причиной взрыва 4 июня 1996 года европейской ракеты-носителя Ариан-5 была программная ошибка. В системе управления ракеты использовалось модифицированное программное обеспечение ранее успешно работавшее на Ариан-4, но Ариан-5 ускорялась быстрее предыдущей модификации. В результате, когда на 40-й секунде полета одна из вспомогательных подпрограмм попыталась преобразовать длинное целое значение в короткое без проверки величины значения, то вышло за границы типа, произошло отключение системы управления ракеты, и она была взорвана по команде на самоликвидацию. Вместе с ракетой-носителем был потерян коммуникационный спутник. Ущерб от этого программного сбоя был оценен в полмиллиарда долларов.<br /> <br /> =И снова деление на ноль=<br /> <br /> История о неприятностях ракетного крейсера ВМС США «Иорктаун». Это экспериментальный, так называемый «умный корабль» (smart ship), важнейшие системы жизнеобеспечения которого управляются компьютерами без участия человека. И что немаловажно – под руководством операционной системы Windows NT 4.0. Так вот, однажды вся эта махина, находясь в открытом море, почти на три часа встала в полный ступор из-за наглухо зависшего программного обеспечения. Произошло это из-за совершенно пустяковой оплошности одного из операторов, занимавшегося калибровкой клапанов топливной системы и записавшего в одну из ячеек расчетной таблицы нулевое значение. Ну а далее пошла операция деления на пресловутый ноль. С подобной операцией справляется даже самый дешевый калькулятор, однако здесь в терминале оператора система дала ошибку переполнения памяти. Ошибка быстро перекинулась на другие компьютеры локальной сети корабля, началась цепная реакция, и по известному принципу домино рухнула вся бортовая система, которую удалось восстановить и перезагрузить лишь через 2 часа 45 минут, в течение которых огромный боевой корабль оставался по сути дела беспомощен и неуправляем.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%A4%D0%B0%D0%B9%D0%BB:55d4b3ea.jpg&diff=129 2018-05-29T06:38:51Z

<p>Hunter po: </p> <hr /> <div></div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%97%D0%B0%D0%B3%D0%BB%D0%B0%D0%B2%D0%BD%D0%B0%D1%8F_%D1%81%D1%82%D1%80%D0%B0%D0%BD%D0%B8%D1%86%D0%B0&diff=128 2018-03-05T18:57:48Z

<p>Hunter po: </p> <hr /> <div><br /> == Публикации ==<br /> <br /> *[[Информационная безопасность для CIO]] - (25.06.2012, правки 04.12.2012) - on-line книга «Учебник 4CIO. Версия 2.0»;<br /> *[[Информационная безопасность ключевых систем информационной инфраструктуры (ИБ КСИИ)]] - журнал Connect №9, 2013.<br /> *[[Кибербезопасность]] - ...<br /> <br /> ==Нормативные акты==<br /> *[[Об информации, информационных технологиях и о защите информации|Об информации, информационных технологиях и о защите информации]] - Федерального закона от 27 июля 2006 г. № 149-ФЗ.<br /> *[[Требования по защите АСУ ТП|План-проспект проекта Требований к защите информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды]] - План-проспект ФСТЭК России.<br /> *[[Требования по защите ГИС|Требования по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах]] - Приказ ФСТЭК России 11 февраля 2013 г. N 17.<br /> *[[Требования по защите ПДн|Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных]] - Приказ ФСТЭК России 18.02.2013 г. N 21.<br /> *[[Методы защиты информации в государственных информационных системах|Методы защиты информации в государственных информационных системах]] - Методический документ ФСТЭК России 2013 г. Проект. Версия 1.3<br /> *[[Методика определения угроз безопасности информации в информационных системах]] - Методический документ ФСТЭК России 2015 г. Проект.<br /> <br /> ==Философия==<br /> *[[Дао программирования]];<br /> *[[Дао информационной безопасности]];<br /> *[[Просто Дао]];<br /> *[[Дао &quot;Путь Торговли&quot;]];<br /> *[[Искусство войны]].<br /> <br /> ==Проекты==<br /> *[[Агрогенез]] - мониторинг и управление микроклиматом;</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%90%D0%B3%D1%80%D0%BE%D0%B3%D0%B5%D0%BD%D0%B5%D0%B7&diff=127 2018-03-05T18:50:43Z

<p>Hunter po: Новая страница: «=Агрогенез= Агрочего? *агро — происходит от др.-греч. ἀγρός «поле, пашня; деревня», далее…»</p> <hr /> <div>=Агрогенез=<br /> Агрочего?<br /> <br /> *агро — происходит от др.-греч. ἀγρός «поле, пашня; деревня», далее из праиндоевр. *aǵro- «поле» (ср.: готск. akrs «поле», нем. Acker «пашня», англ. acre «акр», лат. ager «поле», др.-греч. ἀγρός «поле», армянск. արտ (art) «пашня», санскр. अज्रः (ájraḥ) «поле»).<br /> *ге́незис (греч. Γένεσις, Γένεση) — происхождение, возникновение, рождение, зарождение. Происходит от названия ветхозаветной Книги Бытия (лат. Genesis).<br /> <br /> А что, хорошее название и искать удобно.<br /> <br /> Проект &quot;Агрогенез&quot; посвящен автоматизации технологических процессов и производств в агропромышленном комплексе и сельском хозяйстве.<br /> =Информационная безопасность устройства управления=<br /> <br /> <br /> <br /> Сейчас вы можете:<br /> <br /> История проекта<br /> Давайте сначала познакомимся, если мы не знакомы – меня зовут Кондратенко Андрей Александрович, я родился в 79 году прошлого века в Москве, но теперь живу в Чистополе (Республика Татарстан), у меня красавица, она же умница жена, у нас с ней на двоих: четверо детей, опыт работы в информационных технологиях с прошлого века, собака и кот.<br /> <br /> Говорят, что у меня внешность серийного убийцы и добрые глаза, впрочем, смотрите сами:<br /> <br /> <br /> Мы всей семьей любим есть овощи и фрукты, которые в нормальном виде все реже и все дороже появляются на наших прилавках. А поскольку нас это совершенно не устраивает, мы решили понять, как мы можем в сфере информационных технологий помочь индивидуальным предпринимателям выращивать тепличные овощи и фрукты в России.<br /> <br /> Как раз такого предпринимателя мы нашли в 60 километрах от нас, в селе Мокрые Курнали.<br /> <br /> Молодой фермер идет по стопам отца. Третий сезон подряд он выращивает в парнике огурцы начиная с февраля по май и кормит ими местное население.<br /> <br /> Фермера зовут Ильдар, кстати вот он (справа от меня):<br /> <br /> <br /> <br /> Фермер экономит каждую копейку. Никакой автоматизации — все делают местные сезонные рабочие: обогрев теплицы осуществляется путем подкидывания дров в печку, проветривание теплицы осуществляется путем проветривания окон, а ну еще есть капельный полив.<br /> <br /> Вот его теплица зимой:<br /> <br /> <br /> <br /> Фермер рассказал нам, что необходимо постоянно следить за микроклиматом теплицы:<br /> <br /> если температура в теплице опустится ниже 15 градусов, то рассада погибнет от холода;<br /> если температура поднимется выше 40 градусов, то рассада перестанет развиваться от жары.<br /> За режимом температуры в теплице следят местные рабочие по сменам, но кто бы был уверен, что они делают все как нужно?<br /> <br /> Мы предложили фермеру провести эксперимент, в ходе которого он будет получать информацию о микроклимате в теплице. И он с удовольствием согласился.<br /> <br /> На дворе стоял декабрь, до начала посева оставались считанные месяцы.<br /> <br /> Эксперимент<br /> Подготовка<br /> Эксперимент начался загодя. Это был не первый объект, который мы подключали к нашей системе, до этого были сауна и котельная, но это совсем другая история.<br /> <br /> Нам уже хотелось сделать более-менее современный интерфейс для системы, что бы в него могли смотреть не только «компьютерные гики», но и нам самим он доставлял удовольствие.<br /> <br /> Для того чтобы уже отвлечься от основной работы и сделать наброски интерфейса мы совместили приятное с полезным, организовав уютный хакатон «4istohack Winter Edition 2016».<br /> <br /> Результатом стал несколько видоизмененный интерфейс:<br /> <br /> <br /> После хакатона мы еще собрали прототип системы сбора информации в корпусе IP 54 и были готовы к установке.<br /> <br /> Установка<br /> Установка прошла гладко. Монтажник протянул провода по всей теплице. Я провел подключение.<br /> <br /> Датчики температуры мы запрятали так, чтобы они не охлаждались от металлических труб и не нагревались на солнце.<br /> <br /> Ну как без факапа?..<br /> <br /> На стенде мы конечно все протестировали, только не учли, что систем сбора информации с восемью датчиками может не выдержать по питанию из-за очень длинных проводов. Мы конечно все исправили и переделанная система стала работать с десятью датчиками, но эксплуатация началась с двумя датчиками. Их тоже вполне хватило для наблюдения за поведением системы.<br /> <br /> <br /> <br /> <br /> <br /> Эксплуатация<br /> А вот эксплуатация сюрпризов не принесла (ну если не учитывать того, что один датчик отваливался при температуре менее +10 градусов, но теперь-то мы знаем, как делать так чтобы датчики больше не отваливались).<br /> <br /> После 4 марта начали сажать рассаду и следить за температурой. Насколько это удавалось рабочему персоналу – судите сами:<br /> <br /> <br /> <br /> <br /> <br /> Система в штатном режиме сообщала на электронную почту, когда температура становилась выше или ниже контролируемых пределов, а еще система сообщала, когда по какой-то причине происходило отключение системы сбора информации от системы мониторинга. А такие случаи тоже были, например, хозяин переносил розетки, потом менял проводку, потом что-то еще.<br /> <br /> <br /> <br /> <br /> <br /> Поскольку фермер частенько был в разъездах, а заваливать его спамом мы не хотели, мониторинг температуры в теплице мы взяли на себя. Отсюда же родилась идея брать мониторинг на аутсорсинг — это сэкономит владельцу время и расходы на персонал.<br /> <br /> Вот так выглядит урожай по состоянию на конец апреля 2016 года:<br /> <br /> <br /> <br /> <br /> <br /> А вот картинка из системы:<br /> <br /> <br /> =Информационная безопасность сайта=<br /> ==Авторизация==<br /> <br /> А что дальше?<br /> А дальше, на базе того, что у нас получилось, мы разрабатываем проект«Агрогенез» (а что, хорошее название и искать удобно)!<br /> <br /> агро— — происходит от др.-греч. ἀγρός «поле, пашня; деревня», далее из праиндоевр. *aǵro- «поле» (ср.: готск. akrs «поле», нем. Acker «пашня», англ. acre «акр», лат. ager «поле», др.-греч. ἀγρός «поле», армянск. արտ (art) «пашня», санскр. अज्रः (ájraḥ) «поле») .<br /> ге́незис (греч. Γένεσις, Γένεση) — происхождение, возникновение, рождение, зарождение. Происходит от названия ветхозаветной Книги Бытия (лат. Genesis).<br /> На первом этапе проекта «Агрогенез» мы создаем устройство, которое собирает информацию о микроклимате в парнике или теплице.<br /> <br /> Раз в минуту оно передает данные из любой точки России без проводов по 3G. Вся полученная информация обрабатываться централизованно, остается только зайти на сайте и узнать, как там дела у вашего урожая.<br /> <br /> Устройство будет поставляться в комплекте с датчиками по принципу «подключи и заработает» — после распаковки устройства и включения его в сеть, вы сразу начнете получать информацию от подключенных датчиков.<br /> <br /> Информацию можно посмотреть через компьютер, планшет, смартфон. А если что-то пошло не так — вы получите сообщение на телефон.<br /> ==Аутентификация==<br /> Уже созданы прототипы таких устройств и собраны в комплекты:<br /> <br /> комплект №1 «Начинающий фермер» — предназначен для дистанционного сбора информации с теплицы площадью до 20 кв.м. (включает датчики температуры, влажности, контроллер и передатчик 3G) ;<br /> комплект №2 «Опытный фермер» — предназначен для дистанционного сбора информации с теплицы площадью до 60 кв.м. (включает датчики температуры, влажности, газа, движения, света, контроллер и передатчик 3G);<br /> комплект №3 «Бывалый фермер» — предназначен для дистанционного сбора информации с теплицы площадью до 100 кв.м. (включает датчики температуры, влажности, газа, движения, света, контроллер и передатчик 3G).<br /> <br /> ==Идентификация==<br /> Примерное описание и состав комплектов вы можете посмотреть на сайте:<br /> <br /> Кстати, устройство можно использовать также в бане, на даче, и в загородном доме.<br /> <br /> Для того, чтобы прототип системы заработал так, как нужно, нам еще кое-что нужно доделать.<br /> <br /> На 1 этапе проекта на портале будут реализованы модули «Мониторинг» и «Контроль», которые позволят получать и хранить информацию от устройств и оповещать их владельцев о нарушении микроклимата.<br /> <br /> После реализации 1 этапе проекта мы двинемся дальше и будем делать «Прогнозирование» и «Управление», но это уже будет уже другая история.<br /> <br /> '''Подготовлено''' 06.03.2018 по материалам раздела сайта https://agrogenez.ru [https://agrogenez.ru/shop/opytnyj-fermer/ Опытный фермер].<br /> <br /> '''Статья находится в режиме редактирования!'''</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%98%D1%81%D0%BA%D1%83%D1%81%D1%81%D1%82%D0%B2%D0%BE_%D0%B2%D0%BE%D0%B9%D0%BD%D1%8B&diff=126 2015-10-05T08:36:16Z

<p>Hunter po: /* Предварительные расчеты */</p> <hr /> <div>Краткое описание глав книги:<br /> *Предварительные расчеты состоят из пяти основных факторов (путь, время года, местность, руководство и управление) и семи элементов, определяющих результаты боевых действий. Все это сопоставляя и оценивая, даёт больше шансов на победу. В тексте подчеркивается, что война является очень серьезным вопросом для государства и не должна быть начата без должного рассмотрения.<br /> *Ведение войны должно быть быстрым. Не бывало ещё, чтобы длительная война была выгодна государству.<br /> *Стратегическое нападение — рассматриваются общие принципы ведения наступления, отмечается, что лучше покорить войско противника, не сражаясь, сохранив, а не потеряв его. Прежде всего надо думать о том, чтобы разбить замыслы противника, оставить его без союзников, и только далее по значимости задача разбить его войска. Хуже — это длительная осада или штурм крепостей. Первое ведет к значительному затягиванию войны, а второе — к большим потерям при негарантированном успехе. В этом же разделе рассматривается стратегия при благоприятном и неблагоприятном соотношении сил, подчеркивается значение знание своих сил и сил противника и объясняется важность полководца, на которого правитель должен опираться, и каким не должен командовать, не зная законов ведения войны.<br /> *Боевая форма объясняется важностью защиты существующих положений, пока командующий не способен к продвижению от этих положений в безопасное место. Это дает командующим важность занятия стратегических возможностей, чтобы не создать возможности для врага.<br /> *Мощь — это умение применять тактику, сообразуясь с выгодой.<br /> *Полнота и пустота — учение о полноте и пустоте, то есть о сильных и слабых сторонах своих и противника, — основа всей тактики.<br /> *Борьба на войне — борьба, в которой оружием являются стратегическое и тактическое искусство, искусство организации и управления, знание психологических факторов войны и умение ими пользоваться, качество полководца. Борьба имеет свою цель. Цель эта — успех, победа.<br /> *Девять изменений — описываются различные ситуации, в которых армия оказывается, когда она перемещается через новые вражеские территории, и как ей быть в этой ситуации.<br /> *Поход — правила расположения войск в различной боевой обстановке и приемы наблюдения за противником.<br /> *Формы местности — десятая глава посвящена местности, выяснению влияния, которое может оказывать местность на стратегию и тактику военных операций.<br /> *Девять местностей — девять общих ситуаций. В этой главе описываются условия ведения войны на собственной территории.<br /> *Огневое нападение — двенадцатая глава посвящена «огневому нападению», то есть действиям огневыми средствами в широком смысле этого выражения.<br /> *Использование шпионов — способы разведки. «На войне обязательно пользуются шпионами и через них узнают положение противника».<br /> <br /> =Предварительные расчеты=<br /> <br /> 1. Сунь-цзы сказал: война — это великое дело для государства, это почва жизни и смерти, это путь существования и гибели. Это нужно понять.<br /> <br /> 2. Поэтому в ее основу кладут{1} пять явлений [ее взвешивают семью расчетами и этим определяют положение]{III}.<br /> <br /> 3. Первое — Путь, второе — Небо, третье — Земля, четвертое — Полководец, пятое — Закон.<br /> <br /> Путь — это когда достигают того, что мысли народа одинаковы с мыслями правителя{2}, когда народ готов вместе с ним умереть, готов вместе с ним жить, когда он не знает ни страха, ни сомнений{3}.<br /> <br /> Небо — это свет и мрак, холод и жар, это порядок времени{4}.<br /> <br /> Земля — это далекое и близкое, неровное и ровное, широкое и узкое, смерть и жизнь{5}. Полководец — это ум, беспристрастность, гуманность, мужество, строгость. Закон — это воинский строй, командование и снабжение{6}. Нет полководца, который не слыхал бы об этих пяти явлениях, но побеждает тот, кто усвоил их; тот же, кто их не усвоил, не побеждает.<br /> <br /> 4. Поэтому войну взвешивают семью расчетами и таким путем определяют положение.<br /> <br /> Кто из государей обладает Путем? У кого из полководцев есть таланты? Кто использовал Небо и Землю? У кого выполняются правила и приказы? У кого войско сильнее? У кого офицеры и солдаты лучше обучены{7}? У кого правильно награждают и наказывают?<br /> <br /> По этому всему я узнаю, кто одержит победу и кто потерпит поражение.<br /> <br /> 5. Если полководец станет применять мои расчеты, усвоив он непременно одержит победу; я остаюсь у него. Если полководец станет применять мои расчеты, не усвоив их, он непременно потерпит поражение; я ухожу от него{8}. Если он усвоит их с учетом выгоды, они составят мощь, которая поможет и за пределами их.<br /> <br /> 6. Мощь — это умение применять тактику{9}, сообразуясь с выгодой.<br /> <br /> 7. Война — это путь обмана{10}. Поэтому, если ты и можешь что-нибудь, показывай противнику, будто не можешь; если ты и пользуешься чем-нибудь, показывай ему, будто ты этим не пользуешься; хотя бы ты и был близко, показывай, будто ты далеко; хотя бы ты и был далеко, показывай, будто ты близко; заманивай его выгодой; приведи его в расстройство и бери его; если у него все полно, будь наготове; если он силен, уклоняйся от него; вызвав в нем гнев, приведи его в состояние расстройства; приняв смиренный вид, вызови в нем самомнение; если его силы свежи, утоми его; если у него дружны, разъедини; нападай на него, когда он не готов; выступай, когда он не ожидает.<br /> <br /> 8. Все это обеспечивает вождю победу; однако наперед преподать ничего нельзя.<br /> <br /> 9. Кто — еще до сражения — побеждает предварительным расчетом{11}, у того шансов много; кто — еще до сражения — не побеждает расчетом, у того шансов мало. У кого шансов много — побеждает; у кого шансов мало — не побеждает; тем более же тот, у кого шансов нет вовсе. Поэтому для меня — при виде этого одного — уже ясны победа и поражение.<br /> <br /> =Ведение войны=<br /> <br /> 1. Сунь-цзы сказал: правило ведения войны таково:<br /> <br /> 2. Если у тебя тысяча легких колесниц и тысяча тяжелых{1}, сто тысяч солдат, если провиант надо отправлять за тысячу миль{2}, то расходы внутренние и внешние, издержки на прием гостей, материал для лака и клея, снаряжение колесниц и вооружения — все это составит тысячу золотых в день. Только в таком случае можно поднять стотысячное войско.<br /> <br /> 3. Если ведут войну, и победа затягивается, — оружие притупляется и острия обламываются; если долго осаждают крепость, — силы подрываются; если войско надолго оставляют в поле, — средств у государства не хватает.<br /> <br /> 4. Когда же оружие притупится и острия обломаются, силы подорвутся и средства иссякнут, князья{I}, воспользовавшись твоей слабостью, поднимутся на тебя. Пусть тогда у тебя и будут умные слуги, после этого ничего поделать не сможешь.<br /> <br /> 5. Поэтому на войне слышали об успехе при быстроте ее, даже при неискусности ее ведения, и не видели еще успеха при продолжительности ее, даже при искусности ее ведения.<br /> <br /> 6. Никогда еще не бывало, чтобы война продолжалась долго и это было бы выгодно государству. Поэтому тот, кто не понимает до конца всего вреда от войны, не может понять до конца и всю выгоду от войны.<br /> <br /> 7. Тот, кто умеет вести войну, два раза набора не производит, три раза провианта не грузит; снаряжение берет из своего государства, провиант же берет у противника. Поэтому у него и хватает пищи для солдат.<br /> <br /> 8. Во время войны государство беднеет оттого, что возят далеко провиант. Когда провиант нужно возить далеко, народ беднеет.<br /> <br /> 9. Те, кто находятся поблизости от армии, продают дорого; а когда они продают дорого, средства у народа истощаются; когда же средства истощаются, выполнять повинности трудно.<br /> <br /> 10. Силы подрываются, средства иссякают, у себя в стране — в домах пусто{3}; имущество народа уменьшается на семь десятых; имущество правителя — боевые колесницы поломаны, кони изнурены; шлемы, панцири, луки и стрелы, рогатины и малые щиты, пики и большие щиты, волы и повозки — все это уменьшается на шесть десятых{4}.<br /> <br /> 11. Поэтому умный полководец старается кормиться за счет противника. При этом один фунт пищи противника соответствует двадцати фунтам своей; один пуд отрубей и соломы противника соответствует двадцати пудам своей{5}.<br /> <br /> 12. Убивает противника ярость, захватывает его богатства жадность.<br /> <br /> 13. Если при сражении на колесницах захватят десять и более колесниц, раздай их в награду тем, кто первый их захватил, и перемени на них знамена. Перемешай эти колесницы со своими и поезжай на них. С солдатами же обращайся хорошо и заботься о них. Это и называется: победить противника н увеличить свою силу{6}.<br /> <br /> 14. Война любит победу и не любит продолжительности.<br /> <br /> 15. Поэтому полководец, понимающий войну, есть властитель судеб народа, есть хозяин безопасности государства.<br /> <br /> =Стратегическое нападение=<br /> <br /> 1. Сунь-цзы сказал: по правилам ведения войны наилучшее — сохранить государство противника в целости, на втором месте — сокрушить это государство. Наилучшее — сохранить армию противника в целости, на втором месте — разбить ее. Наилучшее — сохранить бригаду противника в целости, на втором месте — разбить ее. <br /> <br /> Наилучшее — сохранить батальон противника в целости, на втором месте — разбить его. Наилучшее — сохранить роту противника в целости, на втором месте — разбить ее. Наилучшее — сохранить взвод противника в целости, на втором месте — разбить его{1}. Поэтому сто раз сразиться и сто раз победить — это не лучшее из лучшего; лучшее из лучшего — покорить чужую армию, не сражаясь.<br /> <br /> 2. Поэтому самая лучшая война — разбить замыслы противника; на следующем месте — разбить его союзы; на следующем месте — разбить его войска. Самое худшее — осаждать крепости. По правилам осады крепостей такая осада должна производиться лишь тогда, когда это неизбежно. Подготовка больших щитов, осадных колесниц, возведение насыпей, заготовка снаряжения требует три месяца; однако полководец, не будучи в состоянии преодолеть свое нетерпение, посылает своих солдат на приступ, словно муравьев; при этом одна треть офицеров и солдат{2} оказывается убитыми, а крепость остается не взятой. Таковы гибельные последствия осады.<br /> <br /> 3. Поэтому тот, кто умеет вести войну, покоряет чужую армию, не сражаясь; берет чужие крепости, не осаждая; сокрушает чужое государство, не держа свое войско долго. Он обязательно сохраняет все в целости и этим оспаривает власть в Поднебесной. Поэтому и можно не притупляя оружие иметь выгоду: это и есть правило стратегического нападения{3}.<br /> <br /> 4. Правило ведения войны гласит: если у тебя сил в десять раз больше, чем у противника, окружи его со всех сторон; если у тебя сил в пять раз больше, нападай на него; если у тебя сил вдвое больше, раздели его на части; если же силы равны, сумей с ним сразиться; если сил меньше, сумей оборониться от него; если у тебя вообще что-либо хуже, сумей уклониться от него. Поэтому упорствующие с малыми силами делаются пленниками сильного противника.<br /> <br /> 5. Полководец для государства все равно, что крепление{4} у повозки: если это крепление пригнано плотно, государство непременно бывает сильным; если крепление разошлось, государство непременно бывает слабым.<br /> <br /> 6. Поэтому армия страдает от своего государя в трех случаях{5}:<br /> <br /> Когда он, не знал, что армия не должна выступать, приказывает ей выступить; когда он, не зная, что армия не должна отступать, приказывает ей отступить; это означает, что он связывает армию.<br /> <br /> Когда он, не зная, что такое армия, распространяет на управление ею те же самые начала, которыми управляется государство; тогда командиры в армии приходят в растерянность{6}.<br /> <br /> Когда он, не зная, что такое тактика армии, руководствуется при назначении полководца теми же началами, что и в государстве; тогда командиры в армии приходят в смятение{7}.<br /> <br /> 7. Когда же армия приходит в растерянность и смятение, настигает беда от князей. Это и означает: расстроить свою армию и отдать победу противнику.<br /> <br /> 8. Поэтому знают, что победят в пяти случаях: побеждают, если знают, когда можно сражаться и когда нельзя; побеждают, когда умеют пользоваться и большими и малыми силами; побеждают там, где высшие и низшие имеют одни н те же желания; побеждают тогда, когда сами осторожны и выжидают неосторожности противника; побеждают те, у кого полководец талантлив, а государь не руководит им. Эти пять положений и есть путь знания победы.<br /> <br /> 9. Поэтому и говорится: если знаешь его и знаешь себя, сражайся хоть сто раз, опасности не будет; если знаешь себя, а его не знаешь, один раз победишь, другой раз потерпишь поражение; если не знаешь ни себя, ни его, каждый раз, когда будешь сражаться, будешь терпеть поражение.<br /> <br /> =Форма=<br /> <br /> 1. Сунь-цзы сказал: в древности тот, кто хорошо сражался, прежде всего делал себя непобедимым и в таком состоянии выжидал, когда можно будет победить противника.<br /> <br /> Непобедимость заключена в себе самом, возможность победы заключена в противнике.<br /> <br /> Поэтому тот, кто хорошо сражается, может сделать себя непобедимым, но не может заставить противника обязательно дать себя победить.<br /> <br /> Поэтому и сказано: &quot;Победу знать можно, сделать же ее нельзя&quot;.<br /> <br /> 2. Непобедимость есть оборона; возможность победить есть наступление.<br /> <br /> Когда обороняются, значит есть в чем-то недостаток; когда нападают, значит есть все в избытке.<br /> <br /> Тот, кто хорошо обороняется, прячется в глубины преисподней; тот, кто хорошо нападает, действует с высоты небес{1}.<br /> <br /> Поэтому умеют себя сохранить и в то же время одерживают полную победу.<br /> <br /> 3. Тот, кто видит победу не более чем прочие люди, не лучший из лучших. Когда кто-либо, сражаясь, одержит победу и в Поднебесной скажут: &quot;хорошо&quot;, это не будет лучший из лучших.<br /> <br /> 4. Когда поднимают легкое перышко{2}, это не считается большой силой; когда видят солнце н луну, это не считается острым зрением; когда слышат раскаты грома, это не считается тонким слухом.<br /> <br /> Про кого в древности говорили, что он хорошо сражается, тот побеждал, когда было легко победить. Поэтому, когда хорошо сражавшийся побеждал, у него не оказывалось ни славы ума, ни подвигов мужества.<br /> <br /> 5. Поэтому, когда он сражался и побеждал, это не расходилось с его расчетами. Не расходилось с его расчетами — это значит, что все предпринятое им обязательно давало победу; он побеждал уже побежденного.<br /> <br /> 6. Поэтому. тот, кто хорошо сражается, стоит на почве невозможности своего поражения и не упускает возможности поражения противника. По этой причине войско, долженствующее победить, сначала побеждает, а потом ищет сражения; войско, осужденное на поражение, сначала сражается, а потом ищет победы.<br /> <br /> 7. Тот, кто хорошо ведет войну, осуществляет Путь и соблюдает Закон. Поэтому он и может управлять победой и поражением.<br /> <br /> 8. Согласно &quot;Законам войны&quot;, первое — длина, второе — объем, третье — число, четвертое — вес, пятое — победа. Местность рождает длину, длина рождает объем, объем рождает число, число рождает вес, вес рождает победу.<br /> <br /> 9. Поэтому войско, долженствующее победить, как бы исчисляет копейки рублями, а войско, обреченное на поражение, как бы исчисляет рубли копейками{3}.<br /> <br /> 10. Когда побеждающий сражается, это подобно скопившейся воде, с высоты тысячи саженей низвергающейся в долину. Это и есть форма{4}.<br /> <br /> =Мощь=<br /> <br /> 1. Сунь-цзы сказал: управлять массами все равно, что управлять немногими: дело в частях и в числе{1}.<br /> <br /> 2. Вести в бой массы все равно, что вести в бой немногих: дело в форме и названии{2}.<br /> <br /> 3. То, что делает армию при встрече с противником непобедимой, это правильный бой и маневр.<br /> <br /> 4. Удар войска подобен тому, как если бы ударили камнем по яйцу: это есть полнота и пустота.<br /> <br /> 5. Вообще в бою схватываются с противником правильным боем, побеждают же маневром. Поэтому тот, кто хорошо пускает в ход маневр, безграничен подобно небу н земле, неисчерпаем подобно Хуан-хэ и Янцзы-цзяну.<br /> <br /> 6. Кончаются и снова начинаются — таковы солнце и луна; умирают и снова нарождаются — таковы времена года. Тонов не более пяти, но изменений этих пяти тонов всех и слышать невозможно; цветов не более пяти, но изменений этих пяти цветов всех и видеть невозможно; вкусов не более пяти, но изменений этих пяти вкусов всех и ощутить невозможно. Действий в сражении всего только два — правильный бой и маневр, но изменений в правильном бое к маневре всех и исчислить невоможно. Правильный бой и маневр взаимно порождают друг друга и это подобно круговращению, у которого нет конца. Кто может их исчерпать?<br /> <br /> 7. То, что позволяет быстроте бурного потока нести на себе камни, есть ее мощь. То, что позволяет быстроте хищной птицы поразить свою жертву, есть рассчитанность удара. Поэтому у того, кто хорошо сражается, мощь — стремительна{3}, рассчитанность коротка.<br /> Мощь — это как бы натягивание лука, рассчитанность удара — это как бы спуск стрелы.<br /> <br /> 8. Пусть все смешается и перемешается, и идет беспорядочная схватка, все равно прийти в расстройство не могут; пусть все клокочет и бурлит, и форма смята{4}, все равно потерпеть поражение не могут.<br /> <br /> 9. Беспорядок рождается из порядка, трусость рождается из храбрости, слабость рождается из силы. Порядок и беспорядок — это число; храбрость и трусость — это мощь; сила и слабость — это форма.<br /> <br /> 10. Поэтому, когда тот, кто умеет заставить противника двигаться, показывает ему форму, противник обязательно идет за ним; когда противнику что-либо дают, он обязательно берет; выгодой заставляют его двигаться, а встречают его неожиданностью.<br /> <br /> 11. Поэтому тот, кто хорошо сражается, ищет все в мощи, а не требует всего от людей. Поэтому он умеет выбирать людей и ставить их соответственно их мощи.<br /> <br /> 12. Тот, кто ставит людей соответственно их мощи, заставляет их идти в бой так же, как катят деревья и камни. Природа деревьев и камней такова, что когда место ровное, они лежат спокойно; когда оно покатое, они приходят в движение; когда они четырехугольны, они лежат на месте; когда они круглы, они катятся.<br /> <br /> 13. Поэтому мощь того, кто умеет заставить других идти в бой, есть мощь человека, скатывающего круглый камень с горы в тысячу саженей.<br /> <br /> =Полнота и пустота=<br /> <br /> 1. Сунь-цзы сказал: кто является на поле сражения первым и ждет противника, тот исполнен сил; кто потом является на поле сражения с запозданием и бросается в бой, тот уже утомлен. Поэтому тот, кто хорошо сражается, управляет противником н не дает ему управлять собой.<br /> <br /> 2. Уметь заставить противника самого прийти — это значит заманить его выгодой; уметь не дать противнику пройти — это значит сдержать его вредом. Поэтому можно утомить противника даже исполненного сил; можно заставить голодать даже сытого; можно сдвинуть с места даже прочно засевшего.<br /> <br /> 3. Выступив туда, куда он непременно направится, самому направиться туда, где он не ожидает. Тот, кто проходит тысячу миль и при этом не утомляется, проходит местами, где нет людей.<br /> <br /> 4. Напасть и при этом наверняка взять — это значит напасть на место, где он не обороняется; оборонять и при этом наверняка удержать — это значит оборонять место, на которое он не может напасть. Поэтому у того, кто умеет нападать, противник не знает, где ему обороняться; у того, кто умеет обороняться, противник не знает, где ему нападать. Тончайшее искусство! Тончайшее искусство! — нет даже формы, чтобы его изобразить. Божественное искусство! Божественное искусство! — нет даже слов, чтобы его выразить. Поэтому он и может стать властителем судеб противника.<br /> <br /> 5. Когда идут вперед, и противник не в силах воспрепятствовать — это значит, что ударяют в его пустоту; когда отступают и противник не в силах преследовать — это значит, что быстрота такова, что он не может настигнуть{1}.<br /> <br /> 6. Поэтому, если я хочу дать бой, пусть противник и понастроит высокие редуты, нароет глубокие рвы, все равно он не сможет не вступить со мною в бой. Это потому, что я нападаю на место, которое он непременно должен спасать. Если я не хочу вступать в бой, пусть я только займу место и стану его оборонять, все равно противник не сможет вступить со мной в бой. Это потому, что я отвращаю его от того пути, куда он идет.<br /> <br /> 7. Поэтому, если я покажу противнику какую-либо форму, а сам этой формы не буду иметь, я сохраню цельность, а противник разделится на части. Сохраняя цельность, я буду составлять единицу; разделившись на части, противник будет составлять десять. Тогда я своими десятью нападу на его единицу. Нас тогда будет много, а противника мало. У того, кто умеет массой ударить на немногих, таких, кто с ним сражается, мало, и их легко победить{2}.<br /> <br /> 8. Противник не знает, где он будет сражаться. А раз он этого не знает, у него много мест, где он должен быть наготове. Если же таких мест, где он должен быть наготове, много, тех, кто со мной сражается, мало. Поэтому, если он будет наготове спереди, у него будет мало сил сзади; если он будет наготове сзади, у него будет мало сил спереди; если он будет наготове слева, у него будет мало сил справа; если он будет наготове справа, у него будет мало сил слева. Не может не быть мало сил у того, у кого нет места, где он не должен быть наготове. Мало сил у того, кто должен быть всюду наготове; много сил у того, кто вынуждает другого быть всюду наготове.<br /> <br /> 9. Поэтому, если знаешь место боя и день боя, можешь наступать и за тысячу миль. Если же не знаешь места боя, не знаешь и дня боя, не сможешь левой стороной защитить правую, не сможешь правой стороной защитить левую, не сможешь передней стороной защитить заднюю, не сможешь задней стороной защитить переднюю. Тем более это так при большом расстоянии — в несколько десятков миль, и при близком расстоянии — в несколько миль.<br /> <br /> 10. Если рассуждать так, как я, то пусть у юэсцев{3} войск и много, что это может им дать для победы{4}? Поэтому и сказано: &quot;победу сделать можно&quot;. Пусть войск у противника и будет много, можно не дать ему возможности вступить в бой.<br /> <br /> 11. Поэтому, оценивая противника, узнают его план с его достоинствами и его ошибками{5}; воздействовав на противника, узнают законы, управляющие его движением и покоем; показывая ему ту или иную форму, узнают место его жизни и смерти{6}; столкнувшись с ним, узнают, где у него избыток и где недостаток.<br /> <br /> 12. Поэтому предел в придании своему войску формы — это достигнуть того, чтобы формы не было. Когда формы нет, даже глубоко проникший лазутчик не сможет что-либо подглядеть, даже мудрый не сможет о чем-либо судить. Пользуясь этой формой, он возлагает дело победы на массу, но масса этого знать не может. Все люди знают ту форму, посредством которой я победил, но не знают той формы, посредством которой я организовал победу. Поэтому победа в бою не повторяется в том же виде, она соответствует неисчерпаемости самой формы.<br /> <br /> 13. Форма у войска подобна воде: форма у воды — избегать высоты и стремиться вниз; форма у войска — избегать полноты и ударять по пустоте. Вода устанавливает свое течение в зависимости от места; войско устанавливает свою победу в зависимости от противника.<br /> <br /> 14. Поэтому у войска нет неизменной мощи, у воды нет неизменной формы. Кто умеет в зависимости от противника владеть изменениями и превращениями и одерживать победу, тот называется божеством.<br /> <br /> 15. Поэтому среди пяти элементов природы нет неизменно побеждающего; среди четырех времен года нет неизменно сохраняющего свое положение. У солнца есть краткость и продолжительность, у луны есть жизнь и смерть.<br /> <br /> =Борьба на войне=<br /> <br /> 1. Сунь-цзы сказал: вот правило ведения войны: полководец, получив повеление от государя, формирует армию, собирает войска{1} и, войдя в соприкосновение с противником{2}, занимает позицию. Нет ничего труднее, чем борьба на войне.<br /> <br /> 2. Трудное в борьбе на войне — это превратить путь обходный в прямой, превратить бедствие в выгоду. Поэтому тот, кто, предпринимая движение по такому обходному пути, отвлекает противника выгодой и, выступив позже него, приходит раньше него, тот понимает тактику обходного движения.<br /> <br /> 3. Поэтому борьба на войне приводит к выгоде, борьба на войне приводит и к опасности. Если бороться за выгоду, подняв всю армию, цели не достигнуть; если бороться за выгоду, бросив армию, будет потерян обоз.<br /> <br /> 4. Поэтому, когда борются за выгоду за сто миль, мчась, сняв вооружение, не отдыхая ни днем, ни ночью, удваивая маршруты и соединяя переходы, тогда теряют пленными командующих всеми тремя армиями; выносливые идут вперед, слабые отстают, и из всего войска доходит одна десятая. Когда борются за выгоду за пятьдесят миль, попадает в тяжелое положение командующий передовой армией, и из всего войска доходит половина. Когда борются за выгоду за тридцать миль, доходят две трети.<br /> <br /> 5. Если у армии нет обоза, она гибнет; если нет провианта, она гибнет; если нет запасов{3}, она гибнет.<br /> <br /> 6. Поэтому кто не знает замыслов князей, тот не может наперед заключать с ними союз; кто не знает обстановки — гор, лесов, круч, обрывов, топей и болот, тот не может вести войско; кто не обращается к местным проводникам, тот не может воспользоваться выгодами местности.<br /> <br /> 7. Поэтому в войне устанавливаются на обмане, действуют, руководствуясь выгодой, производят изменения путем разделений и соединений.<br /> <br /> 8. Поэтому он стремителен, как ветер; он спокоен и медлителен, как лес; он вторгается и опустошает, как огонь; он неподвижен, как гора; он непроницаем, как мрак; его движение, как удар грома{4}.<br /> <br /> 9. При грабеже селений разделяют свое войско на части; при захвате земель занимают своими частями выгодные пункты{5}.<br /> <br /> 10. Двигаются, взвесив все на весах. Кто заранее знает тактику прямого и обходного пути, тот побеждает. Это и есть закон борьбы на войне.<br /> <br /> 11. В &quot;Управлении армией&quot; сказано: &quot;Когда говорят, друг друга не слышат; поэтому и изготовляют гонги и барабаны. Когда смотрят, друг друга не видят; поэтому и изготовляют знамена и значки&quot;. Гонги, барабаны, знамена и значки соединяют воедино глаза и уши своих солдат. Если все сосредоточены на одном, храбрый не может один выступить вперед, трусливый не может один отойти назад. Это и есть закон руководства массой.<br /> <br /> 12. Поэтому в ночном бою применяют много огней и барабанов{6}, в дневном бою применяют много знамен и значков; этим вводят в заблуждение глаза и уши противника. Поэтому у армии можно отнять ее дух, у полководца можно отнять его сердце.<br /> <br /> 13. По этой причине по утрам духом бодры, днем вялы, вечером помышляют о возвращении домой. Поэтому тот, кто умеет вести войну, избегает противника, когда его дух бодр, и ударяет на него, когда его дух вял, или когда он помышляет о возвращении; это и есть управление духом.<br /> <br /> 14. Находясь в порядке, ждут беспорядка; находясь в спокойствии, ждут волнений; это и есть управление сердцем.<br /> <br /> 15. Находясь близко, ждут далеких; пребывая в полной силе, ждут утомленных; будучи сытыми, ждут голодных; это и есть управление силой.<br /> <br /> 16. Не идти против знамен противника, когда они в полном порядке; не нападать на стан противника, когда он неприступен; это и есть управление изменениями.<br /> <br /> 17. Поэтому, правила ведения войны таковы: если противник находится на высотах, не иди прямо на него{7}; если за ним возвышенность, не располагайся против него; если он притворно убегает, не преследуй его; если он полон сил, не нападай на него; если он подает тебе приманку, не иди на нее; если войско противника идет домой, не останавливай его; если окружаешь войско противника, оставь открытой одну сторону; если он находится в безвыходном положении, не нажимай на него; это и есть правила ведения войны.<br /> <br /> =Девять изменений=<br /> <br /> 1. Сунь-цзы сказал: вот правила ведения войны: [полководец, получив повеление от своего государя, формирует армию и собирает войска]{I}.<br /> <br /> 2. В местности бездорожья лагерь не разбивай; в местности-перекрестке заключай союзы с соседними князьями; в местности голой и безводной не задерживайся; в местности окружения соображай; в местности смерти сражайся.<br /> <br /> 3. Бывают дороги, по которым не идут; бывают армии, на которые не нападают; бывают крепости, из-за которых не борются; бывают местности, из-за которых не сражаются; бывают повеления государя, которых не выполняют.<br /> <br /> 4. Поэтому полководец, постигший, что есть выгодного в &quot;Девяти изменениях&quot;, знает, как вести войну. Полководец, не постигший, что есть выгодного в &quot;Девяти изменениях&quot;, не может овладеть выгодами местности, даже зная форму местности. Когда при управлении войсками он не знает искусства &quot;Девяти изменений&quot;, он не может владеть умением пользоваться людьми, даже зная &quot;Пять выгод&quot;.<br /> <br /> 5. По этой причине обдуманность действий умного человека заключается в том, что он обязательно соединяет выгоду и вред{1}. Когда с выгодой соединяют вред, усилия могут привести к результату{2}; когда с вредом соединяют выгоду, бедствие может быть устранено. Поэтому князей подчиняют себе вредом, заставляют служить себе делом, заставляют устремляться куда-нибудь выгодой{3}.<br /> <br /> 6. Правило ведения войны заключается в том, чтобы не полагаться на то, что противник не придет, а полагаться на то, с чем я могу его встретить; не полагаться на то, что он не нападет, а полагаться на то, что я сделаю нападение на себя невозможным для него.<br /> <br /> 7. Поэтому у полководца есть пять опасностей: если он будет стремиться во что бы то ни стало умереть, он может быть убитым; если он будет стремиться во что бы то ни стало остаться в живых, он может попасть в плен; если он будет скор на гнев, его могут презирать; если он будет излишне щепетилен к себе, его могут оскорбить; если он будет любить людей, его могут обессилить{4}.<br /> <br /> 8. Эти пять опасностей — недостатки полководца, бедствие в ведении войны. Разбивают армию, убивают полководца непременно этими пятью опасностями. Надлежит понять это.<br /> <br /> =Поход=<br /> <br /> 1. Сунь-цзы сказал: расположение войск и наблюдение за противником состоит в следующем.<br /> <br /> 2. При переходе через горы опирайся на долину; располагайся на высотах, смотря, где солнечная сторона{1}. При бое с противником, находящимся на возвышенности, не иди прямо вверх{2}. Таково расположение войска в горах.<br /> <br /> 3. При переходе через реку располагайся непременно подальше от реки{3}. Если противник станет переходить реку, не встречай его в воде. Вообще выгоднее дать ему переправиться наполовину и затем ударить на него; но если ты тоже хочешь вступить в бой с противником, не встречай его у самой реки; расположись на высоте, принимая в соображение, где солнечная сторона; против течения не становись. Таково расположение войск на реке.<br /> <br /> 4. Переходя через болото{4}, торопись скорее уйти, не задерживайся. Если все же тебе предстоит вступить в бой среди болот, располагайся так, чтобы у тебя была вода и трава, а в тылу у тебя пусть будет лес. Таково расположение войск в болотах.<br /> <br /> 5. В равнинной местности располагайся на ровных местах, но при этом пусть справа и позади тебя будут возвышенности; впереди у тебя пусть будет низкое место, сзади высокое{5}. Таково расположение войск в равнине.<br /> <br /> 6. Эти четыре способа выгодного расположения войск и обеспечили Хуан-ди победу над четырьмя императорами{6}.<br /> <br /> 7. Вообще, если войско будет любить высокие места и не любить низкие, будет чтить солнечный свет и отвращаться от тени; если оно будет заботиться о жизненном н располагаться на твердой почве{7}, тогда в войске не будет болезней. Это и значит непременно победить.<br /> <br /> 8. Если находишься среди холмов и возвышенностей, непременно располагайся на их солнечной стороне и имей их справа н позади себя. Это выгодно для войска; это — помощь от местности.<br /> <br /> 9. Если в верховьях реки прошли дожди и вода покрылась пеной, пусть тот, кто хочет переправиться, подождет, пока река успокоится.<br /> <br /> 10. Вообще, если в данной местности есть отвесные ущелья, природные колодцы, природные темницы, природные сети, природные капканы, природные трещины{8}, непременно поспеши уйти от них и не подходи к ним близко. Сам удались от них, а противника заставь приблизиться к ним. А когда встретишься с ним, сделай так, чтобы они были у него в тылу.<br /> <br /> 11. Если в районе движения армии окажутся овраги, топи, заросли, леса, чащи кустарника, непременно внимательно обследуй их. Это — места, где бывают засады и дозоры противника.<br /> <br /> 12. Если противник, находясь близко от меня, пребывает в спокойствии, это значит, что он опирается на естественную преграду. Если противник далеко от меня, но при этом вызывает меня на бой, это значит, что он хочет, чтобы я продвинулся вперед. Если противник расположился на ровном месте, значит, у него есть свои выгоды.<br /> <br /> 13. Если деревья задвигались, значит, он подходит. Если устроены заграждения из трав, значит, он старается ввести в заблуждение. Если птицы взлетают, значит, там спрятана засада. Если звери испугались, значит, там кто-то скрывается. Если пыль поднимается столбом, значит, идут колесницы; если она стелется низко на широком пространстве, значит, идет пехота; если она поднимается в разных местах, значит, собирают топливо. Если она поднимается то там, то сям, и притом в небольшом количестве, значит, устраивают лагерь.<br /> <br /> 14. Если речи противника смиренны, а боевые приготовления он усиливает, значит, он выступает. Если его речи горделивы н он сам спешит вперед значит, он отступает. Если легкие боевые колесницы выезжают вперед, а войско располагается по сторонам их, значит, противник строится в боевой порядок. Если он, не будучи ослаблен{9}, просит мира, значит, у него есть тайные замыслы. Если солдаты у него забегали и выстраивают колесницы, значит, пришло время. Если он то наступает, то отступает, значит, он заманивает. Если солдаты стоят, опираясь на оружие, значит, они голодны. Если они, черпая воду, сначала пьют, значит, они страдают от жажды. Если противник видит выгоду для себя, но не выступает, значит, он устал.<br /> <br /> 15. Если птицы собираются стаями, значит, там никого нет. Если у противника ночью перекликаются, значит, там боятся. Если войско дезорганизовано, значит, полководец не авторитетен. Если знамена переходят с места на место, значит, у него беспорядок. Если его командиры бранятся значит, солдаты устали. Если коней кормят пшеном, а сами едят мясо; если кувшины для вина не развешивают на деревьях и не идут обратно в лагерь, значит, они — доведенные до крайности разбойники{10}.<br /> <br /> 16. Если полководец разговаривает с солдатами ласково и учтиво, значит, он потерял свое войско. Если он без счету раздает награды, значит, войско в трудном положении. Если он бессчетно прибегает к наказанию, значит, войско в тяжелом положении. Если он сначала жесток а потом боится своего войска, это означает верх непонимания военного искусства.<br /> <br /> 17. Если противник является, предлагает заложников и просит прощения, значит, он хочет передышки. Если его войско, пылая гневом, выходит навстречу, но в течение долгого времени не вступает в бой и не отходит, непременно внимательно следи за ним.<br /> <br /> 18. Дело не в том, чтобы все более и более увеличивать число солдат. Нельзя идти вперед с одной только воинской силой. Достаточно иметь ее столько, сколько нужно для того, чтобы справиться с противником{11} путем сосредоточения своих сил и правильной оценки противника. Кто не будет рассуждать и будет относиться к противнику пренебрежительно, тот непременно станет его пленником.<br /> <br /> 19. Если солдаты еще не расположены к тебе, а ты станешь их наказывать, они не будут тебе подчиняться; а если они не станут подчиняться, ими трудно будет пользоваться. Если солдаты уже расположены к тебе, а наказания производиться не будут, ими совсем нельзя будет пользоваться.<br /> <br /> 20. Поэтому, приказывая им, действуй при помощи гражданского начала; заставляя, чтобы они повиновались тебе все, как один, действуй при помощи воинского начала.<br /> <br /> 21. Когда законы вообще исполняются, в этом случае, если преподаешь что-нибудь народу, народ тебе повинуется. Когда законы вообще не выполняются, в этом случае, если преподаешь что-либо народу, народ тебе не повинуется. Когда законы вообще принимаются с доверием и ясны, значит, ты и масса взаимно обрели друг друга.<br /> <br /> =Формы местности=<br /> <br /> 1. Сунь-цзы сказал: местность по форме бывает открытая, бывает наклонная{1}, бывает пересеченная, бывает долинная, бывает гористая, бывает отдаленная.<br /> <br /> 2. Когда и я могу идти, и он может прийти, такая местность называется открытой. В открытой местности прежде всего расположись на возвышении, на ее солнечной стороне, и обеспечь себе пути подвоза провианта. Если при таких условиях поведешь бой, будешь иметь выгоду.<br /> <br /> 3. Когда идти легко, а возвращаться трудно, такая местность называется наклонной. В наклонной местности, если противник не готов к бою, выступив, победишь его; если же противник готов к бою, выступив, не победишь его. Обращаться же назад будет трудно: выгоды не будет.<br /> <br /> 4. Когда и мне выступать невыгодно и ему выступать невыгодно, такая местность называется пересеченной. В пересеченной местности не выступай, даже если бы противник и предоставил тебе выгоду. Отведи войска н уйди; заставь противника продвинуться сюда наполовину; и если тогда ударишь на него, это будет для тебя выгодно.<br /> <br /> 5. В долинной местности, если ты первым расположишься на ней, обязательно займи ее всю и так жди противника; если же он первым расположится на ней и займет ее, не следуй за ним. Следуй за ним, если он не займет ее всю.<br /> <br /> 6. В гористой местности, если ты первым расположился в ней, обязательно располагайся на высоте, на солнечной стороне ее, и так жди противника; если же противник первым расположится в ней, отведи войска и уйди оттуда; не следуй за ним.<br /> <br /> 7. В отдаленной местности, если силы равны, трудно вызывать противника на бой, а если и начнешь бой, выгоды не будет.<br /> Эти шесть пунктов составляют учение о местности. Высшая обязанность полководца состоит в том, что ему это нужно понять.<br /> <br /> 8. Поэтому бывает, что войско поспешно отступает, что оно становится распущенным, что оно попадает в руки противника, что оно разваливается, что оно приходит в беспорядок, что оно обращается в бегство. Эти шесть бедствий — не от природы, а от ошибок полководца.<br /> <br /> 9. Когда при наличии одинаковых условий нападают с одним на десятерых это значит, что войско поспешно отступит. Когда солдаты сильны, а командиры слабы, это значит, что в войске распущенность. Когда командиры сильны, а солдаты слабы, это значит, что войско попадет в руки противника. Когда высшие командиры, в гневе на своего начальника не подчиняются ему и, встречаясь с противником, по злобе на своего начальника, самовольно завязывают бой, это объясняется тем, что полководец не знает их способностей. Это значит, что в войске развал. Когда полководец слаб и не строг, когда обучение солдат отличается неопределенностью, когда у командиров и солдат нет ничего постоянного, когда при построении в боевой порядок все идет вкривь и вкось, это значит, что в войске беспорядок. Когда полководец не умеет оценить противника, когда он, будучи слаб, нападает на сильного, когда у него в войске нет отборных частей, это значит, что войско обратится в бегство.<br /> Эти шесть пунктов составляют учение о поражении противника. Высшая обязанность полководца состоит в том, что ему это нужно понять.<br /> <br /> 10. Условия местности — только помощь для войска. Наука верховного полководца{2} состоит в умении оценить противника, организовать победу, учесть характер местности и расстояние. Кто ведет бой, зная это, тот непременно побеждает; кто ведет бой, не знал этого, тот непременно терпит поражение.<br /> <br /> 11. Поэтому, если согласно науке о войне выходит, что непременно победишь, непременно сражайся хотя бы государь и говорил тебе: &quot;не сражайся&quot;. Если согласно науке о войне выходит, что не победишь, не сражайся, хотя бы государь и говорил тебе: &quot;непременно сражайся&quot;.<br /> <br /> 12. Поэтому такой полководец, который, выступая, не ищет славы, а, отступая, не уклоняется от наказания, который думает только о благе народа и о пользе государя, такой полководец — сокровище для государства.<br /> <br /> 13. Если будешь смотреть на солдат как на детей, сможешь отправиться с ними в самое глубокое ущелье; если будешь смотреть на солдат как на любимых сыновей, сможешь идти с ними хоть на смерть. Но если будешь добр к ним, но не сможешь ими распоряжаться; если будешь любить их, но не сумеешь им приказывать; если у них возникнут беспорядки, а ты не сумеешь установить порядок, это значит, что они у тебя — непослушные дети, и пользоваться ими будет невозможно.<br /> <br /> 14. Если будешь видеть, что с твоими солдатами напасть на противника можно, но не будешь видеть, что на противника нападать нельзя, победа будет обеспечена тебе только наполовину. Если будешь видеть, что на противника напасть можно, но не будешь видеть, что с твоими солдатами нападать на него нельзя, победа будет обеспечена тебе только наполовину. Если будешь видеть, что на противника напасть можно, будешь видеть, что с твоими солдатами напасть на него можно, но не будешь видеть, что по условиям местности нападать на него нельзя, победа будет обеспечена тебе только наполовину.<br /> <br /> 15. Поэтому тот, кто знает войну, двинувшись — не ошибется, поднявшись — не попадет в беду.<br /> <br /> 16. Поэтому и сказано: если знаешь его и знаешь себя, победа недалека; если знаешь при этом еще Небо и знаешь Землю, победа обеспечена полностью.<br /> <br /> =Девять местностей=<br /> <br /> 1. Сунь-цзы сказал: вот правила войны: есть местности рассеяния, местности неустойчивости, местности оспариваемые, местности смешения, местности-перекрестки, местности серьезного положения, местности бездорожья, местности окружения, местности смерти.<br /> <br /> 2. Когда князья сражаются на собственной земле, это будет местность рассеяния; когда заходят в чужую землю, но не углубляются в нее, это будет местность неустойчивости; когда я ее захвачу, и мне это будет выгодно, и когда он ее захватит, ему также будет выгодно, это будет местность оспариваемая; когда и я могу ею пройти, и он может ею пройти, это будет местность смешения; когда земля князя принадлежит всем троим и тот, кто первым дойдет до нее, овладеет всем в Поднебесной, это будет местность-перекресток; когда заходят глубоко на чужую землю и оставляют в тылу у себя много укрепленных городов, это будет местность серьезного положения; когда идут по горам и лесам, кручам и обрывам, топям и болотам, вообще по трудно проходимым местам, это будет местность бездорожная; когда путь, по которому входят, узок, а путь, по которому уходят, окольный, когда он с малыми силами может напасть на мои большие силы, это будет местность окружения; когда бросаясь быстро в бой, уцелевают, а не бросаясь быстро в бой, погибают, это будет местность смерти.<br /> <br /> 3. Поэтому в местности рассеяния не сражайся; в местности неустойчивости не останавливайся; в местности оспариваемой не наступай; в местности смешения не теряй связи; в местности- перекрестке заключай союзы; в местности серьезного положения грабь{1}; в местности бездорожья иди; в местности окружения соображай; в местности смерти сражайся.<br /> <br /> 4. Те, кто в древности хорошо вели войну, умели делать так, что у противника передовые и тыловые части не сообщались друг с другом, крупные и мелкие соединения не поддерживали друг друга, благородные и низкие не выручали друг друга, высшие и низшие не объединялись друг с другом; они умели делать так, что солдаты у него оказывались оторванными друг от друга и не были собраны вместе, а если войско и было соединено в одно целое, оно не было единым [Двигались, когда это соответствовало выгоде; если это не соответствовало выгоде, оставались на месте]{I}.<br /> <br /> 5. Осмелюсь спросить: а если противник явится в большом числе и полном порядке, как его встретить? Отвечаю: захвати первым то, что ему дорого. Если захватишь, он будет послушен тебе.<br /> <br /> 6. В войне самое главное — быстрота: надо овладевать тем, до чего он успел дойти; идти по тому пути, о котором он и не помышляет; нападать там, где он не остерегается.<br /> <br /> 7. Вообще правила ведения войны в качестве гостя заключаются в том, чтобы, зайдя глубоко в пределы противника, сосредоточить все свои мысли и силы на одном, и тогда хозяин не одолеет.<br /> <br /> 8. Грабя тучные поля, имей в достатке продовольствие для своей армии; тщательно заботься о солдатах и не утомляй их; сплачивай их дух и соединяй их силы. Передвигая войска, действуй согласно своим расчетам и планам и думай так, чтобы никто не мог проникнуть в них.<br /> <br /> 9. Бросай своих солдат в такое место, откуда нет выхода, и тогда они умрут, но не побегут. Если же они будут готовы идти на смерть, как же не добиться победы) И воины и прочие люди в таком положении напрягают все свои силы. Когда солдаты подвергаются смертельной опасности, они ничего не боятся; когда у них нет выхода, они держатся крепко; когда они заходят в глубь неприятельской земли, их ничто не удерживает; когда ничего поделать нельзя, они дерутся.<br /> <br /> 10. По этой причине солдаты без всяких внушений бывают бдительны, без всяких понуждений обретают энергию, без всяких уговоров дружны между собой, без всяких приказов доверяют своим начальникам.<br /> <br /> 11. Если запретить всякие предсказания и удалить всякие сомнения, умы солдат до самой смерти никуда не отвлекутся.<br /> <br /> 12. Когда солдаты говорят: &quot;имущество нам более не нужно&quot; — это не значит, что они не любят имущества. Когда они говорят: &quot;жизнь нам более не нужна!&quot; — это не значит, что они не любят жизни. Когда выходит боевой приказ, у офицеров и солдат, у тех, кто сидит, слезы льются на воротник, у тех, кто лежит, слезы текут по подбородку. Но когда люди поставлены в положение, из которого нет выхода, они храбры, как Чжуань Чжу и Цао Куй{2}.<br /> <br /> 13. Поэтому тот, кто хорошо ведет войну, подобен Шуайжань. Шуайжань — это чаншаньская змея. Когда ее ударяют по голове, она бьет хвостом, когда ее ударяют по хвосту, она бьет головой; когда ее ударяют посредине, она бьет и головой и хвостом.<br /> <br /> 14. Осмелюсь спросить: а можно ли сделать войско подобным чаншаньской змее? Отвечаю: можно. Ведь жители царств У и Юе не любят друг друга. Но если они будут переправляться через реку в одной лодке и будут застигнуты бурей, они станут спасать друг друга, как правая рука левую.<br /> <br /> 15. По этой причине, если даже связать коней{3} и врыть в землю колеса повозок, все равно на это еще полагаться нельзя. Вот когда солдаты в своей храбрости все как один, это и будет настоящее искусство управления войском.<br /> <br /> 16. Когда сильные и слабые все одинаково обретают мужество, это действует закон местности{4}. Поэтому, когда искусный полководец как бы ведет свое войско за руку, ведет как будто это один человек, это значит, что создалось положение из которого нет выхода{5}.<br /> <br /> 17. Вот дело полководца: он должен сам быть всегда спокоен и этим непроницаем для других; он должен быть сам дисциплинирован и этим держать в порядке других. Он должен уметь вводить в заблуждение глаза и уши своих офицеров и солдат и не допускать, чтобы они что-либо знали. Он должен менять свои замыслы и изменять свои планы и не допускать, чтобы другие о них догадывались. Он должен менять свое местопребывания, выбирать себе окружные пути и не допускать, чтобы другие могли что-либо сообразить{6}.<br /> <br /> 18. Ведя войско, следует ставить его в такие условия, как если бы, забравшись на высоту, убрали лестницы. Ведя войско и зайдя с ним глубоко на землю князя, приступая к решительным действиям, надлежит сжечь корабли и разбить котлы; вести солдат так, как гонят стадо овец: их гонят туда, и они идут туда; их гонят сюда, и они идут сюда; они не знают, куда идут. Собрав всю армию, нужно бросить ее в опасность; это и есть дело полководца.<br /> <br /> 19. Изменения в девяти видах местности, выгоды сжатия и растяжения, законы человеческих чувств — все это нужно понять.<br /> <br /> 20. Вообще согласно науке о ведении войны в качестве гостя следует: если заходят глубоко в землю противника, сосредоточиваются на одном; если заходят не глубоко, умы рассеиваются.<br /> Когда уходят из своей страны и ведут войну, перейдя границу, это будет местность отрыва; когда пути открыты во все стороны, это будет местность-перекресток; когда заходят глубоко, это будет место серьезности положения; когда заходят не глубоко, это будет местность неустойчивости; когда сзади — неприступные места, а спереди — узкие теснины, это будет местность окружения; когда идти некуда, это будет местность смерти{7}.<br /> <br /> 21. По этой причине в местности рассеяния я стану приводить к единству устремления всех; в местности неустойчивости буду поддерживать связь между частями; в местность оспариваемую направлюсь после противника; в местности смешения буду внимателен к обороне; в местности-перекрестке стану укреплять связи; в местности серьезного положения установлю непрерывный подвоз продовольствия; в местности трудно проходимой буду продвигаться вперед по дороге; в местности окружения сам загорожу проход; в местности смерти внушу солдатам, что они в живых не останутся. Чувства солдат таковы, что, когда они окружены, они защищаются; когда ничего другого не остается, они бьются; когда положение очень серьезное, они повинуются{8}.<br /> <br /> 22. Поэтому тот, кто не знает замыслов князей, не может наперед заключать с ними союзы; кто не знает обстановки — гор, лесов, круч, оврагов, топей и болот, тот не может вести войско; кто не обращается к местным проводникам, тот не может воспользоваться выгодами местности.<br /> <br /> 23. У того, кто не знает хотя бы одного из девяти, войско не будет армией гегемона{9}.<br /> <br /> 24. Если армия гегемона обратится против большого государства, оно не сможет собрать свои силы. Если мощь гегемона обратится на противника, тот не сможет заключить союзы{10}.<br /> <br /> 25. По этой причине гегемон не гонится за союзами в Поднебесной, не собирает власть в Поднебесной. Он распространяет только свою собственную волю и воздействует на противников своею мощью. Поэтому он и может взять их крепости, может ниспровергнуть их государства.<br /> <br /> 26. Раздает награды, не придерживаясь обычных законов, издает указы не в порядке обычного управления. Он распоряжается всей армией так, как если бы распоряжался одним человеком. Распоряжаясь армией, говори о делах, а не вдавайся в объяснения. Распоряжаясь армией, говори о выгоде, а не о вреде.<br /> <br /> 27. Только после того, как солдат бросят на место гибели, они будут существовать; только после того, как их ввергнут в место смерти, они будут жить; только после того, как они попадут в беду, они смогут решить исход боя.<br /> <br /> 28. Поэтому ведение войны заключается в том, чтобы предоставлять противнику действовать согласно его намерениям и тщательно изучать их; затем сосредоточить все его внимание на чем-нибудь одном и убить его полководца, хотя бы он и был за тысячу миль. Это и значит уметь искусно сделать дело.<br /> <br /> 29. По этой причине в день выступления в поход закрой все заставы, уничтожь все пропуска через них, чтобы не прошли посланцы извне. Правитель действует в своем совете и отдается делам правления, а за войну во всем спрашивает со своего полководца{11}.<br /> <br /> 30. Когда противник станет открывать и закрывать, непременно стремительно ворвись к нему. Поспеши захватить то, что ему дорого, и потихоньку поджидай его. Иди по намеченной линии, но следуй за противником. Таким способом решишь войну{12}.<br /> <br /> 31. Поэтому сначала будь как невинная девушка — и противник откроет у себя дверь. Потом же будь как вырвавшийся заяц — и противник не успеет принять мер к защите.<br /> <br /> =Огневое нападение=<br /> <br /> 1. Сун-цзы сказал: огневое нападение бывает пяти видов: первое, когда сжигают людей; второе, когда сжигают запасы; третье, когда сжигают обозы; четвертое, когда сжигают склады; пятое, когда сжигают отряды{1}.<br /> <br /> 2. При действиях огнем необходимо, чтобы были основания для них. Огневыми средствами необходимо запастись заранее. Для того чтобы пустить огонь, нужно подходящее время; для того чтобы вызвать огонь, нужен подходящий день. Время — это когда погода сухая; день — это когда луна находится в созвездиях Цзи, Би, И, Чжэнь. Когда луна находится в этих созвездиях, дни бывают ветреные.<br /> <br /> 3. При огневом нападении необходимо поддерживать его соответственно пяти видам нападения: если огонь возник изнутри, как можно быстрее поддерживай его извне; если огонь и возник, но в войске противника все спокойно, подожди и не нападай. Когда огонь достигнет наивысшей силы, последуй за ним, если последовать можно; если последовать нельзя, оставайся на месте. Если извне пустить огонь можно, не жди кого-нибудь внутри, а выбери время и пускай. Если огонь вспыхнул по ветру, не производи нападение из-под ветра. Если ветер днем продолжается долго, ночью он стихает.<br /> <br /> 4. Вообще в войне знай про пять видов огневого нападения и всеми средствами защищайся от них. Поэтому помощь, оказываемая огнем нападению, ясна. Помощь, оказываемая водой нападению, сильна. Но водой можно отрезать, захватить же ею нельзя.<br /> Если желая сразиться и победить, напасть и взять, не прибегаешь при этом к действию этих средств, получится бедствие; получится то, что называют &quot;затяжными издержками&quot;. Поэтому и говорится: просвещенный государь рассчитывает на эти средства, а хороший полководец их применяет.<br /> <br /> 5. Если нет выгоды, не двигайся; если не можешь приобрести, не пускай в ход войска; если нет опасности, не воюй. Государь не должен поднимать оружие из-за своего гнева; полководец не должен вступать в бой из-за своей злобы. Двигаются тогда, когда это соответствует выгоде; если это не соответствует выгоде, остаются на места Гнев может опять превратиться в радость, злоба может опять превратиться в веселье, но погибшее государство снова не возродится, мертвые снова не оживут. Поэтому просвещенный государь очень осторожен по отношению к войне, а хороший полководец очень остерегается ее. Это и есть путь, на котором сохраняешь и государство в мире и армию в целости.<br /> <br /> =Использование шпионов=<br /> <br /> 1. Сунь-цзы сказал: вообще, когда поднимают стотысячную армию, выступают в поход за тысячу миль, издержки крестьян, расходы правителя составляют в день тысячу золотых. Внутри и вовне — волнения; изнемогают от дороги и не могут приняться за работу семьсот тысяч семейств.<br /> <br /> 2. Защищаются друг от друга несколько лет, а победу решают в один день. И в этих условиях жалеть титулы, награды, деньги и не знать положения противника — это верх негуманности. Тот, кто это жалеет, не полководец для людей, не помощник своему государю, не хозяин победы.<br /> <br /> 3. Поэтому просвещенные государи и мудрые полководцы двигались и побеждали, совершали подвиги, превосходя всех других, потому, что все знали наперед.<br /> <br /> 4. Знание наперед нельзя получить от богов и демонов, нельзя получить и путем заключения по сходству, нельзя получитъ и путем всяких вычислений{1}. Знание положения противника можно получить только от людей.<br /> <br /> 5. Поэтому пользование шпионами бывает пяти видов: бывают шпионы местные{2}, бывают шпионы внутренние, бывают шпионы обратные, бывают шпионы смерти, бывают шпионы жизни.<br /> <br /> 6. Все пять разрядов шпионов работают, и нельзя знать их путей. Это называется непостижимой тайной{3}. Они — сокровище для государя.<br /> <br /> 7. Местных шпионов вербуют из местных жителей страны противника и пользуются ими; внутренних шпионов вербуют из его чиновников и пользуются ими; обратных шпионов вербуют из шпионов противника и пользуются ими. Когда я пускаю в ход что-либо обманное, я даю знать об этом своим шпионам, а они передают это противнику. Такие шпионы будут шпионами смерти. Шпионы жизни — это те, кто возвращается с донесением.<br /> 8. Поэтому для армии нет ничего более близкого, чем шпионы; нет больших наград чем для шпионов; нет дел более секретных, чем шпионские. Не обладая совершенным знанием, не сможешь пользоваться шпионами; не обладая гуманностью и справедливостью, не сможешь применять шпионов; не обладая тонкостью и проницательностью, не сможешь получить от шпионов действительный результат. Тонкость! Тонкость! Нет ничего, в чем нельзя было бы пользоваться шпионами.<br /> <br /> 9. Если шпионское донесение еще не послано, а об этом уже стало известно, то и сам шпион и те, кому он сообщил, предаются смерти.<br /> <br /> 10. Вообще, когда хочешь ударить на армию противника, напасть на его крепость, убить его людей, обязательно сначала узнай, как зовут военачальника у него на службе{4}, его помощников, начальника охраны, воинов его стражи. Поручи своим шпионам обязательно узнать все это.<br /> <br /> 11. Если ты узнал, что у тебя появился шпион противника и следит за тобой, обязательно воздействуй на него выгодой; введи его к себе и помести его у себя. Ибо ты сможешь приобрести обратного шпиона и пользоваться им. Через него ты будешь знать все. И поэтому сможешь приобрести и местных шпионов и внутренних шпионов и пользоваться ими. Через него ты будешь знать все. И поэтому сможешь, придумав какой-нибудь обман, поручить своему шпиону смерти ввести противника в заблуждение. Через него ты будешь знать все. И поэтому сможешь заставить своего шпиона жизни действовать согласно твоим предположениям.<br /> <br /> 12. Всеми пятью категориями шпионов обязательно ведает сам государь. Но узнают о противнике обязательно через обратного шпиона Поэтому с обратным шпионом надлежит обращаться особенно внимательно.<br /> <br /> 13. В древности, когда поднималось царство Инь, в царстве Ся был И Чжи; когда поднималось царство Чжоу, в царстве Инь был Люй Я. Поэтому только просвещенные государи и мудрые полководцы умеют делать своими шпионами людей высокого ума и этим способом непременно совершают великие дела. Пользование шпионами — самое существенное на войне; это та опора, полагаясь на которую действует армия.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%98%D1%81%D0%BA%D1%83%D1%81%D1%81%D1%82%D0%B2%D0%BE_%D0%B2%D0%BE%D0%B9%D0%BD%D1%8B&diff=125 2015-10-05T08:33:16Z

<p>Hunter po: Новая страница: «=Предварительные расчеты= 1. Сунь-цзы сказал: война — это великое дело для государства, э…»</p> <hr /> <div>=Предварительные расчеты=<br /> <br /> 1. Сунь-цзы сказал: война — это великое дело для государства, это почва жизни и смерти, это путь существования и гибели. Это нужно понять.<br /> <br /> 2. Поэтому в ее основу кладут{1} пять явлений [ее взвешивают семью расчетами и этим определяют положение]{III}.<br /> <br /> 3. Первое — Путь, второе — Небо, третье — Земля, четвертое — Полководец, пятое — Закон.<br /> <br /> Путь — это когда достигают того, что мысли народа одинаковы с мыслями правителя{2}, когда народ готов вместе с ним умереть, готов вместе с ним жить, когда он не знает ни страха, ни сомнений{3}.<br /> <br /> Небо — это свет и мрак, холод и жар, это порядок времени{4}.<br /> <br /> Земля — это далекое и близкое, неровное и ровное, широкое и узкое, смерть и жизнь{5}. Полководец — это ум, беспристрастность, гуманность, мужество, строгость. Закон — это воинский строй, командование и снабжение{6}. Нет полководца, который не слыхал бы об этих пяти явлениях, но побеждает тот, кто усвоил их; тот же, кто их не усвоил, не побеждает.<br /> <br /> 4. Поэтому войну взвешивают семью расчетами и таким путем определяют положение.<br /> <br /> Кто из государей обладает Путем? У кого из полководцев есть таланты? Кто использовал Небо и Землю? У кого выполняются правила и приказы? У кого войско сильнее? У кого офицеры и солдаты лучше обучены{7}? У кого правильно награждают и наказывают?<br /> <br /> По этому всему я узнаю, кто одержит победу и кто потерпит поражение.<br /> <br /> 5. Если полководец станет применять мои расчеты, усвоив он непременно одержит победу; я остаюсь у него. Если полководец станет применять мои расчеты, не усвоив их, он непременно потерпит поражение; я ухожу от него{8}. Если он усвоит их с учетом выгоды, они составят мощь, которая поможет и за пределами их.<br /> <br /> 6. Мощь — это умение применять тактику{9}, сообразуясь с выгодой.<br /> <br /> 7. Война — это путь обмана{10}. Поэтому, если ты и можешь что-нибудь, показывай противнику, будто не можешь; если ты и пользуешься чем-нибудь, показывай ему, будто ты этим не пользуешься; хотя бы ты и был близко, показывай, будто ты далеко; хотя бы ты и был далеко, показывай, будто ты близко; заманивай его выгодой; приведи его в расстройство и бери его; если у него все полно, будь наготове; если он силен, уклоняйся от него; вызвав в нем гнев, приведи его в состояние расстройства; приняв смиренный вид, вызови в нем самомнение; если его силы свежи, утоми его; если у него дружны, разъедини; нападай на него, когда он не готов; выступай, когда он не ожидает.<br /> <br /> 8. Все это обеспечивает вождю победу; однако наперед преподать ничего нельзя.<br /> <br /> 9. Кто — еще до сражения — побеждает предварительным расчетом{11}, у того шансов много; кто — еще до сражения — не побеждает расчетом, у того шансов мало. У кого шансов много — побеждает; у кого шансов мало — не побеждает; тем более же тот, у кого шансов нет вовсе. Поэтому для меня — при виде этого одного — уже ясны победа и поражение.<br /> <br /> =Ведение войны=<br /> <br /> 1. Сунь-цзы сказал: правило ведения войны таково:<br /> <br /> 2. Если у тебя тысяча легких колесниц и тысяча тяжелых{1}, сто тысяч солдат, если провиант надо отправлять за тысячу миль{2}, то расходы внутренние и внешние, издержки на прием гостей, материал для лака и клея, снаряжение колесниц и вооружения — все это составит тысячу золотых в день. Только в таком случае можно поднять стотысячное войско.<br /> <br /> 3. Если ведут войну, и победа затягивается, — оружие притупляется и острия обламываются; если долго осаждают крепость, — силы подрываются; если войско надолго оставляют в поле, — средств у государства не хватает.<br /> <br /> 4. Когда же оружие притупится и острия обломаются, силы подорвутся и средства иссякнут, князья{I}, воспользовавшись твоей слабостью, поднимутся на тебя. Пусть тогда у тебя и будут умные слуги, после этого ничего поделать не сможешь.<br /> <br /> 5. Поэтому на войне слышали об успехе при быстроте ее, даже при неискусности ее ведения, и не видели еще успеха при продолжительности ее, даже при искусности ее ведения.<br /> <br /> 6. Никогда еще не бывало, чтобы война продолжалась долго и это было бы выгодно государству. Поэтому тот, кто не понимает до конца всего вреда от войны, не может понять до конца и всю выгоду от войны.<br /> <br /> 7. Тот, кто умеет вести войну, два раза набора не производит, три раза провианта не грузит; снаряжение берет из своего государства, провиант же берет у противника. Поэтому у него и хватает пищи для солдат.<br /> <br /> 8. Во время войны государство беднеет оттого, что возят далеко провиант. Когда провиант нужно возить далеко, народ беднеет.<br /> <br /> 9. Те, кто находятся поблизости от армии, продают дорого; а когда они продают дорого, средства у народа истощаются; когда же средства истощаются, выполнять повинности трудно.<br /> <br /> 10. Силы подрываются, средства иссякают, у себя в стране — в домах пусто{3}; имущество народа уменьшается на семь десятых; имущество правителя — боевые колесницы поломаны, кони изнурены; шлемы, панцири, луки и стрелы, рогатины и малые щиты, пики и большие щиты, волы и повозки — все это уменьшается на шесть десятых{4}.<br /> <br /> 11. Поэтому умный полководец старается кормиться за счет противника. При этом один фунт пищи противника соответствует двадцати фунтам своей; один пуд отрубей и соломы противника соответствует двадцати пудам своей{5}.<br /> <br /> 12. Убивает противника ярость, захватывает его богатства жадность.<br /> <br /> 13. Если при сражении на колесницах захватят десять и более колесниц, раздай их в награду тем, кто первый их захватил, и перемени на них знамена. Перемешай эти колесницы со своими и поезжай на них. С солдатами же обращайся хорошо и заботься о них. Это и называется: победить противника н увеличить свою силу{6}.<br /> <br /> 14. Война любит победу и не любит продолжительности.<br /> <br /> 15. Поэтому полководец, понимающий войну, есть властитель судеб народа, есть хозяин безопасности государства.<br /> <br /> =Стратегическое нападение=<br /> <br /> 1. Сунь-цзы сказал: по правилам ведения войны наилучшее — сохранить государство противника в целости, на втором месте — сокрушить это государство. Наилучшее — сохранить армию противника в целости, на втором месте — разбить ее. Наилучшее — сохранить бригаду противника в целости, на втором месте — разбить ее. <br /> <br /> Наилучшее — сохранить батальон противника в целости, на втором месте — разбить его. Наилучшее — сохранить роту противника в целости, на втором месте — разбить ее. Наилучшее — сохранить взвод противника в целости, на втором месте — разбить его{1}. Поэтому сто раз сразиться и сто раз победить — это не лучшее из лучшего; лучшее из лучшего — покорить чужую армию, не сражаясь.<br /> <br /> 2. Поэтому самая лучшая война — разбить замыслы противника; на следующем месте — разбить его союзы; на следующем месте — разбить его войска. Самое худшее — осаждать крепости. По правилам осады крепостей такая осада должна производиться лишь тогда, когда это неизбежно. Подготовка больших щитов, осадных колесниц, возведение насыпей, заготовка снаряжения требует три месяца; однако полководец, не будучи в состоянии преодолеть свое нетерпение, посылает своих солдат на приступ, словно муравьев; при этом одна треть офицеров и солдат{2} оказывается убитыми, а крепость остается не взятой. Таковы гибельные последствия осады.<br /> <br /> 3. Поэтому тот, кто умеет вести войну, покоряет чужую армию, не сражаясь; берет чужие крепости, не осаждая; сокрушает чужое государство, не держа свое войско долго. Он обязательно сохраняет все в целости и этим оспаривает власть в Поднебесной. Поэтому и можно не притупляя оружие иметь выгоду: это и есть правило стратегического нападения{3}.<br /> <br /> 4. Правило ведения войны гласит: если у тебя сил в десять раз больше, чем у противника, окружи его со всех сторон; если у тебя сил в пять раз больше, нападай на него; если у тебя сил вдвое больше, раздели его на части; если же силы равны, сумей с ним сразиться; если сил меньше, сумей оборониться от него; если у тебя вообще что-либо хуже, сумей уклониться от него. Поэтому упорствующие с малыми силами делаются пленниками сильного противника.<br /> <br /> 5. Полководец для государства все равно, что крепление{4} у повозки: если это крепление пригнано плотно, государство непременно бывает сильным; если крепление разошлось, государство непременно бывает слабым.<br /> <br /> 6. Поэтому армия страдает от своего государя в трех случаях{5}:<br /> <br /> Когда он, не знал, что армия не должна выступать, приказывает ей выступить; когда он, не зная, что армия не должна отступать, приказывает ей отступить; это означает, что он связывает армию.<br /> <br /> Когда он, не зная, что такое армия, распространяет на управление ею те же самые начала, которыми управляется государство; тогда командиры в армии приходят в растерянность{6}.<br /> <br /> Когда он, не зная, что такое тактика армии, руководствуется при назначении полководца теми же началами, что и в государстве; тогда командиры в армии приходят в смятение{7}.<br /> <br /> 7. Когда же армия приходит в растерянность и смятение, настигает беда от князей. Это и означает: расстроить свою армию и отдать победу противнику.<br /> <br /> 8. Поэтому знают, что победят в пяти случаях: побеждают, если знают, когда можно сражаться и когда нельзя; побеждают, когда умеют пользоваться и большими и малыми силами; побеждают там, где высшие и низшие имеют одни н те же желания; побеждают тогда, когда сами осторожны и выжидают неосторожности противника; побеждают те, у кого полководец талантлив, а государь не руководит им. Эти пять положений и есть путь знания победы.<br /> <br /> 9. Поэтому и говорится: если знаешь его и знаешь себя, сражайся хоть сто раз, опасности не будет; если знаешь себя, а его не знаешь, один раз победишь, другой раз потерпишь поражение; если не знаешь ни себя, ни его, каждый раз, когда будешь сражаться, будешь терпеть поражение.<br /> <br /> =Форма=<br /> <br /> 1. Сунь-цзы сказал: в древности тот, кто хорошо сражался, прежде всего делал себя непобедимым и в таком состоянии выжидал, когда можно будет победить противника.<br /> <br /> Непобедимость заключена в себе самом, возможность победы заключена в противнике.<br /> <br /> Поэтому тот, кто хорошо сражается, может сделать себя непобедимым, но не может заставить противника обязательно дать себя победить.<br /> <br /> Поэтому и сказано: &quot;Победу знать можно, сделать же ее нельзя&quot;.<br /> <br /> 2. Непобедимость есть оборона; возможность победить есть наступление.<br /> <br /> Когда обороняются, значит есть в чем-то недостаток; когда нападают, значит есть все в избытке.<br /> <br /> Тот, кто хорошо обороняется, прячется в глубины преисподней; тот, кто хорошо нападает, действует с высоты небес{1}.<br /> <br /> Поэтому умеют себя сохранить и в то же время одерживают полную победу.<br /> <br /> 3. Тот, кто видит победу не более чем прочие люди, не лучший из лучших. Когда кто-либо, сражаясь, одержит победу и в Поднебесной скажут: &quot;хорошо&quot;, это не будет лучший из лучших.<br /> <br /> 4. Когда поднимают легкое перышко{2}, это не считается большой силой; когда видят солнце н луну, это не считается острым зрением; когда слышат раскаты грома, это не считается тонким слухом.<br /> <br /> Про кого в древности говорили, что он хорошо сражается, тот побеждал, когда было легко победить. Поэтому, когда хорошо сражавшийся побеждал, у него не оказывалось ни славы ума, ни подвигов мужества.<br /> <br /> 5. Поэтому, когда он сражался и побеждал, это не расходилось с его расчетами. Не расходилось с его расчетами — это значит, что все предпринятое им обязательно давало победу; он побеждал уже побежденного.<br /> <br /> 6. Поэтому. тот, кто хорошо сражается, стоит на почве невозможности своего поражения и не упускает возможности поражения противника. По этой причине войско, долженствующее победить, сначала побеждает, а потом ищет сражения; войско, осужденное на поражение, сначала сражается, а потом ищет победы.<br /> <br /> 7. Тот, кто хорошо ведет войну, осуществляет Путь и соблюдает Закон. Поэтому он и может управлять победой и поражением.<br /> <br /> 8. Согласно &quot;Законам войны&quot;, первое — длина, второе — объем, третье — число, четвертое — вес, пятое — победа. Местность рождает длину, длина рождает объем, объем рождает число, число рождает вес, вес рождает победу.<br /> <br /> 9. Поэтому войско, долженствующее победить, как бы исчисляет копейки рублями, а войско, обреченное на поражение, как бы исчисляет рубли копейками{3}.<br /> <br /> 10. Когда побеждающий сражается, это подобно скопившейся воде, с высоты тысячи саженей низвергающейся в долину. Это и есть форма{4}.<br /> <br /> =Мощь=<br /> <br /> 1. Сунь-цзы сказал: управлять массами все равно, что управлять немногими: дело в частях и в числе{1}.<br /> <br /> 2. Вести в бой массы все равно, что вести в бой немногих: дело в форме и названии{2}.<br /> <br /> 3. То, что делает армию при встрече с противником непобедимой, это правильный бой и маневр.<br /> <br /> 4. Удар войска подобен тому, как если бы ударили камнем по яйцу: это есть полнота и пустота.<br /> <br /> 5. Вообще в бою схватываются с противником правильным боем, побеждают же маневром. Поэтому тот, кто хорошо пускает в ход маневр, безграничен подобно небу н земле, неисчерпаем подобно Хуан-хэ и Янцзы-цзяну.<br /> <br /> 6. Кончаются и снова начинаются — таковы солнце и луна; умирают и снова нарождаются — таковы времена года. Тонов не более пяти, но изменений этих пяти тонов всех и слышать невозможно; цветов не более пяти, но изменений этих пяти цветов всех и видеть невозможно; вкусов не более пяти, но изменений этих пяти вкусов всех и ощутить невозможно. Действий в сражении всего только два — правильный бой и маневр, но изменений в правильном бое к маневре всех и исчислить невоможно. Правильный бой и маневр взаимно порождают друг друга и это подобно круговращению, у которого нет конца. Кто может их исчерпать?<br /> <br /> 7. То, что позволяет быстроте бурного потока нести на себе камни, есть ее мощь. То, что позволяет быстроте хищной птицы поразить свою жертву, есть рассчитанность удара. Поэтому у того, кто хорошо сражается, мощь — стремительна{3}, рассчитанность коротка.<br /> Мощь — это как бы натягивание лука, рассчитанность удара — это как бы спуск стрелы.<br /> <br /> 8. Пусть все смешается и перемешается, и идет беспорядочная схватка, все равно прийти в расстройство не могут; пусть все клокочет и бурлит, и форма смята{4}, все равно потерпеть поражение не могут.<br /> <br /> 9. Беспорядок рождается из порядка, трусость рождается из храбрости, слабость рождается из силы. Порядок и беспорядок — это число; храбрость и трусость — это мощь; сила и слабость — это форма.<br /> <br /> 10. Поэтому, когда тот, кто умеет заставить противника двигаться, показывает ему форму, противник обязательно идет за ним; когда противнику что-либо дают, он обязательно берет; выгодой заставляют его двигаться, а встречают его неожиданностью.<br /> <br /> 11. Поэтому тот, кто хорошо сражается, ищет все в мощи, а не требует всего от людей. Поэтому он умеет выбирать людей и ставить их соответственно их мощи.<br /> <br /> 12. Тот, кто ставит людей соответственно их мощи, заставляет их идти в бой так же, как катят деревья и камни. Природа деревьев и камней такова, что когда место ровное, они лежат спокойно; когда оно покатое, они приходят в движение; когда они четырехугольны, они лежат на месте; когда они круглы, они катятся.<br /> <br /> 13. Поэтому мощь того, кто умеет заставить других идти в бой, есть мощь человека, скатывающего круглый камень с горы в тысячу саженей.<br /> <br /> =Полнота и пустота=<br /> <br /> 1. Сунь-цзы сказал: кто является на поле сражения первым и ждет противника, тот исполнен сил; кто потом является на поле сражения с запозданием и бросается в бой, тот уже утомлен. Поэтому тот, кто хорошо сражается, управляет противником н не дает ему управлять собой.<br /> <br /> 2. Уметь заставить противника самого прийти — это значит заманить его выгодой; уметь не дать противнику пройти — это значит сдержать его вредом. Поэтому можно утомить противника даже исполненного сил; можно заставить голодать даже сытого; можно сдвинуть с места даже прочно засевшего.<br /> <br /> 3. Выступив туда, куда он непременно направится, самому направиться туда, где он не ожидает. Тот, кто проходит тысячу миль и при этом не утомляется, проходит местами, где нет людей.<br /> <br /> 4. Напасть и при этом наверняка взять — это значит напасть на место, где он не обороняется; оборонять и при этом наверняка удержать — это значит оборонять место, на которое он не может напасть. Поэтому у того, кто умеет нападать, противник не знает, где ему обороняться; у того, кто умеет обороняться, противник не знает, где ему нападать. Тончайшее искусство! Тончайшее искусство! — нет даже формы, чтобы его изобразить. Божественное искусство! Божественное искусство! — нет даже слов, чтобы его выразить. Поэтому он и может стать властителем судеб противника.<br /> <br /> 5. Когда идут вперед, и противник не в силах воспрепятствовать — это значит, что ударяют в его пустоту; когда отступают и противник не в силах преследовать — это значит, что быстрота такова, что он не может настигнуть{1}.<br /> <br /> 6. Поэтому, если я хочу дать бой, пусть противник и понастроит высокие редуты, нароет глубокие рвы, все равно он не сможет не вступить со мною в бой. Это потому, что я нападаю на место, которое он непременно должен спасать. Если я не хочу вступать в бой, пусть я только займу место и стану его оборонять, все равно противник не сможет вступить со мной в бой. Это потому, что я отвращаю его от того пути, куда он идет.<br /> <br /> 7. Поэтому, если я покажу противнику какую-либо форму, а сам этой формы не буду иметь, я сохраню цельность, а противник разделится на части. Сохраняя цельность, я буду составлять единицу; разделившись на части, противник будет составлять десять. Тогда я своими десятью нападу на его единицу. Нас тогда будет много, а противника мало. У того, кто умеет массой ударить на немногих, таких, кто с ним сражается, мало, и их легко победить{2}.<br /> <br /> 8. Противник не знает, где он будет сражаться. А раз он этого не знает, у него много мест, где он должен быть наготове. Если же таких мест, где он должен быть наготове, много, тех, кто со мной сражается, мало. Поэтому, если он будет наготове спереди, у него будет мало сил сзади; если он будет наготове сзади, у него будет мало сил спереди; если он будет наготове слева, у него будет мало сил справа; если он будет наготове справа, у него будет мало сил слева. Не может не быть мало сил у того, у кого нет места, где он не должен быть наготове. Мало сил у того, кто должен быть всюду наготове; много сил у того, кто вынуждает другого быть всюду наготове.<br /> <br /> 9. Поэтому, если знаешь место боя и день боя, можешь наступать и за тысячу миль. Если же не знаешь места боя, не знаешь и дня боя, не сможешь левой стороной защитить правую, не сможешь правой стороной защитить левую, не сможешь передней стороной защитить заднюю, не сможешь задней стороной защитить переднюю. Тем более это так при большом расстоянии — в несколько десятков миль, и при близком расстоянии — в несколько миль.<br /> <br /> 10. Если рассуждать так, как я, то пусть у юэсцев{3} войск и много, что это может им дать для победы{4}? Поэтому и сказано: &quot;победу сделать можно&quot;. Пусть войск у противника и будет много, можно не дать ему возможности вступить в бой.<br /> <br /> 11. Поэтому, оценивая противника, узнают его план с его достоинствами и его ошибками{5}; воздействовав на противника, узнают законы, управляющие его движением и покоем; показывая ему ту или иную форму, узнают место его жизни и смерти{6}; столкнувшись с ним, узнают, где у него избыток и где недостаток.<br /> <br /> 12. Поэтому предел в придании своему войску формы — это достигнуть того, чтобы формы не было. Когда формы нет, даже глубоко проникший лазутчик не сможет что-либо подглядеть, даже мудрый не сможет о чем-либо судить. Пользуясь этой формой, он возлагает дело победы на массу, но масса этого знать не может. Все люди знают ту форму, посредством которой я победил, но не знают той формы, посредством которой я организовал победу. Поэтому победа в бою не повторяется в том же виде, она соответствует неисчерпаемости самой формы.<br /> <br /> 13. Форма у войска подобна воде: форма у воды — избегать высоты и стремиться вниз; форма у войска — избегать полноты и ударять по пустоте. Вода устанавливает свое течение в зависимости от места; войско устанавливает свою победу в зависимости от противника.<br /> <br /> 14. Поэтому у войска нет неизменной мощи, у воды нет неизменной формы. Кто умеет в зависимости от противника владеть изменениями и превращениями и одерживать победу, тот называется божеством.<br /> <br /> 15. Поэтому среди пяти элементов природы нет неизменно побеждающего; среди четырех времен года нет неизменно сохраняющего свое положение. У солнца есть краткость и продолжительность, у луны есть жизнь и смерть.<br /> <br /> =Борьба на войне=<br /> <br /> 1. Сунь-цзы сказал: вот правило ведения войны: полководец, получив повеление от государя, формирует армию, собирает войска{1} и, войдя в соприкосновение с противником{2}, занимает позицию. Нет ничего труднее, чем борьба на войне.<br /> <br /> 2. Трудное в борьбе на войне — это превратить путь обходный в прямой, превратить бедствие в выгоду. Поэтому тот, кто, предпринимая движение по такому обходному пути, отвлекает противника выгодой и, выступив позже него, приходит раньше него, тот понимает тактику обходного движения.<br /> <br /> 3. Поэтому борьба на войне приводит к выгоде, борьба на войне приводит и к опасности. Если бороться за выгоду, подняв всю армию, цели не достигнуть; если бороться за выгоду, бросив армию, будет потерян обоз.<br /> <br /> 4. Поэтому, когда борются за выгоду за сто миль, мчась, сняв вооружение, не отдыхая ни днем, ни ночью, удваивая маршруты и соединяя переходы, тогда теряют пленными командующих всеми тремя армиями; выносливые идут вперед, слабые отстают, и из всего войска доходит одна десятая. Когда борются за выгоду за пятьдесят миль, попадает в тяжелое положение командующий передовой армией, и из всего войска доходит половина. Когда борются за выгоду за тридцать миль, доходят две трети.<br /> <br /> 5. Если у армии нет обоза, она гибнет; если нет провианта, она гибнет; если нет запасов{3}, она гибнет.<br /> <br /> 6. Поэтому кто не знает замыслов князей, тот не может наперед заключать с ними союз; кто не знает обстановки — гор, лесов, круч, обрывов, топей и болот, тот не может вести войско; кто не обращается к местным проводникам, тот не может воспользоваться выгодами местности.<br /> <br /> 7. Поэтому в войне устанавливаются на обмане, действуют, руководствуясь выгодой, производят изменения путем разделений и соединений.<br /> <br /> 8. Поэтому он стремителен, как ветер; он спокоен и медлителен, как лес; он вторгается и опустошает, как огонь; он неподвижен, как гора; он непроницаем, как мрак; его движение, как удар грома{4}.<br /> <br /> 9. При грабеже селений разделяют свое войско на части; при захвате земель занимают своими частями выгодные пункты{5}.<br /> <br /> 10. Двигаются, взвесив все на весах. Кто заранее знает тактику прямого и обходного пути, тот побеждает. Это и есть закон борьбы на войне.<br /> <br /> 11. В &quot;Управлении армией&quot; сказано: &quot;Когда говорят, друг друга не слышат; поэтому и изготовляют гонги и барабаны. Когда смотрят, друг друга не видят; поэтому и изготовляют знамена и значки&quot;. Гонги, барабаны, знамена и значки соединяют воедино глаза и уши своих солдат. Если все сосредоточены на одном, храбрый не может один выступить вперед, трусливый не может один отойти назад. Это и есть закон руководства массой.<br /> <br /> 12. Поэтому в ночном бою применяют много огней и барабанов{6}, в дневном бою применяют много знамен и значков; этим вводят в заблуждение глаза и уши противника. Поэтому у армии можно отнять ее дух, у полководца можно отнять его сердце.<br /> <br /> 13. По этой причине по утрам духом бодры, днем вялы, вечером помышляют о возвращении домой. Поэтому тот, кто умеет вести войну, избегает противника, когда его дух бодр, и ударяет на него, когда его дух вял, или когда он помышляет о возвращении; это и есть управление духом.<br /> <br /> 14. Находясь в порядке, ждут беспорядка; находясь в спокойствии, ждут волнений; это и есть управление сердцем.<br /> <br /> 15. Находясь близко, ждут далеких; пребывая в полной силе, ждут утомленных; будучи сытыми, ждут голодных; это и есть управление силой.<br /> <br /> 16. Не идти против знамен противника, когда они в полном порядке; не нападать на стан противника, когда он неприступен; это и есть управление изменениями.<br /> <br /> 17. Поэтому, правила ведения войны таковы: если противник находится на высотах, не иди прямо на него{7}; если за ним возвышенность, не располагайся против него; если он притворно убегает, не преследуй его; если он полон сил, не нападай на него; если он подает тебе приманку, не иди на нее; если войско противника идет домой, не останавливай его; если окружаешь войско противника, оставь открытой одну сторону; если он находится в безвыходном положении, не нажимай на него; это и есть правила ведения войны.<br /> <br /> =Девять изменений=<br /> <br /> 1. Сунь-цзы сказал: вот правила ведения войны: [полководец, получив повеление от своего государя, формирует армию и собирает войска]{I}.<br /> <br /> 2. В местности бездорожья лагерь не разбивай; в местности-перекрестке заключай союзы с соседними князьями; в местности голой и безводной не задерживайся; в местности окружения соображай; в местности смерти сражайся.<br /> <br /> 3. Бывают дороги, по которым не идут; бывают армии, на которые не нападают; бывают крепости, из-за которых не борются; бывают местности, из-за которых не сражаются; бывают повеления государя, которых не выполняют.<br /> <br /> 4. Поэтому полководец, постигший, что есть выгодного в &quot;Девяти изменениях&quot;, знает, как вести войну. Полководец, не постигший, что есть выгодного в &quot;Девяти изменениях&quot;, не может овладеть выгодами местности, даже зная форму местности. Когда при управлении войсками он не знает искусства &quot;Девяти изменений&quot;, он не может владеть умением пользоваться людьми, даже зная &quot;Пять выгод&quot;.<br /> <br /> 5. По этой причине обдуманность действий умного человека заключается в том, что он обязательно соединяет выгоду и вред{1}. Когда с выгодой соединяют вред, усилия могут привести к результату{2}; когда с вредом соединяют выгоду, бедствие может быть устранено. Поэтому князей подчиняют себе вредом, заставляют служить себе делом, заставляют устремляться куда-нибудь выгодой{3}.<br /> <br /> 6. Правило ведения войны заключается в том, чтобы не полагаться на то, что противник не придет, а полагаться на то, с чем я могу его встретить; не полагаться на то, что он не нападет, а полагаться на то, что я сделаю нападение на себя невозможным для него.<br /> <br /> 7. Поэтому у полководца есть пять опасностей: если он будет стремиться во что бы то ни стало умереть, он может быть убитым; если он будет стремиться во что бы то ни стало остаться в живых, он может попасть в плен; если он будет скор на гнев, его могут презирать; если он будет излишне щепетилен к себе, его могут оскорбить; если он будет любить людей, его могут обессилить{4}.<br /> <br /> 8. Эти пять опасностей — недостатки полководца, бедствие в ведении войны. Разбивают армию, убивают полководца непременно этими пятью опасностями. Надлежит понять это.<br /> <br /> =Поход=<br /> <br /> 1. Сунь-цзы сказал: расположение войск и наблюдение за противником состоит в следующем.<br /> <br /> 2. При переходе через горы опирайся на долину; располагайся на высотах, смотря, где солнечная сторона{1}. При бое с противником, находящимся на возвышенности, не иди прямо вверх{2}. Таково расположение войска в горах.<br /> <br /> 3. При переходе через реку располагайся непременно подальше от реки{3}. Если противник станет переходить реку, не встречай его в воде. Вообще выгоднее дать ему переправиться наполовину и затем ударить на него; но если ты тоже хочешь вступить в бой с противником, не встречай его у самой реки; расположись на высоте, принимая в соображение, где солнечная сторона; против течения не становись. Таково расположение войск на реке.<br /> <br /> 4. Переходя через болото{4}, торопись скорее уйти, не задерживайся. Если все же тебе предстоит вступить в бой среди болот, располагайся так, чтобы у тебя была вода и трава, а в тылу у тебя пусть будет лес. Таково расположение войск в болотах.<br /> <br /> 5. В равнинной местности располагайся на ровных местах, но при этом пусть справа и позади тебя будут возвышенности; впереди у тебя пусть будет низкое место, сзади высокое{5}. Таково расположение войск в равнине.<br /> <br /> 6. Эти четыре способа выгодного расположения войск и обеспечили Хуан-ди победу над четырьмя императорами{6}.<br /> <br /> 7. Вообще, если войско будет любить высокие места и не любить низкие, будет чтить солнечный свет и отвращаться от тени; если оно будет заботиться о жизненном н располагаться на твердой почве{7}, тогда в войске не будет болезней. Это и значит непременно победить.<br /> <br /> 8. Если находишься среди холмов и возвышенностей, непременно располагайся на их солнечной стороне и имей их справа н позади себя. Это выгодно для войска; это — помощь от местности.<br /> <br /> 9. Если в верховьях реки прошли дожди и вода покрылась пеной, пусть тот, кто хочет переправиться, подождет, пока река успокоится.<br /> <br /> 10. Вообще, если в данной местности есть отвесные ущелья, природные колодцы, природные темницы, природные сети, природные капканы, природные трещины{8}, непременно поспеши уйти от них и не подходи к ним близко. Сам удались от них, а противника заставь приблизиться к ним. А когда встретишься с ним, сделай так, чтобы они были у него в тылу.<br /> <br /> 11. Если в районе движения армии окажутся овраги, топи, заросли, леса, чащи кустарника, непременно внимательно обследуй их. Это — места, где бывают засады и дозоры противника.<br /> <br /> 12. Если противник, находясь близко от меня, пребывает в спокойствии, это значит, что он опирается на естественную преграду. Если противник далеко от меня, но при этом вызывает меня на бой, это значит, что он хочет, чтобы я продвинулся вперед. Если противник расположился на ровном месте, значит, у него есть свои выгоды.<br /> <br /> 13. Если деревья задвигались, значит, он подходит. Если устроены заграждения из трав, значит, он старается ввести в заблуждение. Если птицы взлетают, значит, там спрятана засада. Если звери испугались, значит, там кто-то скрывается. Если пыль поднимается столбом, значит, идут колесницы; если она стелется низко на широком пространстве, значит, идет пехота; если она поднимается в разных местах, значит, собирают топливо. Если она поднимается то там, то сям, и притом в небольшом количестве, значит, устраивают лагерь.<br /> <br /> 14. Если речи противника смиренны, а боевые приготовления он усиливает, значит, он выступает. Если его речи горделивы н он сам спешит вперед значит, он отступает. Если легкие боевые колесницы выезжают вперед, а войско располагается по сторонам их, значит, противник строится в боевой порядок. Если он, не будучи ослаблен{9}, просит мира, значит, у него есть тайные замыслы. Если солдаты у него забегали и выстраивают колесницы, значит, пришло время. Если он то наступает, то отступает, значит, он заманивает. Если солдаты стоят, опираясь на оружие, значит, они голодны. Если они, черпая воду, сначала пьют, значит, они страдают от жажды. Если противник видит выгоду для себя, но не выступает, значит, он устал.<br /> <br /> 15. Если птицы собираются стаями, значит, там никого нет. Если у противника ночью перекликаются, значит, там боятся. Если войско дезорганизовано, значит, полководец не авторитетен. Если знамена переходят с места на место, значит, у него беспорядок. Если его командиры бранятся значит, солдаты устали. Если коней кормят пшеном, а сами едят мясо; если кувшины для вина не развешивают на деревьях и не идут обратно в лагерь, значит, они — доведенные до крайности разбойники{10}.<br /> <br /> 16. Если полководец разговаривает с солдатами ласково и учтиво, значит, он потерял свое войско. Если он без счету раздает награды, значит, войско в трудном положении. Если он бессчетно прибегает к наказанию, значит, войско в тяжелом положении. Если он сначала жесток а потом боится своего войска, это означает верх непонимания военного искусства.<br /> <br /> 17. Если противник является, предлагает заложников и просит прощения, значит, он хочет передышки. Если его войско, пылая гневом, выходит навстречу, но в течение долгого времени не вступает в бой и не отходит, непременно внимательно следи за ним.<br /> <br /> 18. Дело не в том, чтобы все более и более увеличивать число солдат. Нельзя идти вперед с одной только воинской силой. Достаточно иметь ее столько, сколько нужно для того, чтобы справиться с противником{11} путем сосредоточения своих сил и правильной оценки противника. Кто не будет рассуждать и будет относиться к противнику пренебрежительно, тот непременно станет его пленником.<br /> <br /> 19. Если солдаты еще не расположены к тебе, а ты станешь их наказывать, они не будут тебе подчиняться; а если они не станут подчиняться, ими трудно будет пользоваться. Если солдаты уже расположены к тебе, а наказания производиться не будут, ими совсем нельзя будет пользоваться.<br /> <br /> 20. Поэтому, приказывая им, действуй при помощи гражданского начала; заставляя, чтобы они повиновались тебе все, как один, действуй при помощи воинского начала.<br /> <br /> 21. Когда законы вообще исполняются, в этом случае, если преподаешь что-нибудь народу, народ тебе повинуется. Когда законы вообще не выполняются, в этом случае, если преподаешь что-либо народу, народ тебе не повинуется. Когда законы вообще принимаются с доверием и ясны, значит, ты и масса взаимно обрели друг друга.<br /> <br /> =Формы местности=<br /> <br /> 1. Сунь-цзы сказал: местность по форме бывает открытая, бывает наклонная{1}, бывает пересеченная, бывает долинная, бывает гористая, бывает отдаленная.<br /> <br /> 2. Когда и я могу идти, и он может прийти, такая местность называется открытой. В открытой местности прежде всего расположись на возвышении, на ее солнечной стороне, и обеспечь себе пути подвоза провианта. Если при таких условиях поведешь бой, будешь иметь выгоду.<br /> <br /> 3. Когда идти легко, а возвращаться трудно, такая местность называется наклонной. В наклонной местности, если противник не готов к бою, выступив, победишь его; если же противник готов к бою, выступив, не победишь его. Обращаться же назад будет трудно: выгоды не будет.<br /> <br /> 4. Когда и мне выступать невыгодно и ему выступать невыгодно, такая местность называется пересеченной. В пересеченной местности не выступай, даже если бы противник и предоставил тебе выгоду. Отведи войска н уйди; заставь противника продвинуться сюда наполовину; и если тогда ударишь на него, это будет для тебя выгодно.<br /> <br /> 5. В долинной местности, если ты первым расположишься на ней, обязательно займи ее всю и так жди противника; если же он первым расположится на ней и займет ее, не следуй за ним. Следуй за ним, если он не займет ее всю.<br /> <br /> 6. В гористой местности, если ты первым расположился в ней, обязательно располагайся на высоте, на солнечной стороне ее, и так жди противника; если же противник первым расположится в ней, отведи войска и уйди оттуда; не следуй за ним.<br /> <br /> 7. В отдаленной местности, если силы равны, трудно вызывать противника на бой, а если и начнешь бой, выгоды не будет.<br /> Эти шесть пунктов составляют учение о местности. Высшая обязанность полководца состоит в том, что ему это нужно понять.<br /> <br /> 8. Поэтому бывает, что войско поспешно отступает, что оно становится распущенным, что оно попадает в руки противника, что оно разваливается, что оно приходит в беспорядок, что оно обращается в бегство. Эти шесть бедствий — не от природы, а от ошибок полководца.<br /> <br /> 9. Когда при наличии одинаковых условий нападают с одним на десятерых это значит, что войско поспешно отступит. Когда солдаты сильны, а командиры слабы, это значит, что в войске распущенность. Когда командиры сильны, а солдаты слабы, это значит, что войско попадет в руки противника. Когда высшие командиры, в гневе на своего начальника не подчиняются ему и, встречаясь с противником, по злобе на своего начальника, самовольно завязывают бой, это объясняется тем, что полководец не знает их способностей. Это значит, что в войске развал. Когда полководец слаб и не строг, когда обучение солдат отличается неопределенностью, когда у командиров и солдат нет ничего постоянного, когда при построении в боевой порядок все идет вкривь и вкось, это значит, что в войске беспорядок. Когда полководец не умеет оценить противника, когда он, будучи слаб, нападает на сильного, когда у него в войске нет отборных частей, это значит, что войско обратится в бегство.<br /> Эти шесть пунктов составляют учение о поражении противника. Высшая обязанность полководца состоит в том, что ему это нужно понять.<br /> <br /> 10. Условия местности — только помощь для войска. Наука верховного полководца{2} состоит в умении оценить противника, организовать победу, учесть характер местности и расстояние. Кто ведет бой, зная это, тот непременно побеждает; кто ведет бой, не знал этого, тот непременно терпит поражение.<br /> <br /> 11. Поэтому, если согласно науке о войне выходит, что непременно победишь, непременно сражайся хотя бы государь и говорил тебе: &quot;не сражайся&quot;. Если согласно науке о войне выходит, что не победишь, не сражайся, хотя бы государь и говорил тебе: &quot;непременно сражайся&quot;.<br /> <br /> 12. Поэтому такой полководец, который, выступая, не ищет славы, а, отступая, не уклоняется от наказания, который думает только о благе народа и о пользе государя, такой полководец — сокровище для государства.<br /> <br /> 13. Если будешь смотреть на солдат как на детей, сможешь отправиться с ними в самое глубокое ущелье; если будешь смотреть на солдат как на любимых сыновей, сможешь идти с ними хоть на смерть. Но если будешь добр к ним, но не сможешь ими распоряжаться; если будешь любить их, но не сумеешь им приказывать; если у них возникнут беспорядки, а ты не сумеешь установить порядок, это значит, что они у тебя — непослушные дети, и пользоваться ими будет невозможно.<br /> <br /> 14. Если будешь видеть, что с твоими солдатами напасть на противника можно, но не будешь видеть, что на противника нападать нельзя, победа будет обеспечена тебе только наполовину. Если будешь видеть, что на противника напасть можно, но не будешь видеть, что с твоими солдатами нападать на него нельзя, победа будет обеспечена тебе только наполовину. Если будешь видеть, что на противника напасть можно, будешь видеть, что с твоими солдатами напасть на него можно, но не будешь видеть, что по условиям местности нападать на него нельзя, победа будет обеспечена тебе только наполовину.<br /> <br /> 15. Поэтому тот, кто знает войну, двинувшись — не ошибется, поднявшись — не попадет в беду.<br /> <br /> 16. Поэтому и сказано: если знаешь его и знаешь себя, победа недалека; если знаешь при этом еще Небо и знаешь Землю, победа обеспечена полностью.<br /> <br /> =Девять местностей=<br /> <br /> 1. Сунь-цзы сказал: вот правила войны: есть местности рассеяния, местности неустойчивости, местности оспариваемые, местности смешения, местности-перекрестки, местности серьезного положения, местности бездорожья, местности окружения, местности смерти.<br /> <br /> 2. Когда князья сражаются на собственной земле, это будет местность рассеяния; когда заходят в чужую землю, но не углубляются в нее, это будет местность неустойчивости; когда я ее захвачу, и мне это будет выгодно, и когда он ее захватит, ему также будет выгодно, это будет местность оспариваемая; когда и я могу ею пройти, и он может ею пройти, это будет местность смешения; когда земля князя принадлежит всем троим и тот, кто первым дойдет до нее, овладеет всем в Поднебесной, это будет местность-перекресток; когда заходят глубоко на чужую землю и оставляют в тылу у себя много укрепленных городов, это будет местность серьезного положения; когда идут по горам и лесам, кручам и обрывам, топям и болотам, вообще по трудно проходимым местам, это будет местность бездорожная; когда путь, по которому входят, узок, а путь, по которому уходят, окольный, когда он с малыми силами может напасть на мои большие силы, это будет местность окружения; когда бросаясь быстро в бой, уцелевают, а не бросаясь быстро в бой, погибают, это будет местность смерти.<br /> <br /> 3. Поэтому в местности рассеяния не сражайся; в местности неустойчивости не останавливайся; в местности оспариваемой не наступай; в местности смешения не теряй связи; в местности- перекрестке заключай союзы; в местности серьезного положения грабь{1}; в местности бездорожья иди; в местности окружения соображай; в местности смерти сражайся.<br /> <br /> 4. Те, кто в древности хорошо вели войну, умели делать так, что у противника передовые и тыловые части не сообщались друг с другом, крупные и мелкие соединения не поддерживали друг друга, благородные и низкие не выручали друг друга, высшие и низшие не объединялись друг с другом; они умели делать так, что солдаты у него оказывались оторванными друг от друга и не были собраны вместе, а если войско и было соединено в одно целое, оно не было единым [Двигались, когда это соответствовало выгоде; если это не соответствовало выгоде, оставались на месте]{I}.<br /> <br /> 5. Осмелюсь спросить: а если противник явится в большом числе и полном порядке, как его встретить? Отвечаю: захвати первым то, что ему дорого. Если захватишь, он будет послушен тебе.<br /> <br /> 6. В войне самое главное — быстрота: надо овладевать тем, до чего он успел дойти; идти по тому пути, о котором он и не помышляет; нападать там, где он не остерегается.<br /> <br /> 7. Вообще правила ведения войны в качестве гостя заключаются в том, чтобы, зайдя глубоко в пределы противника, сосредоточить все свои мысли и силы на одном, и тогда хозяин не одолеет.<br /> <br /> 8. Грабя тучные поля, имей в достатке продовольствие для своей армии; тщательно заботься о солдатах и не утомляй их; сплачивай их дух и соединяй их силы. Передвигая войска, действуй согласно своим расчетам и планам и думай так, чтобы никто не мог проникнуть в них.<br /> <br /> 9. Бросай своих солдат в такое место, откуда нет выхода, и тогда они умрут, но не побегут. Если же они будут готовы идти на смерть, как же не добиться победы) И воины и прочие люди в таком положении напрягают все свои силы. Когда солдаты подвергаются смертельной опасности, они ничего не боятся; когда у них нет выхода, они держатся крепко; когда они заходят в глубь неприятельской земли, их ничто не удерживает; когда ничего поделать нельзя, они дерутся.<br /> <br /> 10. По этой причине солдаты без всяких внушений бывают бдительны, без всяких понуждений обретают энергию, без всяких уговоров дружны между собой, без всяких приказов доверяют своим начальникам.<br /> <br /> 11. Если запретить всякие предсказания и удалить всякие сомнения, умы солдат до самой смерти никуда не отвлекутся.<br /> <br /> 12. Когда солдаты говорят: &quot;имущество нам более не нужно&quot; — это не значит, что они не любят имущества. Когда они говорят: &quot;жизнь нам более не нужна!&quot; — это не значит, что они не любят жизни. Когда выходит боевой приказ, у офицеров и солдат, у тех, кто сидит, слезы льются на воротник, у тех, кто лежит, слезы текут по подбородку. Но когда люди поставлены в положение, из которого нет выхода, они храбры, как Чжуань Чжу и Цао Куй{2}.<br /> <br /> 13. Поэтому тот, кто хорошо ведет войну, подобен Шуайжань. Шуайжань — это чаншаньская змея. Когда ее ударяют по голове, она бьет хвостом, когда ее ударяют по хвосту, она бьет головой; когда ее ударяют посредине, она бьет и головой и хвостом.<br /> <br /> 14. Осмелюсь спросить: а можно ли сделать войско подобным чаншаньской змее? Отвечаю: можно. Ведь жители царств У и Юе не любят друг друга. Но если они будут переправляться через реку в одной лодке и будут застигнуты бурей, они станут спасать друг друга, как правая рука левую.<br /> <br /> 15. По этой причине, если даже связать коней{3} и врыть в землю колеса повозок, все равно на это еще полагаться нельзя. Вот когда солдаты в своей храбрости все как один, это и будет настоящее искусство управления войском.<br /> <br /> 16. Когда сильные и слабые все одинаково обретают мужество, это действует закон местности{4}. Поэтому, когда искусный полководец как бы ведет свое войско за руку, ведет как будто это один человек, это значит, что создалось положение из которого нет выхода{5}.<br /> <br /> 17. Вот дело полководца: он должен сам быть всегда спокоен и этим непроницаем для других; он должен быть сам дисциплинирован и этим держать в порядке других. Он должен уметь вводить в заблуждение глаза и уши своих офицеров и солдат и не допускать, чтобы они что-либо знали. Он должен менять свои замыслы и изменять свои планы и не допускать, чтобы другие о них догадывались. Он должен менять свое местопребывания, выбирать себе окружные пути и не допускать, чтобы другие могли что-либо сообразить{6}.<br /> <br /> 18. Ведя войско, следует ставить его в такие условия, как если бы, забравшись на высоту, убрали лестницы. Ведя войско и зайдя с ним глубоко на землю князя, приступая к решительным действиям, надлежит сжечь корабли и разбить котлы; вести солдат так, как гонят стадо овец: их гонят туда, и они идут туда; их гонят сюда, и они идут сюда; они не знают, куда идут. Собрав всю армию, нужно бросить ее в опасность; это и есть дело полководца.<br /> <br /> 19. Изменения в девяти видах местности, выгоды сжатия и растяжения, законы человеческих чувств — все это нужно понять.<br /> <br /> 20. Вообще согласно науке о ведении войны в качестве гостя следует: если заходят глубоко в землю противника, сосредоточиваются на одном; если заходят не глубоко, умы рассеиваются.<br /> Когда уходят из своей страны и ведут войну, перейдя границу, это будет местность отрыва; когда пути открыты во все стороны, это будет местность-перекресток; когда заходят глубоко, это будет место серьезности положения; когда заходят не глубоко, это будет местность неустойчивости; когда сзади — неприступные места, а спереди — узкие теснины, это будет местность окружения; когда идти некуда, это будет местность смерти{7}.<br /> <br /> 21. По этой причине в местности рассеяния я стану приводить к единству устремления всех; в местности неустойчивости буду поддерживать связь между частями; в местность оспариваемую направлюсь после противника; в местности смешения буду внимателен к обороне; в местности-перекрестке стану укреплять связи; в местности серьезного положения установлю непрерывный подвоз продовольствия; в местности трудно проходимой буду продвигаться вперед по дороге; в местности окружения сам загорожу проход; в местности смерти внушу солдатам, что они в живых не останутся. Чувства солдат таковы, что, когда они окружены, они защищаются; когда ничего другого не остается, они бьются; когда положение очень серьезное, они повинуются{8}.<br /> <br /> 22. Поэтому тот, кто не знает замыслов князей, не может наперед заключать с ними союзы; кто не знает обстановки — гор, лесов, круч, оврагов, топей и болот, тот не может вести войско; кто не обращается к местным проводникам, тот не может воспользоваться выгодами местности.<br /> <br /> 23. У того, кто не знает хотя бы одного из девяти, войско не будет армией гегемона{9}.<br /> <br /> 24. Если армия гегемона обратится против большого государства, оно не сможет собрать свои силы. Если мощь гегемона обратится на противника, тот не сможет заключить союзы{10}.<br /> <br /> 25. По этой причине гегемон не гонится за союзами в Поднебесной, не собирает власть в Поднебесной. Он распространяет только свою собственную волю и воздействует на противников своею мощью. Поэтому он и может взять их крепости, может ниспровергнуть их государства.<br /> <br /> 26. Раздает награды, не придерживаясь обычных законов, издает указы не в порядке обычного управления. Он распоряжается всей армией так, как если бы распоряжался одним человеком. Распоряжаясь армией, говори о делах, а не вдавайся в объяснения. Распоряжаясь армией, говори о выгоде, а не о вреде.<br /> <br /> 27. Только после того, как солдат бросят на место гибели, они будут существовать; только после того, как их ввергнут в место смерти, они будут жить; только после того, как они попадут в беду, они смогут решить исход боя.<br /> <br /> 28. Поэтому ведение войны заключается в том, чтобы предоставлять противнику действовать согласно его намерениям и тщательно изучать их; затем сосредоточить все его внимание на чем-нибудь одном и убить его полководца, хотя бы он и был за тысячу миль. Это и значит уметь искусно сделать дело.<br /> <br /> 29. По этой причине в день выступления в поход закрой все заставы, уничтожь все пропуска через них, чтобы не прошли посланцы извне. Правитель действует в своем совете и отдается делам правления, а за войну во всем спрашивает со своего полководца{11}.<br /> <br /> 30. Когда противник станет открывать и закрывать, непременно стремительно ворвись к нему. Поспеши захватить то, что ему дорого, и потихоньку поджидай его. Иди по намеченной линии, но следуй за противником. Таким способом решишь войну{12}.<br /> <br /> 31. Поэтому сначала будь как невинная девушка — и противник откроет у себя дверь. Потом же будь как вырвавшийся заяц — и противник не успеет принять мер к защите.<br /> <br /> =Огневое нападение=<br /> <br /> 1. Сун-цзы сказал: огневое нападение бывает пяти видов: первое, когда сжигают людей; второе, когда сжигают запасы; третье, когда сжигают обозы; четвертое, когда сжигают склады; пятое, когда сжигают отряды{1}.<br /> <br /> 2. При действиях огнем необходимо, чтобы были основания для них. Огневыми средствами необходимо запастись заранее. Для того чтобы пустить огонь, нужно подходящее время; для того чтобы вызвать огонь, нужен подходящий день. Время — это когда погода сухая; день — это когда луна находится в созвездиях Цзи, Би, И, Чжэнь. Когда луна находится в этих созвездиях, дни бывают ветреные.<br /> <br /> 3. При огневом нападении необходимо поддерживать его соответственно пяти видам нападения: если огонь возник изнутри, как можно быстрее поддерживай его извне; если огонь и возник, но в войске противника все спокойно, подожди и не нападай. Когда огонь достигнет наивысшей силы, последуй за ним, если последовать можно; если последовать нельзя, оставайся на месте. Если извне пустить огонь можно, не жди кого-нибудь внутри, а выбери время и пускай. Если огонь вспыхнул по ветру, не производи нападение из-под ветра. Если ветер днем продолжается долго, ночью он стихает.<br /> <br /> 4. Вообще в войне знай про пять видов огневого нападения и всеми средствами защищайся от них. Поэтому помощь, оказываемая огнем нападению, ясна. Помощь, оказываемая водой нападению, сильна. Но водой можно отрезать, захватить же ею нельзя.<br /> Если желая сразиться и победить, напасть и взять, не прибегаешь при этом к действию этих средств, получится бедствие; получится то, что называют &quot;затяжными издержками&quot;. Поэтому и говорится: просвещенный государь рассчитывает на эти средства, а хороший полководец их применяет.<br /> <br /> 5. Если нет выгоды, не двигайся; если не можешь приобрести, не пускай в ход войска; если нет опасности, не воюй. Государь не должен поднимать оружие из-за своего гнева; полководец не должен вступать в бой из-за своей злобы. Двигаются тогда, когда это соответствует выгоде; если это не соответствует выгоде, остаются на места Гнев может опять превратиться в радость, злоба может опять превратиться в веселье, но погибшее государство снова не возродится, мертвые снова не оживут. Поэтому просвещенный государь очень осторожен по отношению к войне, а хороший полководец очень остерегается ее. Это и есть путь, на котором сохраняешь и государство в мире и армию в целости.<br /> <br /> =Использование шпионов=<br /> <br /> 1. Сунь-цзы сказал: вообще, когда поднимают стотысячную армию, выступают в поход за тысячу миль, издержки крестьян, расходы правителя составляют в день тысячу золотых. Внутри и вовне — волнения; изнемогают от дороги и не могут приняться за работу семьсот тысяч семейств.<br /> <br /> 2. Защищаются друг от друга несколько лет, а победу решают в один день. И в этих условиях жалеть титулы, награды, деньги и не знать положения противника — это верх негуманности. Тот, кто это жалеет, не полководец для людей, не помощник своему государю, не хозяин победы.<br /> <br /> 3. Поэтому просвещенные государи и мудрые полководцы двигались и побеждали, совершали подвиги, превосходя всех других, потому, что все знали наперед.<br /> <br /> 4. Знание наперед нельзя получить от богов и демонов, нельзя получить и путем заключения по сходству, нельзя получитъ и путем всяких вычислений{1}. Знание положения противника можно получить только от людей.<br /> <br /> 5. Поэтому пользование шпионами бывает пяти видов: бывают шпионы местные{2}, бывают шпионы внутренние, бывают шпионы обратные, бывают шпионы смерти, бывают шпионы жизни.<br /> <br /> 6. Все пять разрядов шпионов работают, и нельзя знать их путей. Это называется непостижимой тайной{3}. Они — сокровище для государя.<br /> <br /> 7. Местных шпионов вербуют из местных жителей страны противника и пользуются ими; внутренних шпионов вербуют из его чиновников и пользуются ими; обратных шпионов вербуют из шпионов противника и пользуются ими. Когда я пускаю в ход что-либо обманное, я даю знать об этом своим шпионам, а они передают это противнику. Такие шпионы будут шпионами смерти. Шпионы жизни — это те, кто возвращается с донесением.<br /> 8. Поэтому для армии нет ничего более близкого, чем шпионы; нет больших наград чем для шпионов; нет дел более секретных, чем шпионские. Не обладая совершенным знанием, не сможешь пользоваться шпионами; не обладая гуманностью и справедливостью, не сможешь применять шпионов; не обладая тонкостью и проницательностью, не сможешь получить от шпионов действительный результат. Тонкость! Тонкость! Нет ничего, в чем нельзя было бы пользоваться шпионами.<br /> <br /> 9. Если шпионское донесение еще не послано, а об этом уже стало известно, то и сам шпион и те, кому он сообщил, предаются смерти.<br /> <br /> 10. Вообще, когда хочешь ударить на армию противника, напасть на его крепость, убить его людей, обязательно сначала узнай, как зовут военачальника у него на службе{4}, его помощников, начальника охраны, воинов его стражи. Поручи своим шпионам обязательно узнать все это.<br /> <br /> 11. Если ты узнал, что у тебя появился шпион противника и следит за тобой, обязательно воздействуй на него выгодой; введи его к себе и помести его у себя. Ибо ты сможешь приобрести обратного шпиона и пользоваться им. Через него ты будешь знать все. И поэтому сможешь приобрести и местных шпионов и внутренних шпионов и пользоваться ими. Через него ты будешь знать все. И поэтому сможешь, придумав какой-нибудь обман, поручить своему шпиону смерти ввести противника в заблуждение. Через него ты будешь знать все. И поэтому сможешь заставить своего шпиона жизни действовать согласно твоим предположениям.<br /> <br /> 12. Всеми пятью категориями шпионов обязательно ведает сам государь. Но узнают о противнике обязательно через обратного шпиона Поэтому с обратным шпионом надлежит обращаться особенно внимательно.<br /> <br /> 13. В древности, когда поднималось царство Инь, в царстве Ся был И Чжи; когда поднималось царство Чжоу, в царстве Инь был Люй Я. Поэтому только просвещенные государи и мудрые полководцы умеют делать своими шпионами людей высокого ума и этим способом непременно совершают великие дела. Пользование шпионами — самое существенное на войне; это та опора, полагаясь на которую действует армия.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%97%D0%B0%D0%B3%D0%BB%D0%B0%D0%B2%D0%BD%D0%B0%D1%8F_%D1%81%D1%82%D1%80%D0%B0%D0%BD%D0%B8%D1%86%D0%B0&diff=124 2015-10-05T08:26:41Z

<p>Hunter po: /* Философия */</p> <hr /> <div><br /> == Публикации ==<br /> <br /> *[[Информационная безопасность для CIO]] - (25.06.2012, правки 04.12.2012) - on-line книга «Учебник 4CIO. Версия 2.0»;<br /> *[[Информационная безопасность ключевых систем информационной инфраструктуры (ИБ КСИИ)]] - журнал Connect №9, 2013.<br /> *[[Кибербезопасность]] - ...<br /> <br /> ==Нормативные акты==<br /> *[[Об информации, информационных технологиях и о защите информации|Об информации, информационных технологиях и о защите информации]] - Федерального закона от 27 июля 2006 г. № 149-ФЗ.<br /> *[[Требования по защите АСУ ТП|План-проспект проекта Требований к защите информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды]] - План-проспект ФСТЭК России.<br /> *[[Требования по защите ГИС|Требования по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах]] - Приказ ФСТЭК России 11 февраля 2013 г. N 17.<br /> *[[Требования по защите ПДн|Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных]] - Приказ ФСТЭК России 18.02.2013 г. N 21.<br /> *[[Методы защиты информации в государственных информационных системах|Методы защиты информации в государственных информационных системах]] - Методический документ ФСТЭК России 2013 г. Проект. Версия 1.3<br /> *[[Методика определения угроз безопасности информации в информационных системах]] - Методический документ ФСТЭК России 2015 г. Проект.<br /> <br /> ==Философия==<br /> *[[Дао программирования]];<br /> *[[Дао информационной безопасности]];<br /> *[[Просто Дао]];<br /> *[[Дао &quot;Путь Торговли&quot;]];<br /> *[[Искусство войны]].</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=123 2015-10-02T18:34:19Z

<p>Hunter po: /* Таблица 3.2 */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.<br /> <br /> Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью (разделом) модели угроз безопасности информации и содержит:<br /> *типы, виды и потенциал нарушителей, которые могут обеспечить реализацию угроз безопасности информации;<br /> *цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;<br /> *возможные способы реализации угроз безопасности информации.<br /> ==а) типы нарушителей==<br /> Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> В зависимости от имеющихся прав доступа нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) содержащейся в них информации или не иметь такого доступа.<br /> <br /> Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы:<br /> *устройств ввода/вывода (отображения) информации;<br /> *беспроводных устройств;<br /> *программных, программно-технических и технических средств обработки информации;<br /> *съемных машинных носителей информации;<br /> *машинных носителей информации, выведенных из эксплуатации;<br /> *активного (коммутационного) и пассивного оборудования каналов связи;<br /> *каналов связи, выходящих за пределы контролируемой зоны.<br /> <br /> С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:<br /> * внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;<br /> * внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.<br /> <br /> Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по допуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц.<br /> <br /> Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внешним информационно-телекоммуникационным сетям и (или) имеются линии связи, выходящие за пределы контролируемой зоны, используемые для иных подключений.<br /> <br /> ==б) виды и потенциал нарушителей==<br /> <br /> Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей:<br /> *специальные службы иностранных государств (блоков государств);<br /> *террористические, экстремистские группировки;<br /> *преступные группы (криминальные структуры);<br /> *внешние субъекты (физические лица);<br /> *конкурирующие организации;<br /> *разработчики, производители, поставщики программных, технических и программно-технических средств;<br /> *лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ;<br /> *лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.);<br /> *пользователи информационной системы;<br /> *администраторы информационной системы и администраторы безопасности;<br /> *бывшие работники (пользователи).<br /> <br /> Виды нарушителей, характерных для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нарушителями.<br /> <br /> В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть:<br /> * нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;<br /> * реализация угроз безопасности информации по идеологическим или политическим мотивам;<br /> * организация террористического акта;<br /> * причинение имущественного ущерба путем мошенничества или иным преступным путем;<br /> * дискредитация или дестабилизация деятельности органов государственной власти, организаций;<br /> * получение конкурентных преимуществ;<br /> * внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки;<br /> * любопытство или желание самореализации;<br /> * выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;<br /> * реализация угроз безопасности информации из мести;<br /> * реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий.<br /> <br /> Предположения о целях (мотивации) нарушителей делаются с учетом целей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопасности информации приведены в таблице 1.<br /> <br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> <br /> При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.<br /> <br /> Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> В зависимости от потенциала, требуемого для реализации угроз безопасности информации, нарушители подразделяются на:<br /> *нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих высоким потенциалом нападения при реализации угроз безопасности информации в информационной системе.<br /> <br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> <br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> <br /> ==в) возможные способы реализации угроз безопасности информации==<br /> <br /> Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности информации.<br /> <br /> Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> Угрозы безопасности информации могут быть реализованы нарушителями за счет:<br /> *несанкционированного доступа и (или) воздействия на объекты на аппаратном уровне (программы (микропрограммы), «прошитые» в аппаратных компонентах (чипсетах));<br /> *несанкционированного доступа и (или) воздействия на объекты на общесистемном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы);<br /> *несанкционированного доступа и (или) воздействия на объекты на прикладном уровне (системы управления базами данных, браузеры, web-приложения, иные прикладные программы общего и специального назначения);<br /> *несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> *несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации;<br /> *воздействия на пользователей, администраторов безопасности, администраторов информационной системы или обслуживающий персонал (социальная инженерия).<br /> <br /> Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использование уязвимостей в микропрограммном, общесистемном и прикладном программном обеспечении, сетевом оборудовании, применяемых в информационной системе, а также в организации работ по защите информации и конфигурации информационной системы.<br /> <br /> При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть реализованы непосредственно за счет доступа к компонентам информационной системы и (или) информации или опосредовано (косвенно) за счет создания условий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отвечает. При этом локальной целью нарушителя, не имеющего доступа (прав доступа) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе.<br /> <br /> Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасности информации).<br /> <br /> Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации.<br /> <br /> Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функционирования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные.<br /> <br /> Нецеленаправленная («веерная») угроза безопасности информации не ориентирована на конкретную информационную систему. Целями такой угрозы могут являться несанкционированный доступ, перехват управления или воздействие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характеристики и условия функционирования информационной системы.<br /> <br /> Реализация преднамеренных угроз безопасности информации, как правило, включает:<br /> *сбор информации об информационной системе, ее структурно-функциональных характеристиках, условиях функционирования;<br /> *выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и условиями функционирования;<br /> *непосредственная реализация угроз безопасности информации в информационной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий);<br /> *устранение признаков и следов неправомерных действий в информационной системе.<br /> <br /> В зависимости от целей и потенциала нарушителя на каждом из этапов могут эксплуатироваться одна или несколько уязвимостей информационной системы.<br /> <br /> При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий:<br /> *нарушитель может действовать один или в составе группы нарушителей;<br /> *в отношении информационной системы внешний нарушитель может действовать совместно с внутренним нарушителем;<br /> *угрозы могут быть реализованы в любое время и в любой точке информационной системы (на любом узле или хосте);<br /> *для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы.<br /> <br /> Возможные способы реализации угроз безопасности информации, определенные на основе настоящего раздела, включаются в модель угроз безопасности информации.<br /> <br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> <br /> Угроза безопасности информации является актуальной (УБИj А ), если для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования существует вероятность реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> В качестве показателя актуальности угрозы безопасности информации (УБИj А ) принимается двухкомпонентный вектор, первый компонент которого характеризует вероятность реализации угрозы (Рj), а второй – степень возможного ущерба в случае ее реализации (Хj)<br /> <br /> УБИj А = [вероятность реализации угрозы (Рj); степень ущерба (Хj)], где Рj определятся на основе анализа статистических данных о частоте реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, а Хj определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, актуальность угрозы безопасности информации определяется на основе оценки возможности реализации угрозы безопасности информации (Yj) УБИj А = [возможность реализации угрозы (Yj); степень ущерба (Хj)], где Yj определятся на основе оценки уровня защищенности информационной системы и потенциала нарушителя, требуемого для реализации угрозы безопасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что:<br /> *возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации;<br /> *в информационной системе могут иметься потенциальные уязвимости, которые могут быть использованы при реализации j-ой угрозы безопасности информации;<br /> *структурно-функциональные характеристики и особенности функционирования информационной системы не исключают возможности применения способов, необходимых для реализации j-ой угрозы безопасности информации (существует сценарий реализации угрозы безопасности);<br /> *реализация угрозы безопасности информации приведет к нарушению конфиденциальности, целостности или доступности информации, в результате которого возможно возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве исходных данных об угрозах безопасности информации и их характеристиках используется банк данных угроз безопасности информации, сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые модели угроз безопасности информации, разрабатываемые ФСТЭК России для различных классов и типов информационных систем.<br /> <br /> Для определения угроз безопасности информации могут использоваться иные источники, в том числе опубликованные в общедоступных источниках данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по выявлению угроз безопасности информации. В этом случае потенциал нарушителя, возможные уязвимости, способы реализации угрозы безопасности информации и последствия от ее реализации определяются для каждой угрозы безопасности информации.<br /> ==а) оценка вероятности (возможности) реализации угрозы безопасности информации==<br /> <br /> Под вероятностью реализации угрозы безопасности информации понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования. Вводятся три вербальные градации этого показателя:<br /> *низкая вероятность – отсутствуют объективные предпосылки к реализации j-ой угрозы безопасности информации, отсутствует требуемая статистика по фактам реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности), отсутствует мотивация для реализации j-ой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> *средняя вероятность – существуют предпосылки к реализации j-ой угрозы безопасности информации, зафиксированы случаи реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на возможность реализации j-ой угрозы безопасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в год;<br /> *высокая вероятность – существуют объективные предпосылки к реализации j-ой угрозы безопасности информации, существует достоверная статистика реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на высокую возможность реализации j-ой угрозы безопасности информации, у нарушителя имеются мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 раза в год.<br /> <br /> В случае отсутствия требуемых данных для оценки вероятности реализации угрозы безопасности информации или наличия сомнений в объективности экспертных оценок при определении вербальных градаций вероятности реализации угроз безопасности информации, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Yj).<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оценивается исходя из уровня защищенности информационной системы (Y1) и потенциала нарушителя (Y2), необходимого для реализации этой угрозы безопасности информации в информационной системе с заданными структурнофункциональными характеристиками и особенностями функционирования:<br /> *Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> <br /> При определении угроз безопасности информации на этапе создания информационной системы в случае, когда меры защиты информации не реализованы или не проведена оценка их достаточности и эффективности, оценка возможности реализации j-ой угрозы безопасности информации (Yj) проводится относительно уровня проектной защищенности информационной системы (Y1П):<br /> *Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> <br /> Под уровнем проектной защищенности (Y1П) понимается исходная защищенность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. Уровень проектной защищенности (Y1П) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 3.<br /> <br /> Показатели, характеризующие проектную защищенность информационной системы <br /> <br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> <br /> В ходе создания информационной системы уровень ее проектной защищенности (Y1П) определяется следующим образом:<br /> *а) информационная система имеет высокий уровень проектной защищенности (Y1П), если не менее 80% характеристик информационной системы соответствуют уровню «высокий» (суммируются положительные решения по второму столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по третьему столбцу);<br /> *б) информационная система имеет средний уровень проектной защищенности (Y1П), если не выполняются условия по пункту а) и не менее 90% характеристик информационной системы соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по третьему столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности;<br /> *в) информационная система имеет низкий уровень проектной защищенности (Y1П), если не выполняются условия по пунктам а) и б).<br /> <br /> В соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, до ввода в эксплуатацию информационной системы должны быть реализованы меры защиты информации, направленные на блокирование (нейтрализацию) актуальных угроз безопасности информации. Таким образом, ввод в эксплуатацию информационной системы осуществляется при условии достижения высокого уровня исходной защищенности информационной системы от нарушителя с заданным потенциалом.<br /> <br /> Вместе с тем, в ходе эксплуатации информационной системы возможно появление новых уязвимостей, повышение потенциала нарушителя, изменение структурно-функциональных характеристик, значимости обрабатываемой информации, особенностей функционирования информационной системы и других условий, приводящих к возникновению новых угроз безопасности информации, которые могут существенно снизить уровень проектной защищенности информационной системы. В этом случае для поддержания уровня защищенности информационной системы в ходе эксплуатации должен проводиться регулярный анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке.<br /> <br /> В ходе эксплуатации информационной системы уровень ее защищенности (Y1) определяется следующим образом:<br /> *а) в информационной системе обеспечивается высокий уровень защищенности (Y1), если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появившихся дополнительных угроз безопасности информации с высокой оперативностью («за минуты») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *б) в информационной системе обеспечивается средний уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них оперативно («за часы») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *в) в информационной системе обеспечивается низкий уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них не могут быть с высокой оперативностью или оперативно приняты меры защиты информации, нейтрализующие эти угрозы.<br /> <br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопасности информации, может быть базовым (низким), базовым повышенным (средним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы безопасности информации определяется на основе данных, приведенных в банке данных угроз безопасности информации ФСТЭК России, а также в базовых и типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК России для информационных систем различных классов и типов. В случае отсутствия информации о потенциале нарушителя для реализации j-ой угрозы безопасности значение потенциала (Y2) определяется в соответствии с приложением № 3 к настоящей Методике.<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в зависимости от уровня защищенности информационной системы (Y1/Y1П) и потенциала нарушителя (Y2) определяется как высокая, средняя или низкая в соответствии с таблицей 4.<br /> <br /> ===Возможность реализации угрозы безопасности информации Таблица 4===<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> <br /> ==б) оценка степени возможного ущерба от реализации угрозы безопасности информации==<br /> <br /> Для оценки степени возможного ущерба от реализации угрозы безопасности информации определяются возможный результат реализации угрозы безопасности информации в информационной системе, вид ущерба, к которому может привести реализация угрозы безопасности информации, степень последствий от реализации угрозы безопасности информации для каждого вида ущерба.<br /> <br /> В качестве результата реализации угрозы безопасности информации рассматриваются непосредственное или опосредованное воздействие на конфиденциальность, целостность, доступность информации, содержащейся в информационной системе.<br /> <br /> Непосредственное воздействие на конфиденциальность, целостность, доступность информации возможно в результате реализации прямой угрозы безопасности информации. В этом случае объектами воздействия угрозы являются непосредственно информация и (или) иные объекты защиты информационной системы или обеспечивающей инфраструктуры, которые обеспечивают получение, обработку, хранение, передачу, уничтожение информации в информационной системе, в результате доступа к которым или воздействия на которые возможно воздействие на конфиденциальность, целостность или доступность информации.<br /> <br /> Опосредованное воздействие на конфиденциальность, целостность, доступность информации рассматривается в результате реализации косвенных угроз безопасности информации. Реализация косвенных угроз безопасности информации не приводит непосредственно к воздействию на конфиденциальность, целостность, доступность информации, но создает условия для реализации одной или нескольких прямых угроз безопасности информации, позволяющих реализовать такое воздействие. В этом случае в качестве результата реализации косвенной угрозы необходимо рассматривать результаты реализации всех прямых угроз безопасности информации, которые возможно реализовать в случае реализации данной косвенной угрозы.<br /> <br /> Результат реализации угрозы безопасности информации определяется воздействием угрозы на каждое свойство безопасности информации (конфиденциальность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна, иные установленные законодательством Российской Федерации виды информации) воздействие на конфиденциальность, целостность, доступность определяется отдельно для каждого вида информации (k, …, m), содержащейся в информационной системе.<br /> <br /> ===Таблица 5===<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> <br /> При определении степени возможного ущерба необходимо исходить из того, что в зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, целостность или доступность каждого вида информации, содержащейся в информационной системе, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба.<br /> <br /> Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности информации, приведены в таблице 6.<br /> <br /> ===Таблица 6===<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> <br /> Указанные виды ущерба могут дополняться другими видами в зависимости от целей и задач, решаемых информационной системой, а также вида обрабатываемой в ней информации.<br /> <br /> Степень возможного ущерба от реализации угрозы безопасности информации определяется степенью негативных последствий от нарушения конфиденциальности, целостности или доступности каждого вида информации, содержащейся в информационной системе.<br /> <br /> Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значения «незначительные», «умеренные» и «существенные» негативные последствия. Каждым оператором определяется в указанной единой шкале измерений степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации применительно ко всем целям и задачам, решаемым информационной системой.<br /> <br /> Степень возможного ущерба определяется экспертным методом в соответствии с таблицей 7.<br /> <br /> ===Таблица 7===<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна и иные установленные законодательством Российской Федерации виды информации) степень возможного ущерба определяется отдельно для каждого вида информации (k, …, m), обрабатываемой в информационной системе, применительно к каждому виду ущерба. Итоговая степень возможного ущерба устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации применительно к каждому виду ущерба.<br /> <br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> <br /> ==в) определение актуальности угрозы безопасности информации==<br /> <br /> Решение об актуальности угрозы безопасности информации УБИj А для информационной системы с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с таблицей 8.<br /> <br /> ===Таблица 8===<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> <br /> =Приложение № 1= <br /> к Методике определения угроз безопасности информации в информационных системах <br /> <br /> '''Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации'''<br /> <br /> Качественное формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов и предположений при определении угроз может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате реализации угрозы безопасности информации. Завышение экспертами прогнозов и предположений при определении угроз может повлечь за собой неоправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> <br /> Независимо от результата формирования экспертной группы при оценке угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений человеком. Это также может приводить как к занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов и предположений при определении угроз безопасности информации, что в свою очередь может привести к пропуску отдельных угроз безопасности информации или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> <br /> Любое решение, принимаемое экспертами при определении угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принципа «гарантированности»).<br /> <br /> ==а) формирование экспертной группы==<br /> <br /> В состав экспертной группы для определения угроз безопасности информации рекомендуется включать экспертов (независимо от того, реализуются ли функции обладателя информации, заказчика и оператора в рамках одной или нескольких организаций):<br /> *от подразделений обладателей информации, содержащейся в информационной системе;<br /> *от подразделений оператора информационной системы;<br /> *от подразделения по защите информации;<br /> *от лиц, предоставляющих услуги по обработке информации;<br /> *от разработчика информационной системы;<br /> *от операторов взаимодействующих внешних информационных систем (по согласованию).<br /> <br /> В качестве экспертов рекомендуется привлекать специалистов, деятельность которых связана с обработкой информации в информационной системе, а также специалистов, имеющие квалификацию и опыт работы в области применения информационных технологий и (или) в области защиты информации.<br /> <br /> При привлечении в качестве экспертов специалистов от подразделений по защите информации рекомендуется привлекать лиц, имеющих высшее образование или прошедших переподготовку (повышение квалификации) по направлению подготовки «Информационная безопасность», или имеющих не менее трех лет стажа практической работы в своей сфере деятельности.<br /> <br /> Эксперты должны обладать независимостью, основанной на отсутствии коммерческого и финансового интереса или другого давления, которое может оказать влияние на принимаемые решения. Не рекомендуется формировать экспертную группу из участников, находящихся в прямом подчинении, так как это может негативным образом повлиять на результат определения угроз безопасности информации.<br /> <br /> Состав экспертной группы зависит от целей и задач информационной системы, но не должен быть меньше трех экспертов.<br /> <br /> ==б) проведение экспертной оценки==<br /> <br /> При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.<br /> <br /> Экспертную оценку рекомендуется проводить в отношении, как минимум, следующих параметров:<br /> *цели реализации угроз безопасности информации (мотивация нарушителей);<br /> *типы и виды нарушителей;<br /> *уязвимости, которые могут быть использованы для реализации угроз безопасности информации;<br /> *способы реализации угроз безопасности информации;<br /> *степень воздействия угрозы безопасности информации на каждое из свойств безопасности информации;<br /> *последствия от реализации угроз безопасности информации;<br /> *вероятность реализации угроз безопасности информации;<br /> *уровень защищенности информационной системы;<br /> *потенциал нарушителя, требуемый для реализации угрозы безопасности информации (в случае отсутствия потенциала в банке данных угроз безопасности информации).<br /> <br /> Оценку параметров рекомендуется проводить опросным методом с составлением анкеты, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений («низкий», «средний», «высокий» или «да», «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно трактуемыми, предполагать однозначные ответы.<br /> <br /> Опрос экспертов включает следующие этапы:<br /> *каждый эксперт проводит оценку оцениваемого параметра (рекомендуется не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> *после оценки каждым из экспертов отбрасываются минимальные и максимальные значения;<br /> *определяется среднее значение оцениваемого параметра в каждом раунде;<br /> *определяется итоговое среднее значение оцениваемого параметра.<br /> <br /> ===Пример таблицы результатов оценки параметров===<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> <br /> =Приложение № 2= <br /> к Методике определения угроз безопасности информации в информационных системах<br /> <br /> '''Структура модели угроз безопасности информации'''<br /> <br /> Модель угроз безопасности информации содержит следующие разделы:<br /> <br /> 1. Общие положения.<br /> <br /> 2. Описание информационной системы и особенностей ее функционирования.<br /> <br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> <br /> 2.2. Описание структурно-функциональных характеристик информационной системы.<br /> <br /> 2.3. Описание технологии обработки информации.<br /> <br /> 3. Возможности нарушителей (модель нарушителя).<br /> <br /> 3.1. Типы и виды нарушителей.<br /> <br /> 3.2. Возможные цели и потенциал нарушителей.<br /> <br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> <br /> 4. Актуальные угрозы безопасности информации.<br /> <br /> Приложения (при необходимости).<br /> <br /> Раздел «Общие положения» содержит назначение и область действия документа, информацию о полном наименовании информационной системы, для которой разработана модель угроз безопасности информации, а также информацию об использованных для разработки модели угроз безопасности информации нормативных и методических документах, национальных стандартах. В данный раздел также включается информация об используемых данных и источниках, на основе которых определяются угрозы безопасности информации (документация, исходные тексты программ, опросы персонала, журналы регистрации средств защиты, отчеты об аудите и иные источники).<br /> <br /> Раздел «Описание информационной системы и особенностей ее функционирования» содержит общую характеристику информационной системы, описание структурно-функциональных характеристик информационной системы, описание взаимосвязей между сегментами информационной системы, описание взаимосвязей с другими информационными системами и информационно-телекоммуникационными сетями, описание технологии обработки информации.<br /> <br /> Также в данном разделе приводятся предположения, касающиеся информационной системы и особенностей ее функционирования (в частности предположения об отсутствии неучтенных беспроводных каналов доступа или динамичность выделения адресов узлам информационной системы, иные предположения). В раздел включаются любые ограничения, касающиеся информационной системы и особенностей ее функционирования.<br /> <br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит описание типов, видов, потенциала и мотивации нарушителей, от которых необходимо обеспечить защиту информации в информационной системе, способов реализации угроз безопасности информации. В данный раздел также включаются предположения, касающиеся нарушителей (в частности предположение об отсутствии у нарушителя возможности доступа к оборудованию, сделанному на заказ и применяемому при реализации угрозы, предположение о наличии (отсутствии) сговора между внешними и внутренними нарушителями или иные предположения). В раздел включаются любые ограничения, касающиеся определения нарушителей (в частности исключение администраторов информационной системы или администраторов безопасности из числа потенциальных нарушителей или иные предположения).<br /> <br /> Раздел «Актуальные угрозы безопасности информации» содержит описание актуальных угроз безопасности, включающее наименование угрозы безопасности информации, возможности нарушителя по реализации угрозы, используемые уязвимости информационной системы, описание способов реализации угрозы безопасности информации, объекты воздействия, возможные результат и последствия от реализации угрозы безопасности информации.<br /> <br /> =Приложение № 3=<br /> к Методике определения угроз безопасности информации в информационных системах <br /> <br /> '''Определение потенциала нарушителя, необходимого для реализации угрозы безопасности информации в информационной системе'''<br /> <br /> Настоящее приложение применяется для определения потенциала, необходимого для реализации угрозы безопасности информации, данные по которой отсутствуют в банке данных угроз безопасности информации, и характеристики которых определяются на основе иных источников или результатов исследований.<br /> <br /> Приведенный подход к оценке потенциала нарушителя направлен на снижение уровня субъективности и неопределенности при оценке потенциала нарушителя, который требуется для реализации угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> Исходными данными для определения потенциала нарушителя являются:<br /> *данные об аппаратном, общесистемном и прикладном программном обеспечении, применяемых информационных технологиях, особенностях функционирования информационной системы;<br /> *данные об уязвимостях в аппаратном, общесистемном и прикладном программном обеспечении, опубликованные в различных базах данных уязвимостей, полученные в результате исследований (тестировании) или полученные от уполномоченных федеральных органов исполнительной власти и организаций.<br /> <br /> При оценке потенциала нарушителя необходимо исходить из того, что для успешного достижения целей реализации угроз безопасности информации, нарушителю необходимо осуществить подготовку к реализации угрозы и непосредственно реализацию угрозы безопасности информации. При этом не единственным, но необходимым условием на этапе подготовки к реализации угрозы безопасности информации является идентификация уязвимостей в информационной системе, а на этапе реализации угрозы безопасности информации – использование уязвимостей информационной системы.<br /> <br /> Таким образом, для определения потенциала нарушителя необходимо оценить возможности нарушителя идентифицировать уязвимости и использовать их в информационной системе в ходе подготовки к реализации и непосредственно в ходе реализации угрозы безопасности информации. Для проведения указанной оценки делается предположение о наличии уязвимостей, которые потенциально содержатся в информационной системе и могут быть использованы для реализации угрозы безопасности информации.<br /> <br /> Потенциальные уязвимости определяются для каждого класса и типа программного обеспечения и для каждого узла (хоста) информационной системы исходя из условия, что для реализации угрозы безопасности информации нарушителю необходимо идентифицировать и использовать как минимум одну уязвимость на каждом узле и хосте.<br /> <br /> В качестве исходных данных для определения потенциальных уязвимостей используются данные по составу информационной системы и особенностям ее функционирования, а также данные об уязвимостях в этом программном обеспечении, опубликованные в общедоступных источниках, полученные по результатам исследований и (или) полученные от уполномоченных органов и организаций.<br /> <br /> Для каждой выявленной потенциальной уязвимости проводится оценка возможностей ее идентификации и использования в информационной системе нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> <br /> Оценка возможностей нарушителя по идентификации и использованию уязвимости в информационной системе проводится по результатам определения следующих показателей:<br /> *время, затрачиваемое нарушителем на идентификацию и использование уязвимости (затрачиваемое время);<br /> *техническая компетентность нарушителя;<br /> *знание нарушителем проекта и информационной системы;<br /> *оснащенность нарушителя;<br /> *возможности нарушителя по доступу к информационной системе.<br /> <br /> Во многих случаях указанные показатели являются зависимыми и могут в различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемого времени.<br /> <br /> ==а) определение показателя «затрачиваемое время»==<br /> <br /> Показатель «затрачиваемое время» характеризует время, непрерывно затрачиваемое нарушителем для идентификации и использования уязвимости для реализации угрозы безопасности информации.<br /> <br /> Показатель «затрачиваемое время» может принимать значения «за минуты», «за часы», «за дни» или «за месяцы».<br /> <br /> Значение «за минуты» присваивается, если для реализации угрозы безопасности информации нарушитель затратит менее получаса на идентификацию и использование уязвимости.<br /> <br /> Значение «за часы» присваивается, если для реализации угрозы безопасности информации нарушитель затратит менее чем один день на идентификацию и использование уязвимости.<br /> <br /> Значение «за дни» присваивается, если для реализации угрозы безопасности информации нарушитель затратит менее чем один месяц на идентификацию и использование уязвимости.<br /> <br /> Значение «за месяцы» присваивается, если для реализации угрозы безопасности информации нарушитель затратит, как минимум, месяц на идентификацию и использование уязвимости.<br /> <br /> ==б) определение показателя «техническая компетентность нарушителя»==<br /> <br /> Показатель «техническая компетентность нарушителя» характеризует, каким уровнем знаний и подготовкой в области информационных технологий и защиты информации должен обладать нарушитель, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации.<br /> <br /> Показатель «техническая компетентность нарушителя» может принимать значения «специалист», «профессионал» или «непрофессионал».<br /> <br /> Значение «профессионал» присваивается, если нарушитель имеет хорошую осведомленность о мерах защиты информации, применяемых в информационной системе, об алгоритмах, аппаратных и программных средствах, используемых в информационной системе, а также обладает специальными знаниями о методах и средствах выявления новых уязвимостей и способах реализации угроз безопасности информации для информационных систем данного типа.<br /> <br /> Значение «специалист» присваивается, если нарушитель имеет осведомленность о мерах защиты информации, применяемых в информационной системе данного типа.<br /> <br /> Значение «непрофессионал» присваивается, если нарушитель имеет слабую осведомленность (по сравнению со специалистами или профессионалами) о мерах защиты информации, применяемых в информационных системах данного типа, и не обладает специальными знаниями по реализации угроз безопасности информации.<br /> <br /> ==в) определение показателя «знание нарушителем проекта и информационной системы»==<br /> <br /> Показатель «знание нарушителем проекта и информационной системы» характеризует, какие сведения об информационной системе и условиях ее эксплуатации доступны нарушителю, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации.<br /> <br /> Показатель «знание нарушителем проекта и информационной системы» может принимать значения «отсутствие знаний», «ограниченные знания» или «знание чувствительной информации».<br /> <br /> Значение «отсутствие знаний» присваивается, если в результате принятия мер по защите информации нарушителю не может стать известно о структурно-функциональных характеристиках информационной системы, системе защиты информации информационной системы, а также об иной информации по разработке (проектированию) и эксплуатации информационной системы, включая сведения из конструкторской, проектной и эксплуатационной документации.<br /> <br /> При этом может быть доступна информация о целях и задачах, решаемых информационной системой. Данный показатель также присваивается, если сведения об информационной системе отнесены к информации ограниченного доступа и не могут быть доступны для неограниченного круга лиц.<br /> <br /> Значение «ограниченные знания» присваивается, если нарушителю наряду с информацией о целях и задачах, решаемых информационной системой, может стать известна только эксплуатационная документация на информационную систему (в частности руководство пользователя и (или) правила эксплуатации информационной системы).<br /> <br /> Значение «знание чувствительной информации» присваивается, если нарушителю может стать известны конструкторская (проектная) и эксплуатационная документация на информационную систему, информация о структурно-функциональных характеристиках информационной системы, системе защиты информационной системы.<br /> <br /> ==г) определение показателя «возможности нарушителя по доступу к информационной системе»==<br /> <br /> Показатель «возможности нарушителя по доступу к информационной системе» характеризует, как долго по времени нарушитель должен иметь возможность доступа к информационной системе для идентификации и использования уязвимостей для реализации угроз безопасности информации.<br /> <br /> Показатель «возможности нарушителя по доступу к информационной системе» может принимать значения «за минуты», «за часы», «за дни» или «за месяцы».<br /> <br /> Значение «за минуты» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ менее получаса.<br /> <br /> Значение «за часы» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ менее одного дня.<br /> <br /> Значение «за дни» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ менее одного месяца.<br /> <br /> Значение «за месяцы» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ более одного месяца.<br /> <br /> Показатель «возможности нарушителя по доступу к информационной системе» взаимосвязан с показателем «затраченное время». Идентификация и использование уязвимости при реализации угрозы безопасности информации могут требовать продолжительного времени по доступу к информационной системе, что увеличивает возможность обнаружения уязвимости. В отдельных случаях продолжительный доступ к информационной системе не требуется (методы и средства реализации угроз безопасности разрабатываются автономно), но при этом требуется кратковременный доступ к информационной системе.<br /> <br /> ==д) определение показателя «оснащенность нарушителя»==<br /> <br /> Показатель «оснащенность нарушителя» характеризует, какие программные и (или) программно-технические средства требуются нарушителю для идентификации и использования уязвимостей для реализации угроз безопасности информации.<br /> <br /> Показатель «оснащенность нарушителя» может принимать значения «стандартное оборудование», «специализированное оборудование» или «оборудование, сделанное на заказ».<br /> <br /> Значение «стандартное оборудование» присваивается, если для идентификации или использования уязвимостей при реализации угрозы безопасности информации требуются программные (программно-технические) средства, легко доступные для нарушителя. К таким средствам, в первую очередь, относятся программные средства непосредственно информационной системы (отладчик в операционной системе, средства разработки и иные), программные средства, которые могут быть легко получены (программы, имеющиеся в свободном доступе в сети Интернет) или имеются простые сценарии реализации угроз.<br /> <br /> Значение «специализированное оборудование» присваивается, если для идентификации или использования уязвимостей при реализации угрозы безопасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобретены нарушителем без значительных усилий. К таким средствам, в первую очередь, относятся программные (программно-технические) средства, которые имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или требуется разработка более сложных программ и сценариев реализации угрозы.<br /> <br /> Оборудование может быть закуплено, либо, например, могут быть использованы компьютеры, объединенные через сеть Интернет (бот-сети).<br /> <br /> Значение «оборудование, сделанное на заказ» присваивается, если для идентификации или использования уязвимостей при реализации угрозы безопасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специальная разработка с привлечением исследовательских организаций, или распространение этих средств контролируется в соответствии с законодательством. К такому оборудованию также относится дорогостоящие средства или средства, сведения о которых относятся к информации ограниченного доступа.<br /> <br /> С целью вычисления потенциала нарушителя определяются числовые значения указанных показателей в соответствии с таблицей 3.1.<br /> <br /> ===Таблица 3.1===<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> <br /> <br /> Для конкретной потенциальной уязвимости может возникнуть необходимость определять показатели несколько раз для различных способов реализации угроз безопасности информации (попеременно использовать разные значения показателей компетентности в сочетании со значениями времени и оборудования). При этом следует выбирать наибольшее значение, полученное при каждом расчете показателей.<br /> <br /> Полученные на основе таблицы 3.1 значения характеристик потенциала нарушителя суммируются. Полученная сумма значений характеристик соотносится с диапазонами значений, приведенных в таблице 3.2, в соответствии с которой определяется потенциал нарушителя, необходимый для реализации угрозы безопасности информации.<br /> <br /> ===Таблица 3.2===<br /> <br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> <br /> Мотивация нарушителя для реализации угроз безопасности информации может быть базовой или повышенной. Мотивация нарушителя характеризует уровень устремлений нарушителя к информации, содержащейся в информационной системе, или информационной системе в целом. При определении потенциала нарушителя необходимо исходить, как минимум, из его базовой мотивации.<br /> <br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности информации, переходит на следующий уровень (от низкого к среднего или от среднего к высокому), если определено, что нарушитель имеет повышенную мотивацию реализации угроз безопасности по отношению к информационной системе.<br /> <br /> Мотивация нарушителя определяется как повышенная, если:<br /> *а) имеются сведения (в том числе опубликованные в общедоступных источниках) об устремлениях нарушителей к конкретной информационной системе и (или) отдельным ее объектам защиты; например, если информация, обрабатываемая в информационной системе, является высоко ценной для нарушителя или для нарушителя является крайне приоритетным нанести ущерб оператору информационной системы;<br /> *б) имеется информация, полученная от уполномоченных федеральных органов исполнительной власти, о намерении нарушителя осуществить неправомерные действия в отношении информационной системы и (или) информации, содержащейся в этой информационной системе.<br /> <br /> http://fstec.ru/component/attachments/download/812</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=122 2015-10-02T09:05:46Z

<p>Hunter po: /* Приложение № 3 */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.<br /> <br /> Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью (разделом) модели угроз безопасности информации и содержит:<br /> *типы, виды и потенциал нарушителей, которые могут обеспечить реализацию угроз безопасности информации;<br /> *цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;<br /> *возможные способы реализации угроз безопасности информации.<br /> ==а) типы нарушителей==<br /> Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> В зависимости от имеющихся прав доступа нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) содержащейся в них информации или не иметь такого доступа.<br /> <br /> Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы:<br /> *устройств ввода/вывода (отображения) информации;<br /> *беспроводных устройств;<br /> *программных, программно-технических и технических средств обработки информации;<br /> *съемных машинных носителей информации;<br /> *машинных носителей информации, выведенных из эксплуатации;<br /> *активного (коммутационного) и пассивного оборудования каналов связи;<br /> *каналов связи, выходящих за пределы контролируемой зоны.<br /> <br /> С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:<br /> * внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;<br /> * внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.<br /> <br /> Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по допуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц.<br /> <br /> Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внешним информационно-телекоммуникационным сетям и (или) имеются линии связи, выходящие за пределы контролируемой зоны, используемые для иных подключений.<br /> <br /> ==б) виды и потенциал нарушителей==<br /> <br /> Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей:<br /> *специальные службы иностранных государств (блоков государств);<br /> *террористические, экстремистские группировки;<br /> *преступные группы (криминальные структуры);<br /> *внешние субъекты (физические лица);<br /> *конкурирующие организации;<br /> *разработчики, производители, поставщики программных, технических и программно-технических средств;<br /> *лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ;<br /> *лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.);<br /> *пользователи информационной системы;<br /> *администраторы информационной системы и администраторы безопасности;<br /> *бывшие работники (пользователи).<br /> <br /> Виды нарушителей, характерных для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нарушителями.<br /> <br /> В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть:<br /> * нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;<br /> * реализация угроз безопасности информации по идеологическим или политическим мотивам;<br /> * организация террористического акта;<br /> * причинение имущественного ущерба путем мошенничества или иным преступным путем;<br /> * дискредитация или дестабилизация деятельности органов государственной власти, организаций;<br /> * получение конкурентных преимуществ;<br /> * внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки;<br /> * любопытство или желание самореализации;<br /> * выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;<br /> * реализация угроз безопасности информации из мести;<br /> * реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий.<br /> <br /> Предположения о целях (мотивации) нарушителей делаются с учетом целей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопасности информации приведены в таблице 1.<br /> <br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> <br /> При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.<br /> <br /> Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> В зависимости от потенциала, требуемого для реализации угроз безопасности информации, нарушители подразделяются на:<br /> *нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих высоким потенциалом нападения при реализации угроз безопасности информации в информационной системе.<br /> <br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> <br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> <br /> ==в) возможные способы реализации угроз безопасности информации==<br /> <br /> Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности информации.<br /> <br /> Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> Угрозы безопасности информации могут быть реализованы нарушителями за счет:<br /> *несанкционированного доступа и (или) воздействия на объекты на аппаратном уровне (программы (микропрограммы), «прошитые» в аппаратных компонентах (чипсетах));<br /> *несанкционированного доступа и (или) воздействия на объекты на общесистемном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы);<br /> *несанкционированного доступа и (или) воздействия на объекты на прикладном уровне (системы управления базами данных, браузеры, web-приложения, иные прикладные программы общего и специального назначения);<br /> *несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> *несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации;<br /> *воздействия на пользователей, администраторов безопасности, администраторов информационной системы или обслуживающий персонал (социальная инженерия).<br /> <br /> Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использование уязвимостей в микропрограммном, общесистемном и прикладном программном обеспечении, сетевом оборудовании, применяемых в информационной системе, а также в организации работ по защите информации и конфигурации информационной системы.<br /> <br /> При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть реализованы непосредственно за счет доступа к компонентам информационной системы и (или) информации или опосредовано (косвенно) за счет создания условий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отвечает. При этом локальной целью нарушителя, не имеющего доступа (прав доступа) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе.<br /> <br /> Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасности информации).<br /> <br /> Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации.<br /> <br /> Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функционирования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные.<br /> <br /> Нецеленаправленная («веерная») угроза безопасности информации не ориентирована на конкретную информационную систему. Целями такой угрозы могут являться несанкционированный доступ, перехват управления или воздействие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характеристики и условия функционирования информационной системы.<br /> <br /> Реализация преднамеренных угроз безопасности информации, как правило, включает:<br /> *сбор информации об информационной системе, ее структурно-функциональных характеристиках, условиях функционирования;<br /> *выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и условиями функционирования;<br /> *непосредственная реализация угроз безопасности информации в информационной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий);<br /> *устранение признаков и следов неправомерных действий в информационной системе.<br /> <br /> В зависимости от целей и потенциала нарушителя на каждом из этапов могут эксплуатироваться одна или несколько уязвимостей информационной системы.<br /> <br /> При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий:<br /> *нарушитель может действовать один или в составе группы нарушителей;<br /> *в отношении информационной системы внешний нарушитель может действовать совместно с внутренним нарушителем;<br /> *угрозы могут быть реализованы в любое время и в любой точке информационной системы (на любом узле или хосте);<br /> *для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы.<br /> <br /> Возможные способы реализации угроз безопасности информации, определенные на основе настоящего раздела, включаются в модель угроз безопасности информации.<br /> <br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> <br /> Угроза безопасности информации является актуальной (УБИj А ), если для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования существует вероятность реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> В качестве показателя актуальности угрозы безопасности информации (УБИj А ) принимается двухкомпонентный вектор, первый компонент которого характеризует вероятность реализации угрозы (Рj), а второй – степень возможного ущерба в случае ее реализации (Хj)<br /> <br /> УБИj А = [вероятность реализации угрозы (Рj); степень ущерба (Хj)], где Рj определятся на основе анализа статистических данных о частоте реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, а Хj определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, актуальность угрозы безопасности информации определяется на основе оценки возможности реализации угрозы безопасности информации (Yj) УБИj А = [возможность реализации угрозы (Yj); степень ущерба (Хj)], где Yj определятся на основе оценки уровня защищенности информационной системы и потенциала нарушителя, требуемого для реализации угрозы безопасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что:<br /> *возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации;<br /> *в информационной системе могут иметься потенциальные уязвимости, которые могут быть использованы при реализации j-ой угрозы безопасности информации;<br /> *структурно-функциональные характеристики и особенности функционирования информационной системы не исключают возможности применения способов, необходимых для реализации j-ой угрозы безопасности информации (существует сценарий реализации угрозы безопасности);<br /> *реализация угрозы безопасности информации приведет к нарушению конфиденциальности, целостности или доступности информации, в результате которого возможно возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве исходных данных об угрозах безопасности информации и их характеристиках используется банк данных угроз безопасности информации, сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые модели угроз безопасности информации, разрабатываемые ФСТЭК России для различных классов и типов информационных систем.<br /> <br /> Для определения угроз безопасности информации могут использоваться иные источники, в том числе опубликованные в общедоступных источниках данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по выявлению угроз безопасности информации. В этом случае потенциал нарушителя, возможные уязвимости, способы реализации угрозы безопасности информации и последствия от ее реализации определяются для каждой угрозы безопасности информации.<br /> ==а) оценка вероятности (возможности) реализации угрозы безопасности информации==<br /> <br /> Под вероятностью реализации угрозы безопасности информации понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования. Вводятся три вербальные градации этого показателя:<br /> *низкая вероятность – отсутствуют объективные предпосылки к реализации j-ой угрозы безопасности информации, отсутствует требуемая статистика по фактам реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности), отсутствует мотивация для реализации j-ой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> *средняя вероятность – существуют предпосылки к реализации j-ой угрозы безопасности информации, зафиксированы случаи реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на возможность реализации j-ой угрозы безопасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в год;<br /> *высокая вероятность – существуют объективные предпосылки к реализации j-ой угрозы безопасности информации, существует достоверная статистика реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на высокую возможность реализации j-ой угрозы безопасности информации, у нарушителя имеются мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 раза в год.<br /> <br /> В случае отсутствия требуемых данных для оценки вероятности реализации угрозы безопасности информации или наличия сомнений в объективности экспертных оценок при определении вербальных градаций вероятности реализации угроз безопасности информации, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Yj).<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оценивается исходя из уровня защищенности информационной системы (Y1) и потенциала нарушителя (Y2), необходимого для реализации этой угрозы безопасности информации в информационной системе с заданными структурнофункциональными характеристиками и особенностями функционирования:<br /> *Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> <br /> При определении угроз безопасности информации на этапе создания информационной системы в случае, когда меры защиты информации не реализованы или не проведена оценка их достаточности и эффективности, оценка возможности реализации j-ой угрозы безопасности информации (Yj) проводится относительно уровня проектной защищенности информационной системы (Y1П):<br /> *Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> <br /> Под уровнем проектной защищенности (Y1П) понимается исходная защищенность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. Уровень проектной защищенности (Y1П) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 3.<br /> <br /> Показатели, характеризующие проектную защищенность информационной системы <br /> <br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> <br /> В ходе создания информационной системы уровень ее проектной защищенности (Y1П) определяется следующим образом:<br /> *а) информационная система имеет высокий уровень проектной защищенности (Y1П), если не менее 80% характеристик информационной системы соответствуют уровню «высокий» (суммируются положительные решения по второму столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по третьему столбцу);<br /> *б) информационная система имеет средний уровень проектной защищенности (Y1П), если не выполняются условия по пункту а) и не менее 90% характеристик информационной системы соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по третьему столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности;<br /> *в) информационная система имеет низкий уровень проектной защищенности (Y1П), если не выполняются условия по пунктам а) и б).<br /> <br /> В соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, до ввода в эксплуатацию информационной системы должны быть реализованы меры защиты информации, направленные на блокирование (нейтрализацию) актуальных угроз безопасности информации. Таким образом, ввод в эксплуатацию информационной системы осуществляется при условии достижения высокого уровня исходной защищенности информационной системы от нарушителя с заданным потенциалом.<br /> <br /> Вместе с тем, в ходе эксплуатации информационной системы возможно появление новых уязвимостей, повышение потенциала нарушителя, изменение структурно-функциональных характеристик, значимости обрабатываемой информации, особенностей функционирования информационной системы и других условий, приводящих к возникновению новых угроз безопасности информации, которые могут существенно снизить уровень проектной защищенности информационной системы. В этом случае для поддержания уровня защищенности информационной системы в ходе эксплуатации должен проводиться регулярный анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке.<br /> <br /> В ходе эксплуатации информационной системы уровень ее защищенности (Y1) определяется следующим образом:<br /> *а) в информационной системе обеспечивается высокий уровень защищенности (Y1), если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появившихся дополнительных угроз безопасности информации с высокой оперативностью («за минуты») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *б) в информационной системе обеспечивается средний уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них оперативно («за часы») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *в) в информационной системе обеспечивается низкий уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них не могут быть с высокой оперативностью или оперативно приняты меры защиты информации, нейтрализующие эти угрозы.<br /> <br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопасности информации, может быть базовым (низким), базовым повышенным (средним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы безопасности информации определяется на основе данных, приведенных в банке данных угроз безопасности информации ФСТЭК России, а также в базовых и типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК России для информационных систем различных классов и типов. В случае отсутствия информации о потенциале нарушителя для реализации j-ой угрозы безопасности значение потенциала (Y2) определяется в соответствии с приложением № 3 к настоящей Методике.<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в зависимости от уровня защищенности информационной системы (Y1/Y1П) и потенциала нарушителя (Y2) определяется как высокая, средняя или низкая в соответствии с таблицей 4.<br /> <br /> ===Возможность реализации угрозы безопасности информации Таблица 4===<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> <br /> ==б) оценка степени возможного ущерба от реализации угрозы безопасности информации==<br /> <br /> Для оценки степени возможного ущерба от реализации угрозы безопасности информации определяются возможный результат реализации угрозы безопасности информации в информационной системе, вид ущерба, к которому может привести реализация угрозы безопасности информации, степень последствий от реализации угрозы безопасности информации для каждого вида ущерба.<br /> <br /> В качестве результата реализации угрозы безопасности информации рассматриваются непосредственное или опосредованное воздействие на конфиденциальность, целостность, доступность информации, содержащейся в информационной системе.<br /> <br /> Непосредственное воздействие на конфиденциальность, целостность, доступность информации возможно в результате реализации прямой угрозы безопасности информации. В этом случае объектами воздействия угрозы являются непосредственно информация и (или) иные объекты защиты информационной системы или обеспечивающей инфраструктуры, которые обеспечивают получение, обработку, хранение, передачу, уничтожение информации в информационной системе, в результате доступа к которым или воздействия на которые возможно воздействие на конфиденциальность, целостность или доступность информации.<br /> <br /> Опосредованное воздействие на конфиденциальность, целостность, доступность информации рассматривается в результате реализации косвенных угроз безопасности информации. Реализация косвенных угроз безопасности информации не приводит непосредственно к воздействию на конфиденциальность, целостность, доступность информации, но создает условия для реализации одной или нескольких прямых угроз безопасности информации, позволяющих реализовать такое воздействие. В этом случае в качестве результата реализации косвенной угрозы необходимо рассматривать результаты реализации всех прямых угроз безопасности информации, которые возможно реализовать в случае реализации данной косвенной угрозы.<br /> <br /> Результат реализации угрозы безопасности информации определяется воздействием угрозы на каждое свойство безопасности информации (конфиденциальность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна, иные установленные законодательством Российской Федерации виды информации) воздействие на конфиденциальность, целостность, доступность определяется отдельно для каждого вида информации (k, …, m), содержащейся в информационной системе.<br /> <br /> ===Таблица 5===<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> <br /> При определении степени возможного ущерба необходимо исходить из того, что в зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, целостность или доступность каждого вида информации, содержащейся в информационной системе, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба.<br /> <br /> Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности информации, приведены в таблице 6.<br /> <br /> ===Таблица 6===<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> <br /> Указанные виды ущерба могут дополняться другими видами в зависимости от целей и задач, решаемых информационной системой, а также вида обрабатываемой в ней информации.<br /> <br /> Степень возможного ущерба от реализации угрозы безопасности информации определяется степенью негативных последствий от нарушения конфиденциальности, целостности или доступности каждого вида информации, содержащейся в информационной системе.<br /> <br /> Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значения «незначительные», «умеренные» и «существенные» негативные последствия. Каждым оператором определяется в указанной единой шкале измерений степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации применительно ко всем целям и задачам, решаемым информационной системой.<br /> <br /> Степень возможного ущерба определяется экспертным методом в соответствии с таблицей 7.<br /> <br /> ===Таблица 7===<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна и иные установленные законодательством Российской Федерации виды информации) степень возможного ущерба определяется отдельно для каждого вида информации (k, …, m), обрабатываемой в информационной системе, применительно к каждому виду ущерба. Итоговая степень возможного ущерба устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации применительно к каждому виду ущерба.<br /> <br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> <br /> ==в) определение актуальности угрозы безопасности информации==<br /> <br /> Решение об актуальности угрозы безопасности информации УБИj А для информационной системы с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с таблицей 8.<br /> <br /> ===Таблица 8===<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> <br /> =Приложение № 1= <br /> к Методике определения угроз безопасности информации в информационных системах <br /> <br /> '''Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации'''<br /> <br /> Качественное формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов и предположений при определении угроз может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате реализации угрозы безопасности информации. Завышение экспертами прогнозов и предположений при определении угроз может повлечь за собой неоправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> <br /> Независимо от результата формирования экспертной группы при оценке угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений человеком. Это также может приводить как к занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов и предположений при определении угроз безопасности информации, что в свою очередь может привести к пропуску отдельных угроз безопасности информации или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> <br /> Любое решение, принимаемое экспертами при определении угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принципа «гарантированности»).<br /> <br /> ==а) формирование экспертной группы==<br /> <br /> В состав экспертной группы для определения угроз безопасности информации рекомендуется включать экспертов (независимо от того, реализуются ли функции обладателя информации, заказчика и оператора в рамках одной или нескольких организаций):<br /> *от подразделений обладателей информации, содержащейся в информационной системе;<br /> *от подразделений оператора информационной системы;<br /> *от подразделения по защите информации;<br /> *от лиц, предоставляющих услуги по обработке информации;<br /> *от разработчика информационной системы;<br /> *от операторов взаимодействующих внешних информационных систем (по согласованию).<br /> <br /> В качестве экспертов рекомендуется привлекать специалистов, деятельность которых связана с обработкой информации в информационной системе, а также специалистов, имеющие квалификацию и опыт работы в области применения информационных технологий и (или) в области защиты информации.<br /> <br /> При привлечении в качестве экспертов специалистов от подразделений по защите информации рекомендуется привлекать лиц, имеющих высшее образование или прошедших переподготовку (повышение квалификации) по направлению подготовки «Информационная безопасность», или имеющих не менее трех лет стажа практической работы в своей сфере деятельности.<br /> <br /> Эксперты должны обладать независимостью, основанной на отсутствии коммерческого и финансового интереса или другого давления, которое может оказать влияние на принимаемые решения. Не рекомендуется формировать экспертную группу из участников, находящихся в прямом подчинении, так как это может негативным образом повлиять на результат определения угроз безопасности информации.<br /> <br /> Состав экспертной группы зависит от целей и задач информационной системы, но не должен быть меньше трех экспертов.<br /> <br /> ==б) проведение экспертной оценки==<br /> <br /> При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.<br /> <br /> Экспертную оценку рекомендуется проводить в отношении, как минимум, следующих параметров:<br /> *цели реализации угроз безопасности информации (мотивация нарушителей);<br /> *типы и виды нарушителей;<br /> *уязвимости, которые могут быть использованы для реализации угроз безопасности информации;<br /> *способы реализации угроз безопасности информации;<br /> *степень воздействия угрозы безопасности информации на каждое из свойств безопасности информации;<br /> *последствия от реализации угроз безопасности информации;<br /> *вероятность реализации угроз безопасности информации;<br /> *уровень защищенности информационной системы;<br /> *потенциал нарушителя, требуемый для реализации угрозы безопасности информации (в случае отсутствия потенциала в банке данных угроз безопасности информации).<br /> <br /> Оценку параметров рекомендуется проводить опросным методом с составлением анкеты, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений («низкий», «средний», «высокий» или «да», «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно трактуемыми, предполагать однозначные ответы.<br /> <br /> Опрос экспертов включает следующие этапы:<br /> *каждый эксперт проводит оценку оцениваемого параметра (рекомендуется не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> *после оценки каждым из экспертов отбрасываются минимальные и максимальные значения;<br /> *определяется среднее значение оцениваемого параметра в каждом раунде;<br /> *определяется итоговое среднее значение оцениваемого параметра.<br /> <br /> ===Пример таблицы результатов оценки параметров===<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> <br /> =Приложение № 2= <br /> к Методике определения угроз безопасности информации в информационных системах<br /> <br /> '''Структура модели угроз безопасности информации'''<br /> <br /> Модель угроз безопасности информации содержит следующие разделы:<br /> <br /> 1. Общие положения.<br /> <br /> 2. Описание информационной системы и особенностей ее функционирования.<br /> <br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> <br /> 2.2. Описание структурно-функциональных характеристик информационной системы.<br /> <br /> 2.3. Описание технологии обработки информации.<br /> <br /> 3. Возможности нарушителей (модель нарушителя).<br /> <br /> 3.1. Типы и виды нарушителей.<br /> <br /> 3.2. Возможные цели и потенциал нарушителей.<br /> <br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> <br /> 4. Актуальные угрозы безопасности информации.<br /> <br /> Приложения (при необходимости).<br /> <br /> Раздел «Общие положения» содержит назначение и область действия документа, информацию о полном наименовании информационной системы, для которой разработана модель угроз безопасности информации, а также информацию об использованных для разработки модели угроз безопасности информации нормативных и методических документах, национальных стандартах. В данный раздел также включается информация об используемых данных и источниках, на основе которых определяются угрозы безопасности информации (документация, исходные тексты программ, опросы персонала, журналы регистрации средств защиты, отчеты об аудите и иные источники).<br /> <br /> Раздел «Описание информационной системы и особенностей ее функционирования» содержит общую характеристику информационной системы, описание структурно-функциональных характеристик информационной системы, описание взаимосвязей между сегментами информационной системы, описание взаимосвязей с другими информационными системами и информационно-телекоммуникационными сетями, описание технологии обработки информации.<br /> <br /> Также в данном разделе приводятся предположения, касающиеся информационной системы и особенностей ее функционирования (в частности предположения об отсутствии неучтенных беспроводных каналов доступа или динамичность выделения адресов узлам информационной системы, иные предположения). В раздел включаются любые ограничения, касающиеся информационной системы и особенностей ее функционирования.<br /> <br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит описание типов, видов, потенциала и мотивации нарушителей, от которых необходимо обеспечить защиту информации в информационной системе, способов реализации угроз безопасности информации. В данный раздел также включаются предположения, касающиеся нарушителей (в частности предположение об отсутствии у нарушителя возможности доступа к оборудованию, сделанному на заказ и применяемому при реализации угрозы, предположение о наличии (отсутствии) сговора между внешними и внутренними нарушителями или иные предположения). В раздел включаются любые ограничения, касающиеся определения нарушителей (в частности исключение администраторов информационной системы или администраторов безопасности из числа потенциальных нарушителей или иные предположения).<br /> <br /> Раздел «Актуальные угрозы безопасности информации» содержит описание актуальных угроз безопасности, включающее наименование угрозы безопасности информации, возможности нарушителя по реализации угрозы, используемые уязвимости информационной системы, описание способов реализации угрозы безопасности информации, объекты воздействия, возможные результат и последствия от реализации угрозы безопасности информации.<br /> <br /> =Приложение № 3=<br /> к Методике определения угроз безопасности информации в информационных системах <br /> <br /> '''Определение потенциала нарушителя, необходимого для реализации угрозы безопасности информации в информационной системе'''<br /> <br /> Настоящее приложение применяется для определения потенциала, необходимого для реализации угрозы безопасности информации, данные по которой отсутствуют в банке данных угроз безопасности информации, и характеристики которых определяются на основе иных источников или результатов исследований.<br /> <br /> Приведенный подход к оценке потенциала нарушителя направлен на снижение уровня субъективности и неопределенности при оценке потенциала нарушителя, который требуется для реализации угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> Исходными данными для определения потенциала нарушителя являются:<br /> *данные об аппаратном, общесистемном и прикладном программном обеспечении, применяемых информационных технологиях, особенностях функционирования информационной системы;<br /> *данные об уязвимостях в аппаратном, общесистемном и прикладном программном обеспечении, опубликованные в различных базах данных уязвимостей, полученные в результате исследований (тестировании) или полученные от уполномоченных федеральных органов исполнительной власти и организаций.<br /> <br /> При оценке потенциала нарушителя необходимо исходить из того, что для успешного достижения целей реализации угроз безопасности информации, нарушителю необходимо осуществить подготовку к реализации угрозы и непосредственно реализацию угрозы безопасности информации. При этом не единственным, но необходимым условием на этапе подготовки к реализации угрозы безопасности информации является идентификация уязвимостей в информационной системе, а на этапе реализации угрозы безопасности информации – использование уязвимостей информационной системы.<br /> <br /> Таким образом, для определения потенциала нарушителя необходимо оценить возможности нарушителя идентифицировать уязвимости и использовать их в информационной системе в ходе подготовки к реализации и непосредственно в ходе реализации угрозы безопасности информации. Для проведения указанной оценки делается предположение о наличии уязвимостей, которые потенциально содержатся в информационной системе и могут быть использованы для реализации угрозы безопасности информации.<br /> <br /> Потенциальные уязвимости определяются для каждого класса и типа программного обеспечения и для каждого узла (хоста) информационной системы исходя из условия, что для реализации угрозы безопасности информации нарушителю необходимо идентифицировать и использовать как минимум одну уязвимость на каждом узле и хосте.<br /> <br /> В качестве исходных данных для определения потенциальных уязвимостей используются данные по составу информационной системы и особенностям ее функционирования, а также данные об уязвимостях в этом программном обеспечении, опубликованные в общедоступных источниках, полученные по результатам исследований и (или) полученные от уполномоченных органов и организаций.<br /> <br /> Для каждой выявленной потенциальной уязвимости проводится оценка возможностей ее идентификации и использования в информационной системе нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> <br /> Оценка возможностей нарушителя по идентификации и использованию уязвимости в информационной системе проводится по результатам определения следующих показателей:<br /> *время, затрачиваемое нарушителем на идентификацию и использование уязвимости (затрачиваемое время);<br /> *техническая компетентность нарушителя;<br /> *знание нарушителем проекта и информационной системы;<br /> *оснащенность нарушителя;<br /> *возможности нарушителя по доступу к информационной системе.<br /> <br /> Во многих случаях указанные показатели являются зависимыми и могут в различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемого времени.<br /> <br /> ==а) определение показателя «затрачиваемое время»==<br /> <br /> Показатель «затрачиваемое время» характеризует время, непрерывно затрачиваемое нарушителем для идентификации и использования уязвимости для реализации угрозы безопасности информации.<br /> <br /> Показатель «затрачиваемое время» может принимать значения «за минуты», «за часы», «за дни» или «за месяцы».<br /> <br /> Значение «за минуты» присваивается, если для реализации угрозы безопасности информации нарушитель затратит менее получаса на идентификацию и использование уязвимости.<br /> <br /> Значение «за часы» присваивается, если для реализации угрозы безопасности информации нарушитель затратит менее чем один день на идентификацию и использование уязвимости.<br /> <br /> Значение «за дни» присваивается, если для реализации угрозы безопасности информации нарушитель затратит менее чем один месяц на идентификацию и использование уязвимости.<br /> <br /> Значение «за месяцы» присваивается, если для реализации угрозы безопасности информации нарушитель затратит, как минимум, месяц на идентификацию и использование уязвимости.<br /> <br /> ==б) определение показателя «техническая компетентность нарушителя»==<br /> <br /> Показатель «техническая компетентность нарушителя» характеризует, каким уровнем знаний и подготовкой в области информационных технологий и защиты информации должен обладать нарушитель, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации.<br /> <br /> Показатель «техническая компетентность нарушителя» может принимать значения «специалист», «профессионал» или «непрофессионал».<br /> <br /> Значение «профессионал» присваивается, если нарушитель имеет хорошую осведомленность о мерах защиты информации, применяемых в информационной системе, об алгоритмах, аппаратных и программных средствах, используемых в информационной системе, а также обладает специальными знаниями о методах и средствах выявления новых уязвимостей и способах реализации угроз безопасности информации для информационных систем данного типа.<br /> <br /> Значение «специалист» присваивается, если нарушитель имеет осведомленность о мерах защиты информации, применяемых в информационной системе данного типа.<br /> <br /> Значение «непрофессионал» присваивается, если нарушитель имеет слабую осведомленность (по сравнению со специалистами или профессионалами) о мерах защиты информации, применяемых в информационных системах данного типа, и не обладает специальными знаниями по реализации угроз безопасности информации.<br /> <br /> ==в) определение показателя «знание нарушителем проекта и информационной системы»==<br /> <br /> Показатель «знание нарушителем проекта и информационной системы» характеризует, какие сведения об информационной системе и условиях ее эксплуатации доступны нарушителю, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации.<br /> <br /> Показатель «знание нарушителем проекта и информационной системы» может принимать значения «отсутствие знаний», «ограниченные знания» или «знание чувствительной информации».<br /> <br /> Значение «отсутствие знаний» присваивается, если в результате принятия мер по защите информации нарушителю не может стать известно о структурно-функциональных характеристиках информационной системы, системе защиты информации информационной системы, а также об иной информации по разработке (проектированию) и эксплуатации информационной системы, включая сведения из конструкторской, проектной и эксплуатационной документации.<br /> <br /> При этом может быть доступна информация о целях и задачах, решаемых информационной системой. Данный показатель также присваивается, если сведения об информационной системе отнесены к информации ограниченного доступа и не могут быть доступны для неограниченного круга лиц.<br /> <br /> Значение «ограниченные знания» присваивается, если нарушителю наряду с информацией о целях и задачах, решаемых информационной системой, может стать известна только эксплуатационная документация на информационную систему (в частности руководство пользователя и (или) правила эксплуатации информационной системы).<br /> <br /> Значение «знание чувствительной информации» присваивается, если нарушителю может стать известны конструкторская (проектная) и эксплуатационная документация на информационную систему, информация о структурно-функциональных характеристиках информационной системы, системе защиты информационной системы.<br /> <br /> ==г) определение показателя «возможности нарушителя по доступу к информационной системе»==<br /> <br /> Показатель «возможности нарушителя по доступу к информационной системе» характеризует, как долго по времени нарушитель должен иметь возможность доступа к информационной системе для идентификации и использования уязвимостей для реализации угроз безопасности информации.<br /> <br /> Показатель «возможности нарушителя по доступу к информационной системе» может принимать значения «за минуты», «за часы», «за дни» или «за месяцы».<br /> <br /> Значение «за минуты» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ менее получаса.<br /> <br /> Значение «за часы» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ менее одного дня.<br /> <br /> Значение «за дни» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ менее одного месяца.<br /> <br /> Значение «за месяцы» присваивается, если для идентификации и использования уязвимости для реализации угрозы безопасности информации нарушителю требуется доступ более одного месяца.<br /> <br /> Показатель «возможности нарушителя по доступу к информационной системе» взаимосвязан с показателем «затраченное время». Идентификация и использование уязвимости при реализации угрозы безопасности информации могут требовать продолжительного времени по доступу к информационной системе, что увеличивает возможность обнаружения уязвимости. В отдельных случаях продолжительный доступ к информационной системе не требуется (методы и средства реализации угроз безопасности разрабатываются автономно), но при этом требуется кратковременный доступ к информационной системе.<br /> <br /> ==д) определение показателя «оснащенность нарушителя»==<br /> <br /> Показатель «оснащенность нарушителя» характеризует, какие программные и (или) программно-технические средства требуются нарушителю для идентификации и использования уязвимостей для реализации угроз безопасности информации.<br /> <br /> Показатель «оснащенность нарушителя» может принимать значения «стандартное оборудование», «специализированное оборудование» или «оборудование, сделанное на заказ».<br /> <br /> Значение «стандартное оборудование» присваивается, если для идентификации или использования уязвимостей при реализации угрозы безопасности информации требуются программные (программно-технические) средства, легко доступные для нарушителя. К таким средствам, в первую очередь, относятся программные средства непосредственно информационной системы (отладчик в операционной системе, средства разработки и иные), программные средства, которые могут быть легко получены (программы, имеющиеся в свободном доступе в сети Интернет) или имеются простые сценарии реализации угроз.<br /> <br /> Значение «специализированное оборудование» присваивается, если для идентификации или использования уязвимостей при реализации угрозы безопасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобретены нарушителем без значительных усилий. К таким средствам, в первую очередь, относятся программные (программно-технические) средства, которые имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или требуется разработка более сложных программ и сценариев реализации угрозы.<br /> <br /> Оборудование может быть закуплено, либо, например, могут быть использованы компьютеры, объединенные через сеть Интернет (бот-сети).<br /> <br /> Значение «оборудование, сделанное на заказ» присваивается, если для идентификации или использования уязвимостей при реализации угрозы безопасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специальная разработка с привлечением исследовательских организаций, или распространение этих средств контролируется в соответствии с законодательством. К такому оборудованию также относится дорогостоящие средства или средства, сведения о которых относятся к информации ограниченного доступа.<br /> <br /> С целью вычисления потенциала нарушителя определяются числовые значения указанных показателей в соответствии с таблицей 3.1.<br /> <br /> ===Таблица 3.1===<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> <br /> <br /> Для конкретной потенциальной уязвимости может возникнуть необходимость определять показатели несколько раз для различных способов реализации угроз безопасности информации (попеременно использовать разные значения показателей компетентности в сочетании со значениями времени и оборудования). При этом следует выбирать наибольшее значение, полученное при каждом расчете показателей.<br /> <br /> Полученные на основе таблицы 3.1 значения характеристик потенциала нарушителя суммируются. Полученная сумма значений характеристик соотносится с диапазонами значений, приведенных в таблице 3.2, в соответствии с которой определяется потенциал нарушителя, необходимый для реализации угрозы безопасности информации.<br /> <br /> ===Таблица 3.2===<br /> <br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> <br /> Мотивация нарушителя для реализации угроз безопасности информации может быть базовой или повышенной. Мотивация нарушителя характеризует уровень устремлений нарушителя к информации, содержащейся в информационной системе, или информационной системе в целом. При определении потенциала нарушителя необходимо исходить, как минимум, из его базовой мотивации.<br /> <br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности информации, переходит на следующий уровень (от низкого к среднего или от среднего к высокому), если определено, что нарушитель имеет повышенную мотивацию реализации угроз безопасности по отношению к информационной системе.<br /> <br /> Мотивация нарушителя определяется как повышенная, если:<br /> *а) имеются сведения (в том числе опубликованные в общедоступных источниках) об устремлениях нарушителей к конкретной информационной системе и (или) отдельным ее объектам защиты; например, если информация, обрабатываемая в информационной системе, является высоко ценной для нарушителя или для нарушителя является крайне приоритетным нанести ущерб оператору информационной системы;<br /> *б) имеется информация, полученная от уполномоченных федеральных органов исполнительной власти, о намерении нарушителя осуществить неправомерные действия в отношении информационной системы и (или) информации, содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=121 2015-10-02T08:57:55Z

<p>Hunter po: /* Приложение № 2 */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.<br /> <br /> Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью (разделом) модели угроз безопасности информации и содержит:<br /> *типы, виды и потенциал нарушителей, которые могут обеспечить реализацию угроз безопасности информации;<br /> *цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;<br /> *возможные способы реализации угроз безопасности информации.<br /> ==а) типы нарушителей==<br /> Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> В зависимости от имеющихся прав доступа нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) содержащейся в них информации или не иметь такого доступа.<br /> <br /> Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы:<br /> *устройств ввода/вывода (отображения) информации;<br /> *беспроводных устройств;<br /> *программных, программно-технических и технических средств обработки информации;<br /> *съемных машинных носителей информации;<br /> *машинных носителей информации, выведенных из эксплуатации;<br /> *активного (коммутационного) и пассивного оборудования каналов связи;<br /> *каналов связи, выходящих за пределы контролируемой зоны.<br /> <br /> С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:<br /> * внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;<br /> * внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.<br /> <br /> Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по допуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц.<br /> <br /> Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внешним информационно-телекоммуникационным сетям и (или) имеются линии связи, выходящие за пределы контролируемой зоны, используемые для иных подключений.<br /> <br /> ==б) виды и потенциал нарушителей==<br /> <br /> Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей:<br /> *специальные службы иностранных государств (блоков государств);<br /> *террористические, экстремистские группировки;<br /> *преступные группы (криминальные структуры);<br /> *внешние субъекты (физические лица);<br /> *конкурирующие организации;<br /> *разработчики, производители, поставщики программных, технических и программно-технических средств;<br /> *лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ;<br /> *лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.);<br /> *пользователи информационной системы;<br /> *администраторы информационной системы и администраторы безопасности;<br /> *бывшие работники (пользователи).<br /> <br /> Виды нарушителей, характерных для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нарушителями.<br /> <br /> В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть:<br /> * нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;<br /> * реализация угроз безопасности информации по идеологическим или политическим мотивам;<br /> * организация террористического акта;<br /> * причинение имущественного ущерба путем мошенничества или иным преступным путем;<br /> * дискредитация или дестабилизация деятельности органов государственной власти, организаций;<br /> * получение конкурентных преимуществ;<br /> * внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки;<br /> * любопытство или желание самореализации;<br /> * выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;<br /> * реализация угроз безопасности информации из мести;<br /> * реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий.<br /> <br /> Предположения о целях (мотивации) нарушителей делаются с учетом целей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопасности информации приведены в таблице 1.<br /> <br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> <br /> При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.<br /> <br /> Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> В зависимости от потенциала, требуемого для реализации угроз безопасности информации, нарушители подразделяются на:<br /> *нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих высоким потенциалом нападения при реализации угроз безопасности информации в информационной системе.<br /> <br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> <br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> <br /> ==в) возможные способы реализации угроз безопасности информации==<br /> <br /> Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности информации.<br /> <br /> Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> Угрозы безопасности информации могут быть реализованы нарушителями за счет:<br /> *несанкционированного доступа и (или) воздействия на объекты на аппаратном уровне (программы (микропрограммы), «прошитые» в аппаратных компонентах (чипсетах));<br /> *несанкционированного доступа и (или) воздействия на объекты на общесистемном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы);<br /> *несанкционированного доступа и (или) воздействия на объекты на прикладном уровне (системы управления базами данных, браузеры, web-приложения, иные прикладные программы общего и специального назначения);<br /> *несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> *несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации;<br /> *воздействия на пользователей, администраторов безопасности, администраторов информационной системы или обслуживающий персонал (социальная инженерия).<br /> <br /> Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использование уязвимостей в микропрограммном, общесистемном и прикладном программном обеспечении, сетевом оборудовании, применяемых в информационной системе, а также в организации работ по защите информации и конфигурации информационной системы.<br /> <br /> При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть реализованы непосредственно за счет доступа к компонентам информационной системы и (или) информации или опосредовано (косвенно) за счет создания условий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отвечает. При этом локальной целью нарушителя, не имеющего доступа (прав доступа) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе.<br /> <br /> Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасности информации).<br /> <br /> Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации.<br /> <br /> Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функционирования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные.<br /> <br /> Нецеленаправленная («веерная») угроза безопасности информации не ориентирована на конкретную информационную систему. Целями такой угрозы могут являться несанкционированный доступ, перехват управления или воздействие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характеристики и условия функционирования информационной системы.<br /> <br /> Реализация преднамеренных угроз безопасности информации, как правило, включает:<br /> *сбор информации об информационной системе, ее структурно-функциональных характеристиках, условиях функционирования;<br /> *выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и условиями функционирования;<br /> *непосредственная реализация угроз безопасности информации в информационной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий);<br /> *устранение признаков и следов неправомерных действий в информационной системе.<br /> <br /> В зависимости от целей и потенциала нарушителя на каждом из этапов могут эксплуатироваться одна или несколько уязвимостей информационной системы.<br /> <br /> При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий:<br /> *нарушитель может действовать один или в составе группы нарушителей;<br /> *в отношении информационной системы внешний нарушитель может действовать совместно с внутренним нарушителем;<br /> *угрозы могут быть реализованы в любое время и в любой точке информационной системы (на любом узле или хосте);<br /> *для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы.<br /> <br /> Возможные способы реализации угроз безопасности информации, определенные на основе настоящего раздела, включаются в модель угроз безопасности информации.<br /> <br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> <br /> Угроза безопасности информации является актуальной (УБИj А ), если для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования существует вероятность реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> В качестве показателя актуальности угрозы безопасности информации (УБИj А ) принимается двухкомпонентный вектор, первый компонент которого характеризует вероятность реализации угрозы (Рj), а второй – степень возможного ущерба в случае ее реализации (Хj)<br /> <br /> УБИj А = [вероятность реализации угрозы (Рj); степень ущерба (Хj)], где Рj определятся на основе анализа статистических данных о частоте реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, а Хj определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, актуальность угрозы безопасности информации определяется на основе оценки возможности реализации угрозы безопасности информации (Yj) УБИj А = [возможность реализации угрозы (Yj); степень ущерба (Хj)], где Yj определятся на основе оценки уровня защищенности информационной системы и потенциала нарушителя, требуемого для реализации угрозы безопасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что:<br /> *возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации;<br /> *в информационной системе могут иметься потенциальные уязвимости, которые могут быть использованы при реализации j-ой угрозы безопасности информации;<br /> *структурно-функциональные характеристики и особенности функционирования информационной системы не исключают возможности применения способов, необходимых для реализации j-ой угрозы безопасности информации (существует сценарий реализации угрозы безопасности);<br /> *реализация угрозы безопасности информации приведет к нарушению конфиденциальности, целостности или доступности информации, в результате которого возможно возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве исходных данных об угрозах безопасности информации и их характеристиках используется банк данных угроз безопасности информации, сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые модели угроз безопасности информации, разрабатываемые ФСТЭК России для различных классов и типов информационных систем.<br /> <br /> Для определения угроз безопасности информации могут использоваться иные источники, в том числе опубликованные в общедоступных источниках данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по выявлению угроз безопасности информации. В этом случае потенциал нарушителя, возможные уязвимости, способы реализации угрозы безопасности информации и последствия от ее реализации определяются для каждой угрозы безопасности информации.<br /> ==а) оценка вероятности (возможности) реализации угрозы безопасности информации==<br /> <br /> Под вероятностью реализации угрозы безопасности информации понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования. Вводятся три вербальные градации этого показателя:<br /> *низкая вероятность – отсутствуют объективные предпосылки к реализации j-ой угрозы безопасности информации, отсутствует требуемая статистика по фактам реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности), отсутствует мотивация для реализации j-ой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> *средняя вероятность – существуют предпосылки к реализации j-ой угрозы безопасности информации, зафиксированы случаи реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на возможность реализации j-ой угрозы безопасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в год;<br /> *высокая вероятность – существуют объективные предпосылки к реализации j-ой угрозы безопасности информации, существует достоверная статистика реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на высокую возможность реализации j-ой угрозы безопасности информации, у нарушителя имеются мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 раза в год.<br /> <br /> В случае отсутствия требуемых данных для оценки вероятности реализации угрозы безопасности информации или наличия сомнений в объективности экспертных оценок при определении вербальных градаций вероятности реализации угроз безопасности информации, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Yj).<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оценивается исходя из уровня защищенности информационной системы (Y1) и потенциала нарушителя (Y2), необходимого для реализации этой угрозы безопасности информации в информационной системе с заданными структурнофункциональными характеристиками и особенностями функционирования:<br /> *Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> <br /> При определении угроз безопасности информации на этапе создания информационной системы в случае, когда меры защиты информации не реализованы или не проведена оценка их достаточности и эффективности, оценка возможности реализации j-ой угрозы безопасности информации (Yj) проводится относительно уровня проектной защищенности информационной системы (Y1П):<br /> *Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> <br /> Под уровнем проектной защищенности (Y1П) понимается исходная защищенность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. Уровень проектной защищенности (Y1П) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 3.<br /> <br /> Показатели, характеризующие проектную защищенность информационной системы <br /> <br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> <br /> В ходе создания информационной системы уровень ее проектной защищенности (Y1П) определяется следующим образом:<br /> *а) информационная система имеет высокий уровень проектной защищенности (Y1П), если не менее 80% характеристик информационной системы соответствуют уровню «высокий» (суммируются положительные решения по второму столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по третьему столбцу);<br /> *б) информационная система имеет средний уровень проектной защищенности (Y1П), если не выполняются условия по пункту а) и не менее 90% характеристик информационной системы соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по третьему столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности;<br /> *в) информационная система имеет низкий уровень проектной защищенности (Y1П), если не выполняются условия по пунктам а) и б).<br /> <br /> В соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, до ввода в эксплуатацию информационной системы должны быть реализованы меры защиты информации, направленные на блокирование (нейтрализацию) актуальных угроз безопасности информации. Таким образом, ввод в эксплуатацию информационной системы осуществляется при условии достижения высокого уровня исходной защищенности информационной системы от нарушителя с заданным потенциалом.<br /> <br /> Вместе с тем, в ходе эксплуатации информационной системы возможно появление новых уязвимостей, повышение потенциала нарушителя, изменение структурно-функциональных характеристик, значимости обрабатываемой информации, особенностей функционирования информационной системы и других условий, приводящих к возникновению новых угроз безопасности информации, которые могут существенно снизить уровень проектной защищенности информационной системы. В этом случае для поддержания уровня защищенности информационной системы в ходе эксплуатации должен проводиться регулярный анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке.<br /> <br /> В ходе эксплуатации информационной системы уровень ее защищенности (Y1) определяется следующим образом:<br /> *а) в информационной системе обеспечивается высокий уровень защищенности (Y1), если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появившихся дополнительных угроз безопасности информации с высокой оперативностью («за минуты») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *б) в информационной системе обеспечивается средний уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них оперативно («за часы») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *в) в информационной системе обеспечивается низкий уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них не могут быть с высокой оперативностью или оперативно приняты меры защиты информации, нейтрализующие эти угрозы.<br /> <br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопасности информации, может быть базовым (низким), базовым повышенным (средним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы безопасности информации определяется на основе данных, приведенных в банке данных угроз безопасности информации ФСТЭК России, а также в базовых и типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК России для информационных систем различных классов и типов. В случае отсутствия информации о потенциале нарушителя для реализации j-ой угрозы безопасности значение потенциала (Y2) определяется в соответствии с приложением № 3 к настоящей Методике.<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в зависимости от уровня защищенности информационной системы (Y1/Y1П) и потенциала нарушителя (Y2) определяется как высокая, средняя или низкая в соответствии с таблицей 4.<br /> <br /> ===Возможность реализации угрозы безопасности информации Таблица 4===<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> <br /> ==б) оценка степени возможного ущерба от реализации угрозы безопасности информации==<br /> <br /> Для оценки степени возможного ущерба от реализации угрозы безопасности информации определяются возможный результат реализации угрозы безопасности информации в информационной системе, вид ущерба, к которому может привести реализация угрозы безопасности информации, степень последствий от реализации угрозы безопасности информации для каждого вида ущерба.<br /> <br /> В качестве результата реализации угрозы безопасности информации рассматриваются непосредственное или опосредованное воздействие на конфиденциальность, целостность, доступность информации, содержащейся в информационной системе.<br /> <br /> Непосредственное воздействие на конфиденциальность, целостность, доступность информации возможно в результате реализации прямой угрозы безопасности информации. В этом случае объектами воздействия угрозы являются непосредственно информация и (или) иные объекты защиты информационной системы или обеспечивающей инфраструктуры, которые обеспечивают получение, обработку, хранение, передачу, уничтожение информации в информационной системе, в результате доступа к которым или воздействия на которые возможно воздействие на конфиденциальность, целостность или доступность информации.<br /> <br /> Опосредованное воздействие на конфиденциальность, целостность, доступность информации рассматривается в результате реализации косвенных угроз безопасности информации. Реализация косвенных угроз безопасности информации не приводит непосредственно к воздействию на конфиденциальность, целостность, доступность информации, но создает условия для реализации одной или нескольких прямых угроз безопасности информации, позволяющих реализовать такое воздействие. В этом случае в качестве результата реализации косвенной угрозы необходимо рассматривать результаты реализации всех прямых угроз безопасности информации, которые возможно реализовать в случае реализации данной косвенной угрозы.<br /> <br /> Результат реализации угрозы безопасности информации определяется воздействием угрозы на каждое свойство безопасности информации (конфиденциальность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна, иные установленные законодательством Российской Федерации виды информации) воздействие на конфиденциальность, целостность, доступность определяется отдельно для каждого вида информации (k, …, m), содержащейся в информационной системе.<br /> <br /> ===Таблица 5===<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> <br /> При определении степени возможного ущерба необходимо исходить из того, что в зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, целостность или доступность каждого вида информации, содержащейся в информационной системе, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба.<br /> <br /> Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности информации, приведены в таблице 6.<br /> <br /> ===Таблица 6===<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> <br /> Указанные виды ущерба могут дополняться другими видами в зависимости от целей и задач, решаемых информационной системой, а также вида обрабатываемой в ней информации.<br /> <br /> Степень возможного ущерба от реализации угрозы безопасности информации определяется степенью негативных последствий от нарушения конфиденциальности, целостности или доступности каждого вида информации, содержащейся в информационной системе.<br /> <br /> Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значения «незначительные», «умеренные» и «существенные» негативные последствия. Каждым оператором определяется в указанной единой шкале измерений степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации применительно ко всем целям и задачам, решаемым информационной системой.<br /> <br /> Степень возможного ущерба определяется экспертным методом в соответствии с таблицей 7.<br /> <br /> ===Таблица 7===<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна и иные установленные законодательством Российской Федерации виды информации) степень возможного ущерба определяется отдельно для каждого вида информации (k, …, m), обрабатываемой в информационной системе, применительно к каждому виду ущерба. Итоговая степень возможного ущерба устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации применительно к каждому виду ущерба.<br /> <br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> <br /> ==в) определение актуальности угрозы безопасности информации==<br /> <br /> Решение об актуальности угрозы безопасности информации УБИj А для информационной системы с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с таблицей 8.<br /> <br /> ===Таблица 8===<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> <br /> =Приложение № 1= <br /> к Методике определения угроз безопасности информации в информационных системах <br /> <br /> '''Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации'''<br /> <br /> Качественное формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов и предположений при определении угроз может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате реализации угрозы безопасности информации. Завышение экспертами прогнозов и предположений при определении угроз может повлечь за собой неоправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> <br /> Независимо от результата формирования экспертной группы при оценке угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений человеком. Это также может приводить как к занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов и предположений при определении угроз безопасности информации, что в свою очередь может привести к пропуску отдельных угроз безопасности информации или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> <br /> Любое решение, принимаемое экспертами при определении угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принципа «гарантированности»).<br /> <br /> ==а) формирование экспертной группы==<br /> <br /> В состав экспертной группы для определения угроз безопасности информации рекомендуется включать экспертов (независимо от того, реализуются ли функции обладателя информации, заказчика и оператора в рамках одной или нескольких организаций):<br /> *от подразделений обладателей информации, содержащейся в информационной системе;<br /> *от подразделений оператора информационной системы;<br /> *от подразделения по защите информации;<br /> *от лиц, предоставляющих услуги по обработке информации;<br /> *от разработчика информационной системы;<br /> *от операторов взаимодействующих внешних информационных систем (по согласованию).<br /> <br /> В качестве экспертов рекомендуется привлекать специалистов, деятельность которых связана с обработкой информации в информационной системе, а также специалистов, имеющие квалификацию и опыт работы в области применения информационных технологий и (или) в области защиты информации.<br /> <br /> При привлечении в качестве экспертов специалистов от подразделений по защите информации рекомендуется привлекать лиц, имеющих высшее образование или прошедших переподготовку (повышение квалификации) по направлению подготовки «Информационная безопасность», или имеющих не менее трех лет стажа практической работы в своей сфере деятельности.<br /> <br /> Эксперты должны обладать независимостью, основанной на отсутствии коммерческого и финансового интереса или другого давления, которое может оказать влияние на принимаемые решения. Не рекомендуется формировать экспертную группу из участников, находящихся в прямом подчинении, так как это может негативным образом повлиять на результат определения угроз безопасности информации.<br /> <br /> Состав экспертной группы зависит от целей и задач информационной системы, но не должен быть меньше трех экспертов.<br /> <br /> ==б) проведение экспертной оценки==<br /> <br /> При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.<br /> <br /> Экспертную оценку рекомендуется проводить в отношении, как минимум, следующих параметров:<br /> *цели реализации угроз безопасности информации (мотивация нарушителей);<br /> *типы и виды нарушителей;<br /> *уязвимости, которые могут быть использованы для реализации угроз безопасности информации;<br /> *способы реализации угроз безопасности информации;<br /> *степень воздействия угрозы безопасности информации на каждое из свойств безопасности информации;<br /> *последствия от реализации угроз безопасности информации;<br /> *вероятность реализации угроз безопасности информации;<br /> *уровень защищенности информационной системы;<br /> *потенциал нарушителя, требуемый для реализации угрозы безопасности информации (в случае отсутствия потенциала в банке данных угроз безопасности информации).<br /> <br /> Оценку параметров рекомендуется проводить опросным методом с составлением анкеты, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений («низкий», «средний», «высокий» или «да», «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно трактуемыми, предполагать однозначные ответы.<br /> <br /> Опрос экспертов включает следующие этапы:<br /> *каждый эксперт проводит оценку оцениваемого параметра (рекомендуется не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> *после оценки каждым из экспертов отбрасываются минимальные и максимальные значения;<br /> *определяется среднее значение оцениваемого параметра в каждом раунде;<br /> *определяется итоговое среднее значение оцениваемого параметра.<br /> <br /> ===Пример таблицы результатов оценки параметров===<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> <br /> =Приложение № 2= <br /> к Методике определения угроз безопасности информации в информационных системах<br /> <br /> '''Структура модели угроз безопасности информации'''<br /> <br /> Модель угроз безопасности информации содержит следующие разделы:<br /> <br /> 1. Общие положения.<br /> <br /> 2. Описание информационной системы и особенностей ее функционирования.<br /> <br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> <br /> 2.2. Описание структурно-функциональных характеристик информационной системы.<br /> <br /> 2.3. Описание технологии обработки информации.<br /> <br /> 3. Возможности нарушителей (модель нарушителя).<br /> <br /> 3.1. Типы и виды нарушителей.<br /> <br /> 3.2. Возможные цели и потенциал нарушителей.<br /> <br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> <br /> 4. Актуальные угрозы безопасности информации.<br /> <br /> Приложения (при необходимости).<br /> <br /> Раздел «Общие положения» содержит назначение и область действия документа, информацию о полном наименовании информационной системы, для которой разработана модель угроз безопасности информации, а также информацию об использованных для разработки модели угроз безопасности информации нормативных и методических документах, национальных стандартах. В данный раздел также включается информация об используемых данных и источниках, на основе которых определяются угрозы безопасности информации (документация, исходные тексты программ, опросы персонала, журналы регистрации средств защиты, отчеты об аудите и иные источники).<br /> <br /> Раздел «Описание информационной системы и особенностей ее функционирования» содержит общую характеристику информационной системы, описание структурно-функциональных характеристик информационной системы, описание взаимосвязей между сегментами информационной системы, описание взаимосвязей с другими информационными системами и информационно-телекоммуникационными сетями, описание технологии обработки информации.<br /> <br /> Также в данном разделе приводятся предположения, касающиеся информационной системы и особенностей ее функционирования (в частности предположения об отсутствии неучтенных беспроводных каналов доступа или динамичность выделения адресов узлам информационной системы, иные предположения). В раздел включаются любые ограничения, касающиеся информационной системы и особенностей ее функционирования.<br /> <br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит описание типов, видов, потенциала и мотивации нарушителей, от которых необходимо обеспечить защиту информации в информационной системе, способов реализации угроз безопасности информации. В данный раздел также включаются предположения, касающиеся нарушителей (в частности предположение об отсутствии у нарушителя возможности доступа к оборудованию, сделанному на заказ и применяемому при реализации угрозы, предположение о наличии (отсутствии) сговора между внешними и внутренними нарушителями или иные предположения). В раздел включаются любые ограничения, касающиеся определения нарушителей (в частности исключение администраторов информационной системы или администраторов безопасности из числа потенциальных нарушителей или иные предположения).<br /> <br /> Раздел «Актуальные угрозы безопасности информации» содержит описание актуальных угроз безопасности, включающее наименование угрозы безопасности информации, возможности нарушителя по реализации угрозы, используемые уязвимости информационной системы, описание способов реализации угрозы безопасности информации, объекты воздействия, возможные результат и последствия от реализации угрозы безопасности информации.<br /> <br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=120 2015-10-02T08:55:41Z

<p>Hunter po: /* Приложение № 1 */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.<br /> <br /> Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью (разделом) модели угроз безопасности информации и содержит:<br /> *типы, виды и потенциал нарушителей, которые могут обеспечить реализацию угроз безопасности информации;<br /> *цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;<br /> *возможные способы реализации угроз безопасности информации.<br /> ==а) типы нарушителей==<br /> Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> В зависимости от имеющихся прав доступа нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) содержащейся в них информации или не иметь такого доступа.<br /> <br /> Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы:<br /> *устройств ввода/вывода (отображения) информации;<br /> *беспроводных устройств;<br /> *программных, программно-технических и технических средств обработки информации;<br /> *съемных машинных носителей информации;<br /> *машинных носителей информации, выведенных из эксплуатации;<br /> *активного (коммутационного) и пассивного оборудования каналов связи;<br /> *каналов связи, выходящих за пределы контролируемой зоны.<br /> <br /> С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:<br /> * внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;<br /> * внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.<br /> <br /> Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по допуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц.<br /> <br /> Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внешним информационно-телекоммуникационным сетям и (или) имеются линии связи, выходящие за пределы контролируемой зоны, используемые для иных подключений.<br /> <br /> ==б) виды и потенциал нарушителей==<br /> <br /> Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей:<br /> *специальные службы иностранных государств (блоков государств);<br /> *террористические, экстремистские группировки;<br /> *преступные группы (криминальные структуры);<br /> *внешние субъекты (физические лица);<br /> *конкурирующие организации;<br /> *разработчики, производители, поставщики программных, технических и программно-технических средств;<br /> *лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ;<br /> *лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.);<br /> *пользователи информационной системы;<br /> *администраторы информационной системы и администраторы безопасности;<br /> *бывшие работники (пользователи).<br /> <br /> Виды нарушителей, характерных для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нарушителями.<br /> <br /> В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть:<br /> * нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;<br /> * реализация угроз безопасности информации по идеологическим или политическим мотивам;<br /> * организация террористического акта;<br /> * причинение имущественного ущерба путем мошенничества или иным преступным путем;<br /> * дискредитация или дестабилизация деятельности органов государственной власти, организаций;<br /> * получение конкурентных преимуществ;<br /> * внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки;<br /> * любопытство или желание самореализации;<br /> * выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;<br /> * реализация угроз безопасности информации из мести;<br /> * реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий.<br /> <br /> Предположения о целях (мотивации) нарушителей делаются с учетом целей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопасности информации приведены в таблице 1.<br /> <br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> <br /> При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.<br /> <br /> Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> В зависимости от потенциала, требуемого для реализации угроз безопасности информации, нарушители подразделяются на:<br /> *нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих высоким потенциалом нападения при реализации угроз безопасности информации в информационной системе.<br /> <br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> <br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> <br /> ==в) возможные способы реализации угроз безопасности информации==<br /> <br /> Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности информации.<br /> <br /> Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> Угрозы безопасности информации могут быть реализованы нарушителями за счет:<br /> *несанкционированного доступа и (или) воздействия на объекты на аппаратном уровне (программы (микропрограммы), «прошитые» в аппаратных компонентах (чипсетах));<br /> *несанкционированного доступа и (или) воздействия на объекты на общесистемном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы);<br /> *несанкционированного доступа и (или) воздействия на объекты на прикладном уровне (системы управления базами данных, браузеры, web-приложения, иные прикладные программы общего и специального назначения);<br /> *несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> *несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации;<br /> *воздействия на пользователей, администраторов безопасности, администраторов информационной системы или обслуживающий персонал (социальная инженерия).<br /> <br /> Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использование уязвимостей в микропрограммном, общесистемном и прикладном программном обеспечении, сетевом оборудовании, применяемых в информационной системе, а также в организации работ по защите информации и конфигурации информационной системы.<br /> <br /> При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть реализованы непосредственно за счет доступа к компонентам информационной системы и (или) информации или опосредовано (косвенно) за счет создания условий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отвечает. При этом локальной целью нарушителя, не имеющего доступа (прав доступа) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе.<br /> <br /> Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасности информации).<br /> <br /> Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации.<br /> <br /> Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функционирования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные.<br /> <br /> Нецеленаправленная («веерная») угроза безопасности информации не ориентирована на конкретную информационную систему. Целями такой угрозы могут являться несанкционированный доступ, перехват управления или воздействие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характеристики и условия функционирования информационной системы.<br /> <br /> Реализация преднамеренных угроз безопасности информации, как правило, включает:<br /> *сбор информации об информационной системе, ее структурно-функциональных характеристиках, условиях функционирования;<br /> *выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и условиями функционирования;<br /> *непосредственная реализация угроз безопасности информации в информационной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий);<br /> *устранение признаков и следов неправомерных действий в информационной системе.<br /> <br /> В зависимости от целей и потенциала нарушителя на каждом из этапов могут эксплуатироваться одна или несколько уязвимостей информационной системы.<br /> <br /> При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий:<br /> *нарушитель может действовать один или в составе группы нарушителей;<br /> *в отношении информационной системы внешний нарушитель может действовать совместно с внутренним нарушителем;<br /> *угрозы могут быть реализованы в любое время и в любой точке информационной системы (на любом узле или хосте);<br /> *для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы.<br /> <br /> Возможные способы реализации угроз безопасности информации, определенные на основе настоящего раздела, включаются в модель угроз безопасности информации.<br /> <br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> <br /> Угроза безопасности информации является актуальной (УБИj А ), если для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования существует вероятность реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> В качестве показателя актуальности угрозы безопасности информации (УБИj А ) принимается двухкомпонентный вектор, первый компонент которого характеризует вероятность реализации угрозы (Рj), а второй – степень возможного ущерба в случае ее реализации (Хj)<br /> <br /> УБИj А = [вероятность реализации угрозы (Рj); степень ущерба (Хj)], где Рj определятся на основе анализа статистических данных о частоте реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, а Хj определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, актуальность угрозы безопасности информации определяется на основе оценки возможности реализации угрозы безопасности информации (Yj) УБИj А = [возможность реализации угрозы (Yj); степень ущерба (Хj)], где Yj определятся на основе оценки уровня защищенности информационной системы и потенциала нарушителя, требуемого для реализации угрозы безопасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что:<br /> *возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации;<br /> *в информационной системе могут иметься потенциальные уязвимости, которые могут быть использованы при реализации j-ой угрозы безопасности информации;<br /> *структурно-функциональные характеристики и особенности функционирования информационной системы не исключают возможности применения способов, необходимых для реализации j-ой угрозы безопасности информации (существует сценарий реализации угрозы безопасности);<br /> *реализация угрозы безопасности информации приведет к нарушению конфиденциальности, целостности или доступности информации, в результате которого возможно возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве исходных данных об угрозах безопасности информации и их характеристиках используется банк данных угроз безопасности информации, сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые модели угроз безопасности информации, разрабатываемые ФСТЭК России для различных классов и типов информационных систем.<br /> <br /> Для определения угроз безопасности информации могут использоваться иные источники, в том числе опубликованные в общедоступных источниках данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по выявлению угроз безопасности информации. В этом случае потенциал нарушителя, возможные уязвимости, способы реализации угрозы безопасности информации и последствия от ее реализации определяются для каждой угрозы безопасности информации.<br /> ==а) оценка вероятности (возможности) реализации угрозы безопасности информации==<br /> <br /> Под вероятностью реализации угрозы безопасности информации понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования. Вводятся три вербальные градации этого показателя:<br /> *низкая вероятность – отсутствуют объективные предпосылки к реализации j-ой угрозы безопасности информации, отсутствует требуемая статистика по фактам реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности), отсутствует мотивация для реализации j-ой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> *средняя вероятность – существуют предпосылки к реализации j-ой угрозы безопасности информации, зафиксированы случаи реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на возможность реализации j-ой угрозы безопасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в год;<br /> *высокая вероятность – существуют объективные предпосылки к реализации j-ой угрозы безопасности информации, существует достоверная статистика реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на высокую возможность реализации j-ой угрозы безопасности информации, у нарушителя имеются мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 раза в год.<br /> <br /> В случае отсутствия требуемых данных для оценки вероятности реализации угрозы безопасности информации или наличия сомнений в объективности экспертных оценок при определении вербальных градаций вероятности реализации угроз безопасности информации, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Yj).<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оценивается исходя из уровня защищенности информационной системы (Y1) и потенциала нарушителя (Y2), необходимого для реализации этой угрозы безопасности информации в информационной системе с заданными структурнофункциональными характеристиками и особенностями функционирования:<br /> *Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> <br /> При определении угроз безопасности информации на этапе создания информационной системы в случае, когда меры защиты информации не реализованы или не проведена оценка их достаточности и эффективности, оценка возможности реализации j-ой угрозы безопасности информации (Yj) проводится относительно уровня проектной защищенности информационной системы (Y1П):<br /> *Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> <br /> Под уровнем проектной защищенности (Y1П) понимается исходная защищенность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. Уровень проектной защищенности (Y1П) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 3.<br /> <br /> Показатели, характеризующие проектную защищенность информационной системы <br /> <br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> <br /> В ходе создания информационной системы уровень ее проектной защищенности (Y1П) определяется следующим образом:<br /> *а) информационная система имеет высокий уровень проектной защищенности (Y1П), если не менее 80% характеристик информационной системы соответствуют уровню «высокий» (суммируются положительные решения по второму столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по третьему столбцу);<br /> *б) информационная система имеет средний уровень проектной защищенности (Y1П), если не выполняются условия по пункту а) и не менее 90% характеристик информационной системы соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по третьему столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности;<br /> *в) информационная система имеет низкий уровень проектной защищенности (Y1П), если не выполняются условия по пунктам а) и б).<br /> <br /> В соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, до ввода в эксплуатацию информационной системы должны быть реализованы меры защиты информации, направленные на блокирование (нейтрализацию) актуальных угроз безопасности информации. Таким образом, ввод в эксплуатацию информационной системы осуществляется при условии достижения высокого уровня исходной защищенности информационной системы от нарушителя с заданным потенциалом.<br /> <br /> Вместе с тем, в ходе эксплуатации информационной системы возможно появление новых уязвимостей, повышение потенциала нарушителя, изменение структурно-функциональных характеристик, значимости обрабатываемой информации, особенностей функционирования информационной системы и других условий, приводящих к возникновению новых угроз безопасности информации, которые могут существенно снизить уровень проектной защищенности информационной системы. В этом случае для поддержания уровня защищенности информационной системы в ходе эксплуатации должен проводиться регулярный анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке.<br /> <br /> В ходе эксплуатации информационной системы уровень ее защищенности (Y1) определяется следующим образом:<br /> *а) в информационной системе обеспечивается высокий уровень защищенности (Y1), если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появившихся дополнительных угроз безопасности информации с высокой оперативностью («за минуты») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *б) в информационной системе обеспечивается средний уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них оперативно («за часы») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *в) в информационной системе обеспечивается низкий уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них не могут быть с высокой оперативностью или оперативно приняты меры защиты информации, нейтрализующие эти угрозы.<br /> <br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопасности информации, может быть базовым (низким), базовым повышенным (средним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы безопасности информации определяется на основе данных, приведенных в банке данных угроз безопасности информации ФСТЭК России, а также в базовых и типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК России для информационных систем различных классов и типов. В случае отсутствия информации о потенциале нарушителя для реализации j-ой угрозы безопасности значение потенциала (Y2) определяется в соответствии с приложением № 3 к настоящей Методике.<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в зависимости от уровня защищенности информационной системы (Y1/Y1П) и потенциала нарушителя (Y2) определяется как высокая, средняя или низкая в соответствии с таблицей 4.<br /> <br /> ===Возможность реализации угрозы безопасности информации Таблица 4===<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> <br /> ==б) оценка степени возможного ущерба от реализации угрозы безопасности информации==<br /> <br /> Для оценки степени возможного ущерба от реализации угрозы безопасности информации определяются возможный результат реализации угрозы безопасности информации в информационной системе, вид ущерба, к которому может привести реализация угрозы безопасности информации, степень последствий от реализации угрозы безопасности информации для каждого вида ущерба.<br /> <br /> В качестве результата реализации угрозы безопасности информации рассматриваются непосредственное или опосредованное воздействие на конфиденциальность, целостность, доступность информации, содержащейся в информационной системе.<br /> <br /> Непосредственное воздействие на конфиденциальность, целостность, доступность информации возможно в результате реализации прямой угрозы безопасности информации. В этом случае объектами воздействия угрозы являются непосредственно информация и (или) иные объекты защиты информационной системы или обеспечивающей инфраструктуры, которые обеспечивают получение, обработку, хранение, передачу, уничтожение информации в информационной системе, в результате доступа к которым или воздействия на которые возможно воздействие на конфиденциальность, целостность или доступность информации.<br /> <br /> Опосредованное воздействие на конфиденциальность, целостность, доступность информации рассматривается в результате реализации косвенных угроз безопасности информации. Реализация косвенных угроз безопасности информации не приводит непосредственно к воздействию на конфиденциальность, целостность, доступность информации, но создает условия для реализации одной или нескольких прямых угроз безопасности информации, позволяющих реализовать такое воздействие. В этом случае в качестве результата реализации косвенной угрозы необходимо рассматривать результаты реализации всех прямых угроз безопасности информации, которые возможно реализовать в случае реализации данной косвенной угрозы.<br /> <br /> Результат реализации угрозы безопасности информации определяется воздействием угрозы на каждое свойство безопасности информации (конфиденциальность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна, иные установленные законодательством Российской Федерации виды информации) воздействие на конфиденциальность, целостность, доступность определяется отдельно для каждого вида информации (k, …, m), содержащейся в информационной системе.<br /> <br /> ===Таблица 5===<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> <br /> При определении степени возможного ущерба необходимо исходить из того, что в зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, целостность или доступность каждого вида информации, содержащейся в информационной системе, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба.<br /> <br /> Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности информации, приведены в таблице 6.<br /> <br /> ===Таблица 6===<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> <br /> Указанные виды ущерба могут дополняться другими видами в зависимости от целей и задач, решаемых информационной системой, а также вида обрабатываемой в ней информации.<br /> <br /> Степень возможного ущерба от реализации угрозы безопасности информации определяется степенью негативных последствий от нарушения конфиденциальности, целостности или доступности каждого вида информации, содержащейся в информационной системе.<br /> <br /> Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значения «незначительные», «умеренные» и «существенные» негативные последствия. Каждым оператором определяется в указанной единой шкале измерений степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации применительно ко всем целям и задачам, решаемым информационной системой.<br /> <br /> Степень возможного ущерба определяется экспертным методом в соответствии с таблицей 7.<br /> <br /> ===Таблица 7===<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна и иные установленные законодательством Российской Федерации виды информации) степень возможного ущерба определяется отдельно для каждого вида информации (k, …, m), обрабатываемой в информационной системе, применительно к каждому виду ущерба. Итоговая степень возможного ущерба устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации применительно к каждому виду ущерба.<br /> <br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> <br /> ==в) определение актуальности угрозы безопасности информации==<br /> <br /> Решение об актуальности угрозы безопасности информации УБИj А для информационной системы с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с таблицей 8.<br /> <br /> ===Таблица 8===<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> <br /> =Приложение № 1= <br /> к Методике определения угроз безопасности информации в информационных системах <br /> <br /> '''Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации'''<br /> <br /> Качественное формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов и предположений при определении угроз может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате реализации угрозы безопасности информации. Завышение экспертами прогнозов и предположений при определении угроз может повлечь за собой неоправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> <br /> Независимо от результата формирования экспертной группы при оценке угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений человеком. Это также может приводить как к занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов и предположений при определении угроз безопасности информации, что в свою очередь может привести к пропуску отдельных угроз безопасности информации или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> <br /> Любое решение, принимаемое экспертами при определении угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принципа «гарантированности»).<br /> <br /> ==а) формирование экспертной группы==<br /> <br /> В состав экспертной группы для определения угроз безопасности информации рекомендуется включать экспертов (независимо от того, реализуются ли функции обладателя информации, заказчика и оператора в рамках одной или нескольких организаций):<br /> *от подразделений обладателей информации, содержащейся в информационной системе;<br /> *от подразделений оператора информационной системы;<br /> *от подразделения по защите информации;<br /> *от лиц, предоставляющих услуги по обработке информации;<br /> *от разработчика информационной системы;<br /> *от операторов взаимодействующих внешних информационных систем (по согласованию).<br /> <br /> В качестве экспертов рекомендуется привлекать специалистов, деятельность которых связана с обработкой информации в информационной системе, а также специалистов, имеющие квалификацию и опыт работы в области применения информационных технологий и (или) в области защиты информации.<br /> <br /> При привлечении в качестве экспертов специалистов от подразделений по защите информации рекомендуется привлекать лиц, имеющих высшее образование или прошедших переподготовку (повышение квалификации) по направлению подготовки «Информационная безопасность», или имеющих не менее трех лет стажа практической работы в своей сфере деятельности.<br /> <br /> Эксперты должны обладать независимостью, основанной на отсутствии коммерческого и финансового интереса или другого давления, которое может оказать влияние на принимаемые решения. Не рекомендуется формировать экспертную группу из участников, находящихся в прямом подчинении, так как это может негативным образом повлиять на результат определения угроз безопасности информации.<br /> <br /> Состав экспертной группы зависит от целей и задач информационной системы, но не должен быть меньше трех экспертов.<br /> <br /> ==б) проведение экспертной оценки==<br /> <br /> При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.<br /> <br /> Экспертную оценку рекомендуется проводить в отношении, как минимум, следующих параметров:<br /> *цели реализации угроз безопасности информации (мотивация нарушителей);<br /> *типы и виды нарушителей;<br /> *уязвимости, которые могут быть использованы для реализации угроз безопасности информации;<br /> *способы реализации угроз безопасности информации;<br /> *степень воздействия угрозы безопасности информации на каждое из свойств безопасности информации;<br /> *последствия от реализации угроз безопасности информации;<br /> *вероятность реализации угроз безопасности информации;<br /> *уровень защищенности информационной системы;<br /> *потенциал нарушителя, требуемый для реализации угрозы безопасности информации (в случае отсутствия потенциала в банке данных угроз безопасности информации).<br /> <br /> Оценку параметров рекомендуется проводить опросным методом с составлением анкеты, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений («низкий», «средний», «высокий» или «да», «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно трактуемыми, предполагать однозначные ответы.<br /> <br /> Опрос экспертов включает следующие этапы:<br /> *каждый эксперт проводит оценку оцениваемого параметра (рекомендуется не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> *после оценки каждым из экспертов отбрасываются минимальные и максимальные значения;<br /> *определяется среднее значение оцениваемого параметра в каждом раунде;<br /> *определяется итоговое среднее значение оцениваемого параметра.<br /> <br /> ===Пример таблицы результатов оценки параметров===<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> <br /> =Приложение № 2= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=119 2015-10-02T08:50:56Z

<p>Hunter po: /* ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.<br /> <br /> Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью (разделом) модели угроз безопасности информации и содержит:<br /> *типы, виды и потенциал нарушителей, которые могут обеспечить реализацию угроз безопасности информации;<br /> *цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;<br /> *возможные способы реализации угроз безопасности информации.<br /> ==а) типы нарушителей==<br /> Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> В зависимости от имеющихся прав доступа нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) содержащейся в них информации или не иметь такого доступа.<br /> <br /> Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы:<br /> *устройств ввода/вывода (отображения) информации;<br /> *беспроводных устройств;<br /> *программных, программно-технических и технических средств обработки информации;<br /> *съемных машинных носителей информации;<br /> *машинных носителей информации, выведенных из эксплуатации;<br /> *активного (коммутационного) и пассивного оборудования каналов связи;<br /> *каналов связи, выходящих за пределы контролируемой зоны.<br /> <br /> С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:<br /> * внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;<br /> * внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.<br /> <br /> Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по допуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц.<br /> <br /> Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внешним информационно-телекоммуникационным сетям и (или) имеются линии связи, выходящие за пределы контролируемой зоны, используемые для иных подключений.<br /> <br /> ==б) виды и потенциал нарушителей==<br /> <br /> Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей:<br /> *специальные службы иностранных государств (блоков государств);<br /> *террористические, экстремистские группировки;<br /> *преступные группы (криминальные структуры);<br /> *внешние субъекты (физические лица);<br /> *конкурирующие организации;<br /> *разработчики, производители, поставщики программных, технических и программно-технических средств;<br /> *лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ;<br /> *лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.);<br /> *пользователи информационной системы;<br /> *администраторы информационной системы и администраторы безопасности;<br /> *бывшие работники (пользователи).<br /> <br /> Виды нарушителей, характерных для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нарушителями.<br /> <br /> В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть:<br /> * нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;<br /> * реализация угроз безопасности информации по идеологическим или политическим мотивам;<br /> * организация террористического акта;<br /> * причинение имущественного ущерба путем мошенничества или иным преступным путем;<br /> * дискредитация или дестабилизация деятельности органов государственной власти, организаций;<br /> * получение конкурентных преимуществ;<br /> * внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки;<br /> * любопытство или желание самореализации;<br /> * выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;<br /> * реализация угроз безопасности информации из мести;<br /> * реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий.<br /> <br /> Предположения о целях (мотивации) нарушителей делаются с учетом целей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопасности информации приведены в таблице 1.<br /> <br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> <br /> При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.<br /> <br /> Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> В зависимости от потенциала, требуемого для реализации угроз безопасности информации, нарушители подразделяются на:<br /> *нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих высоким потенциалом нападения при реализации угроз безопасности информации в информационной системе.<br /> <br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> <br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> <br /> ==в) возможные способы реализации угроз безопасности информации==<br /> <br /> Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности информации.<br /> <br /> Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> Угрозы безопасности информации могут быть реализованы нарушителями за счет:<br /> *несанкционированного доступа и (или) воздействия на объекты на аппаратном уровне (программы (микропрограммы), «прошитые» в аппаратных компонентах (чипсетах));<br /> *несанкционированного доступа и (или) воздействия на объекты на общесистемном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы);<br /> *несанкционированного доступа и (или) воздействия на объекты на прикладном уровне (системы управления базами данных, браузеры, web-приложения, иные прикладные программы общего и специального назначения);<br /> *несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> *несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации;<br /> *воздействия на пользователей, администраторов безопасности, администраторов информационной системы или обслуживающий персонал (социальная инженерия).<br /> <br /> Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использование уязвимостей в микропрограммном, общесистемном и прикладном программном обеспечении, сетевом оборудовании, применяемых в информационной системе, а также в организации работ по защите информации и конфигурации информационной системы.<br /> <br /> При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть реализованы непосредственно за счет доступа к компонентам информационной системы и (или) информации или опосредовано (косвенно) за счет создания условий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отвечает. При этом локальной целью нарушителя, не имеющего доступа (прав доступа) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе.<br /> <br /> Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасности информации).<br /> <br /> Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации.<br /> <br /> Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функционирования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные.<br /> <br /> Нецеленаправленная («веерная») угроза безопасности информации не ориентирована на конкретную информационную систему. Целями такой угрозы могут являться несанкционированный доступ, перехват управления или воздействие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характеристики и условия функционирования информационной системы.<br /> <br /> Реализация преднамеренных угроз безопасности информации, как правило, включает:<br /> *сбор информации об информационной системе, ее структурно-функциональных характеристиках, условиях функционирования;<br /> *выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и условиями функционирования;<br /> *непосредственная реализация угроз безопасности информации в информационной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий);<br /> *устранение признаков и следов неправомерных действий в информационной системе.<br /> <br /> В зависимости от целей и потенциала нарушителя на каждом из этапов могут эксплуатироваться одна или несколько уязвимостей информационной системы.<br /> <br /> При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий:<br /> *нарушитель может действовать один или в составе группы нарушителей;<br /> *в отношении информационной системы внешний нарушитель может действовать совместно с внутренним нарушителем;<br /> *угрозы могут быть реализованы в любое время и в любой точке информационной системы (на любом узле или хосте);<br /> *для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы.<br /> <br /> Возможные способы реализации угроз безопасности информации, определенные на основе настоящего раздела, включаются в модель угроз безопасности информации.<br /> <br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> <br /> Угроза безопасности информации является актуальной (УБИj А ), если для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования существует вероятность реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> В качестве показателя актуальности угрозы безопасности информации (УБИj А ) принимается двухкомпонентный вектор, первый компонент которого характеризует вероятность реализации угрозы (Рj), а второй – степень возможного ущерба в случае ее реализации (Хj)<br /> <br /> УБИj А = [вероятность реализации угрозы (Рj); степень ущерба (Хj)], где Рj определятся на основе анализа статистических данных о частоте реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, а Хj определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной системе и (или) однотипных информационных системах, актуальность угрозы безопасности информации определяется на основе оценки возможности реализации угрозы безопасности информации (Yj) УБИj А = [возможность реализации угрозы (Yj); степень ущерба (Хj)], где Yj определятся на основе оценки уровня защищенности информационной системы и потенциала нарушителя, требуемого для реализации угрозы безопасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что:<br /> *возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации;<br /> *в информационной системе могут иметься потенциальные уязвимости, которые могут быть использованы при реализации j-ой угрозы безопасности информации;<br /> *структурно-функциональные характеристики и особенности функционирования информационной системы не исключают возможности применения способов, необходимых для реализации j-ой угрозы безопасности информации (существует сценарий реализации угрозы безопасности);<br /> *реализация угрозы безопасности информации приведет к нарушению конфиденциальности, целостности или доступности информации, в результате которого возможно возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве исходных данных об угрозах безопасности информации и их характеристиках используется банк данных угроз безопасности информации, сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые модели угроз безопасности информации, разрабатываемые ФСТЭК России для различных классов и типов информационных систем.<br /> <br /> Для определения угроз безопасности информации могут использоваться иные источники, в том числе опубликованные в общедоступных источниках данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по выявлению угроз безопасности информации. В этом случае потенциал нарушителя, возможные уязвимости, способы реализации угрозы безопасности информации и последствия от ее реализации определяются для каждой угрозы безопасности информации.<br /> ==а) оценка вероятности (возможности) реализации угрозы безопасности информации==<br /> <br /> Под вероятностью реализации угрозы безопасности информации понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация j-ой угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования. Вводятся три вербальные градации этого показателя:<br /> *низкая вероятность – отсутствуют объективные предпосылки к реализации j-ой угрозы безопасности информации, отсутствует требуемая статистика по фактам реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности), отсутствует мотивация для реализации j-ой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> *средняя вероятность – существуют предпосылки к реализации j-ой угрозы безопасности информации, зафиксированы случаи реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на возможность реализации j-ой угрозы безопасности информации, существуют признаки наличия у нарушителя мотивации для реализации такой угрозы, возможная частота реализации j-ой угрозы не превышает 1 раза в год;<br /> *высокая вероятность – существуют объективные предпосылки к реализации j-ой угрозы безопасности информации, существует достоверная статистика реализации j-ой угрозы безопасности информации (возникновения инцидентов безопасности) или имеется иная информация, указывающая на высокую возможность реализации j-ой угрозы безопасности информации, у нарушителя имеются мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 раза в год.<br /> <br /> В случае отсутствия требуемых данных для оценки вероятности реализации угрозы безопасности информации или наличия сомнений в объективности экспертных оценок при определении вербальных градаций вероятности реализации угроз безопасности информации, актуальность j-ой угрозы безопасности информации определяется на основе оценки возможности ее реализации (Yj).<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оценивается исходя из уровня защищенности информационной системы (Y1) и потенциала нарушителя (Y2), необходимого для реализации этой угрозы безопасности информации в информационной системе с заданными структурнофункциональными характеристиками и особенностями функционирования:<br /> *Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> <br /> При определении угроз безопасности информации на этапе создания информационной системы в случае, когда меры защиты информации не реализованы или не проведена оценка их достаточности и эффективности, оценка возможности реализации j-ой угрозы безопасности информации (Yj) проводится относительно уровня проектной защищенности информационной системы (Y1П):<br /> *Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> <br /> Под уровнем проектной защищенности (Y1П) понимается исходная защищенность информационной системы, обусловленная заданными при проектировании структурно-функциональными характеристиками и условиями ее функционирования. Уровень проектной защищенности (Y1П) определяется на основе анализа проектных структурно-функциональных характеристик, приведенных в таблице 3.<br /> <br /> Показатели, характеризующие проектную защищенность информационной системы <br /> <br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> <br /> В ходе создания информационной системы уровень ее проектной защищенности (Y1П) определяется следующим образом:<br /> *а) информационная система имеет высокий уровень проектной защищенности (Y1П), если не менее 80% характеристик информационной системы соответствуют уровню «высокий» (суммируются положительные решения по второму столбцу, соответствующему высокому уровню защищенности), а остальные - среднему уровню защищенности (положительные решения по третьему столбцу);<br /> *б) информационная система имеет средний уровень проектной защищенности (Y1П), если не выполняются условия по пункту а) и не менее 90% характеристик информационной системы соответствуют уровню не ниже «средний» (берется отношение суммы положительных решений по третьему столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные - низкому уровню защищенности;<br /> *в) информационная система имеет низкий уровень проектной защищенности (Y1П), если не выполняются условия по пунктам а) и б).<br /> <br /> В соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, до ввода в эксплуатацию информационной системы должны быть реализованы меры защиты информации, направленные на блокирование (нейтрализацию) актуальных угроз безопасности информации. Таким образом, ввод в эксплуатацию информационной системы осуществляется при условии достижения высокого уровня исходной защищенности информационной системы от нарушителя с заданным потенциалом.<br /> <br /> Вместе с тем, в ходе эксплуатации информационной системы возможно появление новых уязвимостей, повышение потенциала нарушителя, изменение структурно-функциональных характеристик, значимости обрабатываемой информации, особенностей функционирования информационной системы и других условий, приводящих к возникновению новых угроз безопасности информации, которые могут существенно снизить уровень проектной защищенности информационной системы. В этом случае для поддержания уровня защищенности информационной системы в ходе эксплуатации должен проводиться регулярный анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке.<br /> <br /> В ходе эксплуатации информационной системы уровень ее защищенности (Y1) определяется следующим образом:<br /> *а) в информационной системе обеспечивается высокий уровень защищенности (Y1), если в ходе эксплуатации информационной системы не появились дополнительные угрозы безопасности информации или в отношении появившихся дополнительных угроз безопасности информации с высокой оперативностью («за минуты») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *б) в информационной системе обеспечивается средний уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них оперативно («за часы») могут быть приняты меры защиты информации, нейтрализующие эти угрозы;<br /> *в) в информационной системе обеспечивается низкий уровень защищенности (Y1), если в ходе эксплуатации информационной системы появились дополнительные угрозы безопасности информации и в отношении них не могут быть с высокой оперативностью или оперативно приняты меры защиты информации, нейтрализующие эти угрозы.<br /> <br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопасности информации, может быть базовым (низким), базовым повышенным (средним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы безопасности информации определяется на основе данных, приведенных в банке данных угроз безопасности информации ФСТЭК России, а также в базовых и типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК России для информационных систем различных классов и типов. В случае отсутствия информации о потенциале нарушителя для реализации j-ой угрозы безопасности значение потенциала (Y2) определяется в соответствии с приложением № 3 к настоящей Методике.<br /> <br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в зависимости от уровня защищенности информационной системы (Y1/Y1П) и потенциала нарушителя (Y2) определяется как высокая, средняя или низкая в соответствии с таблицей 4.<br /> <br /> ===Возможность реализации угрозы безопасности информации Таблица 4===<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> <br /> ==б) оценка степени возможного ущерба от реализации угрозы безопасности информации==<br /> <br /> Для оценки степени возможного ущерба от реализации угрозы безопасности информации определяются возможный результат реализации угрозы безопасности информации в информационной системе, вид ущерба, к которому может привести реализация угрозы безопасности информации, степень последствий от реализации угрозы безопасности информации для каждого вида ущерба.<br /> <br /> В качестве результата реализации угрозы безопасности информации рассматриваются непосредственное или опосредованное воздействие на конфиденциальность, целостность, доступность информации, содержащейся в информационной системе.<br /> <br /> Непосредственное воздействие на конфиденциальность, целостность, доступность информации возможно в результате реализации прямой угрозы безопасности информации. В этом случае объектами воздействия угрозы являются непосредственно информация и (или) иные объекты защиты информационной системы или обеспечивающей инфраструктуры, которые обеспечивают получение, обработку, хранение, передачу, уничтожение информации в информационной системе, в результате доступа к которым или воздействия на которые возможно воздействие на конфиденциальность, целостность или доступность информации.<br /> <br /> Опосредованное воздействие на конфиденциальность, целостность, доступность информации рассматривается в результате реализации косвенных угроз безопасности информации. Реализация косвенных угроз безопасности информации не приводит непосредственно к воздействию на конфиденциальность, целостность, доступность информации, но создает условия для реализации одной или нескольких прямых угроз безопасности информации, позволяющих реализовать такое воздействие. В этом случае в качестве результата реализации косвенной угрозы необходимо рассматривать результаты реализации всех прямых угроз безопасности информации, которые возможно реализовать в случае реализации данной косвенной угрозы.<br /> <br /> Результат реализации угрозы безопасности информации определяется воздействием угрозы на каждое свойство безопасности информации (конфиденциальность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна, иные установленные законодательством Российской Федерации виды информации) воздействие на конфиденциальность, целостность, доступность определяется отдельно для каждого вида информации (k, …, m), содержащейся в информационной системе.<br /> <br /> ===Таблица 5===<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> <br /> При определении степени возможного ущерба необходимо исходить из того, что в зависимости от целей и задач, решаемых информационной системой, видов обрабатываемой информации, воздействие на конфиденциальность, целостность или доступность каждого вида информации, содержащейся в информационной системе, может привести к различным видам ущерба. При этом для разных обладателей информации и операторов будут характерны разные виды ущерба.<br /> <br /> Основные виды ущерба и возможные негативные последствия, к которым может привести нарушение конфиденциальности, целостности, доступности информации, приведены в таблице 6.<br /> <br /> ===Таблица 6===<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> <br /> Указанные виды ущерба могут дополняться другими видами в зависимости от целей и задач, решаемых информационной системой, а также вида обрабатываемой в ней информации.<br /> <br /> Степень возможного ущерба от реализации угрозы безопасности информации определяется степенью негативных последствий от нарушения конфиденциальности, целостности или доступности каждого вида информации, содержащейся в информационной системе.<br /> <br /> Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значения «незначительные», «умеренные» и «существенные» негативные последствия. Каждым оператором определяется в указанной единой шкале измерений степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации применительно ко всем целям и задачам, решаемым информационной системой.<br /> <br /> Степень возможного ущерба определяется экспертным методом в соответствии с таблицей 7.<br /> <br /> ===Таблица 7===<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> <br /> При обработке в информационной системе двух и более видов информации (служебная тайна, персональные данные, налоговая тайна и иные установленные законодательством Российской Федерации виды информации) степень возможного ущерба определяется отдельно для каждого вида информации (k, …, m), обрабатываемой в информационной системе, применительно к каждому виду ущерба. Итоговая степень возможного ущерба устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации применительно к каждому виду ущерба.<br /> <br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> <br /> ==в) определение актуальности угрозы безопасности информации==<br /> <br /> Решение об актуальности угрозы безопасности информации УБИj А для информационной системы с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с таблицей 8.<br /> <br /> ===Таблица 8===<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> <br /> =Приложение № 1= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> =Приложение № 2= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=118 2015-10-02T08:37:39Z

<p>Hunter po: /* ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.<br /> <br /> Результаты оценки возможностей нарушителей включаются в модель нарушителя, которая является составной частью (разделом) модели угроз безопасности информации и содержит:<br /> *типы, виды и потенциал нарушителей, которые могут обеспечить реализацию угроз безопасности информации;<br /> *цели, которые могут преследовать нарушители каждого вида при реализации угроз безопасности информации;<br /> *возможные способы реализации угроз безопасности информации.<br /> ==а) типы нарушителей==<br /> Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информационной системы исходя из структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> В зависимости от имеющихся прав доступа нарушители могут иметь легитимный физический (непосредственный) и (или) логический доступ к компонентам информационной системы и (или) содержащейся в них информации или не иметь такого доступа.<br /> <br /> Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы:<br /> *устройств ввода/вывода (отображения) информации;<br /> *беспроводных устройств;<br /> *программных, программно-технических и технических средств обработки информации;<br /> *съемных машинных носителей информации;<br /> *машинных носителей информации, выведенных из эксплуатации;<br /> *активного (коммутационного) и пассивного оборудования каналов связи;<br /> *каналов связи, выходящих за пределы контролируемой зоны.<br /> <br /> С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:<br /> * внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;<br /> * внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.<br /> <br /> Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по допуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц.<br /> <br /> Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внешним информационно-телекоммуникационным сетям и (или) имеются линии связи, выходящие за пределы контролируемой зоны, используемые для иных подключений.<br /> <br /> ==б) виды и потенциал нарушителей==<br /> <br /> Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей:<br /> *специальные службы иностранных государств (блоков государств);<br /> *террористические, экстремистские группировки;<br /> *преступные группы (криминальные структуры);<br /> *внешние субъекты (физические лица);<br /> *конкурирующие организации;<br /> *разработчики, производители, поставщики программных, технических и программно-технических средств;<br /> *лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ;<br /> *лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.);<br /> *пользователи информационной системы;<br /> *администраторы информационной системы и администраторы безопасности;<br /> *бывшие работники (пользователи).<br /> <br /> Виды нарушителей, характерных для информационной системы с заданными структурно-функциональными характеристиками и особенностями функционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нарушителями.<br /> <br /> В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть:<br /> * нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;<br /> * реализация угроз безопасности информации по идеологическим или политическим мотивам;<br /> * организация террористического акта;<br /> * причинение имущественного ущерба путем мошенничества или иным преступным путем;<br /> * дискредитация или дестабилизация деятельности органов государственной власти, организаций;<br /> * получение конкурентных преимуществ;<br /> * внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки;<br /> * любопытство или желание самореализации;<br /> * выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды;<br /> * реализация угроз безопасности информации из мести;<br /> * реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий.<br /> <br /> Предположения о целях (мотивации) нарушителей делаются с учетом целей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации.<br /> <br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопасности информации приведены в таблице 1.<br /> <br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> <br /> При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объединению.<br /> <br /> Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя определяется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования.<br /> <br /> В зависимости от потенциала, требуемого для реализации угроз безопасности информации, нарушители подразделяются на:<br /> *нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе;<br /> *нарушителей, обладающих высоким потенциалом нападения при реализации угроз безопасности информации в информационной системе.<br /> <br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> <br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> <br /> ==в) возможные способы реализации угроз безопасности информации==<br /> <br /> Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности информации.<br /> <br /> Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирования информационной системы.<br /> <br /> Угрозы безопасности информации могут быть реализованы нарушителями за счет:<br /> *несанкционированного доступа и (или) воздействия на объекты на аппаратном уровне (программы (микропрограммы), «прошитые» в аппаратных компонентах (чипсетах));<br /> *несанкционированного доступа и (или) воздействия на объекты на общесистемном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы);<br /> *несанкционированного доступа и (или) воздействия на объекты на прикладном уровне (системы управления базами данных, браузеры, web-приложения, иные прикладные программы общего и специального назначения);<br /> *несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> *несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации;<br /> *воздействия на пользователей, администраторов безопасности, администраторов информационной системы или обслуживающий персонал (социальная инженерия).<br /> <br /> Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использование уязвимостей в микропрограммном, общесистемном и прикладном программном обеспечении, сетевом оборудовании, применяемых в информационной системе, а также в организации работ по защите информации и конфигурации информационной системы.<br /> <br /> При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть реализованы непосредственно за счет доступа к компонентам информационной системы и (или) информации или опосредовано (косвенно) за счет создания условий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отвечает. При этом локальной целью нарушителя, не имеющего доступа (прав доступа) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе.<br /> <br /> Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасности информации).<br /> <br /> Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации.<br /> <br /> Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функционирования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные.<br /> <br /> Нецеленаправленная («веерная») угроза безопасности информации не ориентирована на конкретную информационную систему. Целями такой угрозы могут являться несанкционированный доступ, перехват управления или воздействие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характеристики и условия функционирования информационной системы.<br /> <br /> Реализация преднамеренных угроз безопасности информации, как правило, включает:<br /> *сбор информации об информационной системе, ее структурно-функциональных характеристиках, условиях функционирования;<br /> *выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и условиями функционирования;<br /> *непосредственная реализация угроз безопасности информации в информационной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий);<br /> *устранение признаков и следов неправомерных действий в информационной системе.<br /> <br /> В зависимости от целей и потенциала нарушителя на каждом из этапов могут эксплуатироваться одна или несколько уязвимостей информационной системы.<br /> <br /> При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий:<br /> *нарушитель может действовать один или в составе группы нарушителей;<br /> *в отношении информационной системы внешний нарушитель может действовать совместно с внутренним нарушителем;<br /> *угрозы могут быть реализованы в любое время и в любой точке информационной системы (на любом узле или хосте);<br /> *для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы.<br /> <br /> Возможные способы реализации угроз безопасности информации, определенные на основе настоящего раздела, включаются в модель угроз безопасности информации.<br /> <br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> Угроза безопасности информации является актуальной (УБИj<br /> А<br /> ), если для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и особенностями функционирования существует вероятность реали-<br /> зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и<br /> ее реализация приведет к неприемлемым негативным последствиям (ущербу) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> В качестве показателя актуальности угрозы безопасности информации<br /> (УБИj<br /> А<br /> ) принимается двухкомпонентный вектор, первый компонент которого<br /> характеризует вероятность реализации угрозы (Рj), а второй – степень возможно-<br /> го ущерба в случае ее реализации (Хj)<br /> УБИj<br /> А<br /> = [вероятность реализации угрозы (Рj); степень ущерба (Хj)],<br /> где Рj определятся на основе анализа статистических данных о частоте ре-<br /> ализации угроз безопасности информации (возникновении инцидентов безопас-<br /> ности) в информационной системе и (или) однотипных информационных систе-<br /> мах, а Хj определяется на основе оценок степени последствий от нарушения<br /> конфиденциальности, целостности или доступности информации.<br /> При отсутствии статистических данных о реализации угроз безопасности<br /> информации (возникновении инцидентов безопасности) в информационной си-<br /> стеме и (или) однотипных информационных системах, актуальность угрозы без-<br /> опасности информации определяется на основе оценки возможности реализации<br /> угрозы безопасности информации (Yj)<br /> УБИj<br /> А<br /> = [возможность реализации угрозы (Yj); степень ущерба (Хj)],<br /> где Yj определятся на основе оценки уровня защищенности информацион-<br /> ной системы и потенциала нарушителя, требуемого для реализации угрозы без-<br /> опасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Актуальность угроз безопасности информации определяется в отношении<br /> угроз, для которых экспертным методом определено, что:<br /> возможности (потенциал) нарушителя достаточны для реализации угрозы<br /> безопасности информации;<br /> в информационной системе могут иметься потенциальные уязвимости, ко-<br /> торые могут быть использованы при реализации j-ой угрозы безопасности ин-<br /> формации;<br /> структурно-функциональные характеристики и особенности функциони-<br /> рования информационной системы не исключают возможности применения спо-<br /> собов, необходимых для реализации j-ой угрозы безопасности информации (су-<br /> ществует сценарий реализации угрозы безопасности);<br /> 21<br /> реализация угрозы безопасности информации приведет к нарушению кон-<br /> фиденциальности, целостности или доступности информации, в результате ко-<br /> торого возможно возникновение неприемлемых негативных последствий (ущер-<br /> ба).<br /> В качестве исходных данных об угрозах безопасности информации и их<br /> характеристиках используется банк данных угроз безопасности информации,<br /> сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые<br /> модели угроз безопасности информации, разрабатываемые ФСТЭК России для<br /> различных классов и типов информационных систем.<br /> Для определения угроз безопасности информации могут использоваться<br /> иные источники, в том числе опубликованные в общедоступных источниках<br /> данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по вы-<br /> явлению угроз безопасности информации. В этом случае потенциал нарушителя,<br /> возможные уязвимости, способы реализации угрозы безопасности информации и<br /> последствия от ее реализации определяются для каждой угрозы безопасности<br /> информации.<br /> а) оценка вероятности (возможности) реализации угрозы безопасности<br /> информации<br /> Под вероятностью реализации угрозы безопасности информации понима-<br /> ется определяемый экспертным путем показатель, характеризующий, насколько<br /> вероятным является реализация j-ой угрозы безопасности информации в инфор-<br /> мационной системе с заданными структурно-функциональными характеристи-<br /> ками и особенностями функционирования. Вводятся три вербальные градации<br /> этого показателя:<br /> низкая вероятность – отсутствуют объективные предпосылки к реализации<br /> j-ой угрозы безопасности информации, отсутствует требуемая статистика по<br /> фактам реализации j-ой угрозы безопасности информации (возникновения инци-<br /> дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз-<br /> можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> средняя вероятность – существуют предпосылки к реализации j-ой угрозы<br /> безопасности информации, зафиксированы случаи реализации j-ой угрозы без-<br /> опасности информации (возникновения инцидентов безопасности) или имеется<br /> иная информация, указывающая на возможность реализации j-ой угрозы без-<br /> опасности информации, существуют признаки наличия у нарушителя мотивации<br /> для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре-<br /> вышает 1 раза в год;<br /> высокая вероятность – существуют объективные предпосылки к реализа-<br /> ции j-ой угрозы безопасности информации, существует достоверная статистика<br /> реализации j-ой угрозы безопасности информации (возникновения инцидентов<br /> безопасности) или имеется иная информация, указывающая на высокую возмож-<br /> ность реализации j-ой угрозы безопасности информации, у нарушителя имеются<br /> 22<br /> мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра-<br /> за в год.<br /> В случае отсутствия требуемых данных для оценки вероятности реализа-<br /> ции угрозы безопасности информации или наличия сомнений в объективности<br /> экспертных оценок при определении вербальных градаций вероятности реализа-<br /> ции угроз безопасности информации, актуальность j-ой угрозы безопасности<br /> информации определяется на основе оценки возможности ее реализации (Yj).<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оце-<br /> нивается исходя из уровня защищенности информационной системы (Y1) и по-<br /> тенциала нарушителя (Y2), необходимого для реализации этой угрозы безопас-<br /> ности информации в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования:<br /> Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> При определении угроз безопасности информации на этапе создания ин-<br /> формационной системы в случае, когда меры защиты информации не реализова-<br /> ны или не проведена оценка их достаточности и эффективности, оценка возмож-<br /> ности реализации j-ой угрозы безопасности информации (Yj) проводится относи-<br /> тельно уровня проектной защищенности информационной системы (Y1П):<br /> Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> Под уровнем проектной защищенности (Y1П) понимается исходная защи-<br /> щенность информационной системы, обусловленная заданными при проектиро-<br /> вании структурно-функциональными характеристиками и условиями ее функци-<br /> онирования. Уровень проектной защищенности (Y1П) определяется на основе<br /> анализа проектных структурно-функциональных характеристик, приведенных в<br /> таблице 3.<br /> Показатели, характеризующие проектную<br /> защищенность информационной системы<br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> В ходе создания информационной системы уровень ее проектной защи-<br /> щенности (Y1П) определяется следующим образом:<br /> а) информационная система имеет высокий уровень проектной защищен-<br /> ности (Y1П), если не менее 80% характеристик информационной системы соот-<br /> ветствуют уровню «высокий» (суммируются положительные решения по второ-<br /> му столбцу, соответствующему высокому уровню защищенности), а остальные -<br /> среднему уровню защищенности (положительные решения по третьему столб-<br /> цу);<br /> б) информационная система имеет средний уровень проектной защищен-<br /> ности (Y1П), если не выполняются условия по пункту а) и не менее 90% характе-<br /> ристик информационной системы соответствуют уровню не ниже «средний»<br /> (берется отношение суммы положительных решений по третьему столбцу, соот-<br /> ветствующему среднему уровню защищенности, к общему количеству решений),<br /> а остальные - низкому уровню защищенности;<br /> в) информационная система имеет низкий уровень проектной защищенно-<br /> сти (Y1П), если не выполняются условия по пунктам а) и б).<br /> В соответствии с требованиями о защите информации, не составляющей<br /> государственную тайну, содержащейся в государственных информационных си-<br /> стемах, до ввода в эксплуатацию информационной системы должны быть реали-<br /> зованы меры защиты информации, направленные на блокирование (нейтрализа-<br /> 25<br /> цию) актуальных угроз безопасности информации. Таким образом, ввод в экс-<br /> плуатацию информационной системы осуществляется при условии достижения<br /> высокого уровня исходной защищенности информационной системы от нару-<br /> шителя с заданным потенциалом.<br /> Вместе с тем, в ходе эксплуатации информационной системы возможно<br /> появление новых уязвимостей, повышение потенциала нарушителя, изменение<br /> структурно-функциональных характеристик, значимости обрабатываемой ин-<br /> формации, особенностей функционирования информационной системы и других<br /> условий, приводящих к возникновению новых угроз безопасности информации,<br /> которые могут существенно снизить уровень проектной защищенности инфор-<br /> мационной системы. В этом случае для поддержания уровня защищенности ин-<br /> формационной системы в ходе эксплуатации должен проводиться регулярный<br /> анализ изменения угроз безопасности информации, а актуальные угрозы без-<br /> опасности информации подлежат периодической переоценке.<br /> В ходе эксплуатации информационной системы уровень ее защищенности<br /> (Y1) определяется следующим образом:<br /> а) в информационной системе обеспечивается высокий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы не появились<br /> дополнительные угрозы безопасности информации или в отношении появив-<br /> шихся дополнительных угроз безопасности информации с высокой оперативно-<br /> стью («за минуты») могут быть приняты меры защиты информации, нейтрали-<br /> зующие эти угрозы;<br /> б) в информационной системе обеспечивается средний уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них оперативно<br /> («за часы») могут быть приняты меры защиты информации, нейтрализующие эти<br /> угрозы;<br /> в) в информационной системе обеспечивается низкий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них не могут<br /> быть с высокой оперативностью или оперативно приняты меры защиты инфор-<br /> мации, нейтрализующие эти угрозы.<br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас-<br /> ности информации, может быть базовым (низким), базовым повышенным (сред-<br /> ним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы без-<br /> опасности информации определяется на основе данных, приведенных в банке<br /> данных угроз безопасности информации ФСТЭК России, а также в базовых и<br /> типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК<br /> России для информационных систем различных классов и типов. В случае отсут-<br /> ствия информации о потенциале нарушителя для реализации j-ой угрозы без-<br /> опасности значение потенциала (Y2) определяется в соответствии с приложением<br /> № 3 к настоящей Методике.<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в за-<br /> висимости от уровня защищенности информационной системы (Y1/Y1П) и потен-<br /> 26<br /> циала нарушителя (Y2) определяется как высокая, средняя или низкая в соответ-<br /> ствии с таблицей 4.<br /> Возможность<br /> реализации угрозы безопасности информации<br /> Таблица 4<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> б) оценка степени возможного ущерба от реализации угрозы безопас-<br /> ности информации<br /> Для оценки степени возможного ущерба от реализации угрозы безопасно-<br /> сти информации определяются возможный результат реализации угрозы без-<br /> опасности информации в информационной системе, вид ущерба, к которому мо-<br /> жет привести реализация угрозы безопасности информации, степень послед-<br /> ствий от реализации угрозы безопасности информации для каждого вида ущер-<br /> ба.<br /> В качестве результата реализации угрозы безопасности информации рас-<br /> сматриваются непосредственное или опосредованное воздействие на конфиден-<br /> циальность, целостность, доступность информации, содержащейся в информа-<br /> ционной системе.<br /> Непосредственное воздействие на конфиденциальность, целостность, до-<br /> ступность информации возможно в результате реализации прямой угрозы без-<br /> опасности информации. В этом случае объектами воздействия угрозы являются<br /> непосредственно информация и (или) иные объекты защиты информационной<br /> системы или обеспечивающей инфраструктуры, которые обеспечивают получе-<br /> ние, обработку, хранение, передачу, уничтожение информации в информацион-<br /> ной системе, в результате доступа к которым или воздействия на которые воз-<br /> можно воздействие на конфиденциальность, целостность или доступность ин-<br /> формации.<br /> Опосредованное воздействие на конфиденциальность, целостность, до-<br /> ступность информации рассматривается в результате реализации косвенных<br /> угроз безопасности информации. Реализация косвенных угроз безопасности ин-<br /> формации не приводит непосредственно к воздействию на конфиденциальность,<br /> целостность, доступность информации, но создает условия для реализации од-<br /> ной или нескольких прямых угроз безопасности информации, позволяющих реа-<br /> лизовать такое воздействие. В этом случае в качестве результата реализации<br /> косвенной угрозы необходимо рассматривать результаты реализации всех пря-<br /> 27<br /> мых угроз безопасности информации, которые возможно реализовать в случае<br /> реализации данной косвенной угрозы.<br /> Результат реализации угрозы безопасности информации определяется воз-<br /> действием угрозы на каждое свойство безопасности информации (конфиденци-<br /> альность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> При обработке в информационной системе двух и более видов информации<br /> (служебная тайна, персональные данные, налоговая тайна, иные установленные<br /> законодательством Российской Федерации виды информации) воздействие на<br /> конфиденциальность, целостность, доступность определяется отдельно для каж-<br /> дого вида информации (k, …, m), содержащейся в информационной системе.<br /> Таблица 5<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> При определении степени возможного ущерба необходимо исходить из то-<br /> го, что в зависимости от целей и задач, решаемых информационной системой,<br /> видов обрабатываемой информации, воздействие на конфиденциальность, це-<br /> лостность или доступность каждого вида информации, содержащейся в инфор-<br /> мационной системе, может привести к различным видам ущерба. При этом для<br /> разных обладателей информации и операторов будут характерны разные виды<br /> ущерба.<br /> Основные виды ущерба и возможные негативные последствия, к которым<br /> может привести нарушение конфиденциальности, целостности, доступности ин-<br /> формации, приведены в таблице 6.<br /> 28<br /> Таблица 6<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> 30<br /> Указанные виды ущерба могут дополняться другими видами в зависимо-<br /> сти от целей и задач, решаемых информационной системой, а также вида обра-<br /> батываемой в ней информации.<br /> Степень возможного ущерба от реализации угрозы безопасности инфор-<br /> мации определяется степенью негативных последствий от нарушения конфиден-<br /> циальности, целостности или доступности каждого вида информации, содержа-<br /> щейся в информационной системе.<br /> Степень негативных последствий от нарушения конфиденциальности, це-<br /> лостности или доступности информации определяется для каждого вида ущерба,<br /> зависит от целей и задач, решаемых информационной системой, и может иметь<br /> разные значения для разных обладателей информации и операторов. В качестве<br /> единой шкалы измерения степени негативных последствий принимаются значе-<br /> ния «незначительные», «умеренные» и «существенные» негативные послед-<br /> ствия. Каждым оператором определяется в указанной единой шкале измерений<br /> степень негативных последствий от нарушения конфиденциальности, целостно-<br /> сти или доступности информации применительно ко всем целям и задачам, ре-<br /> шаемым информационной системой.<br /> Степень возможного ущерба определяется экспертным методом в соответ-<br /> ствии с таблицей 7.<br /> Таблица 7<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> 31<br /> При обработке в информационной системе двух и более видов информа-<br /> ции (служебная тайна, персональные данные, налоговая тайна и иные установ-<br /> ленные законодательством Российской Федерации виды информации) степень<br /> возможного ущерба определяется отдельно для каждого вида информации<br /> (k, …, m), обрабатываемой в информационной системе, применительно к каждо-<br /> му виду ущерба. Итоговая степень возможного ущерба устанавливается по<br /> наивысшим значениям степени возможного ущерба, определенным для конфи-<br /> денциальности, целостности, доступности информации каждого вида информа-<br /> ции применительно к каждому виду ущерба.<br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> в) определение актуальности угрозы безопасности информации<br /> Решение об актуальности угрозы безопасности информации УБИj<br /> А<br /> для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и условиями функционирования принимается в соответствии с таб-<br /> лицей 8.<br /> Таблица 8<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> 32<br /> =Приложение № 1= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> =Приложение № 2= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=117 2015-10-02T08:26:58Z

<p>Hunter po: /* ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> <br /> Целью определения угроз безопасности информации является установление того, существует ли возможность нарушения конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и приведет ли нарушение хотя бы одного из указанных свойств безопасности информации к наступлению неприемлемых негативных последствий (ущерба) для обладателя информации или оператора, а в случае обработки персональных данных и для субъектов персональных данных.<br /> <br /> Определение угроз безопасности информации должно носить систематический характер и осуществляться как на этапе создания информационной системы и формирования требований по ее защите, так и в ходе эксплуатации информационной системы. Систематический подход к определению угроз безопасности информации необходим для того, чтобы определить потребности в конкретных требованиях к защите информации и создать адекватную эффективную систему защиты информации в информационной системе. Меры защиты информации, принимаемые обладателем информации и оператором, должны обеспечивать эффективное и своевременное выявление и блокирование (нейтрализацию) угроз безопасности информации, в результате реализации которых возможно наступление неприемлемых негативных последствий (ущерба).<br /> <br /> Систематический подход к определению угроз безопасности информации предусматривает реализацию непрерывного процесса, в рамках которого определяется область применения процесса определения угроз, идентифицируются источники угроз и угрозы безопасности информации, оценивается возможность реализации угроз безопасности информации и степень возможного ущерба в случае такой реализации, осуществляется мониторинг (периодический пересмотр) и переоценка угроз безопасности информации.<br /> <br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> <br /> Рекомендации по формированию экспертной группы и проведению экспертной оценки при определении угроз безопасности информации приведены в приложении № 1 к настоящей Методике.<br /> <br /> ==а) область применения процесса определения угроз безопасности информации==<br /> <br /> На этапах принятия решения о необходимости защиты информации в информационной системе и разработки требований к защите информации должны быть определены физические и логические границы информационной системы, в которых принимаются и контролируются меры защиты информации, за которые ответственен оператор, а также определены объекты защиты и сегменты информационной системы.<br /> <br /> Процесс определения угроз безопасности информации должен охватывать все объекты защиты и сегменты в логических и физических границах информационной системы, в которых оператором принимаются и контролируются меры защиты информации. Процесс определения угроз безопасности информации организуется подразделением оператора, назначенным ответственным за защиту информации в информационной системе. В случае, если информационная система имеет сегменты, эксплуатируемые разными подразделениями оператора, которые могут самостоятельно принимать и контролировать меры защиты информации, должны быть определены границы ответственности этих подразделений и порядок их взаимодействия в процессе определения угроз безопасности информации.<br /> <br /> Область применения процесса определения угроз безопасности информации отражается в модели угроз безопасности информации наряду с областью действия модели угроз, структурно-функциональными характеристиками информационной системы и особенностями ее функционирования.<br /> <br /> ==б) идентификация источников угроз и угроз безопасности информации==<br /> <br /> В обобщенном виде угрозы безопасности информации характеризуется источниками угроз, факторами, обуславливающими возможность реализации угроз, способами (методами) реализации угроз и последствиями от реализации угроз безопасности информации.<br /> <br /> Важным этапом в процессе определения угроз безопасности информации является идентификация лиц или событий (явлений), в результате действий (наступления, возникновения) которых возможно нарушение конфиденциальности, целостности или доступности информации, содержащейся в информационной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> <br /> В качестве источников угроз безопасности информации могут выступать субъекты (физические лица, организации, государства) или явления (техногенные аварии, стихийные бедствия, иные природные явления).<br /> <br /> Источники угроз безопасности информации являются определяющим фактором при определении угроз безопасности информации в информационных системах. В процессе определения угроз безопасности информации подлежат оценке те угрозы, у которых есть источники и источники имеют возможности и условия для реализации угроз безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями ее функционирования.<br /> <br /> Источники угроз безопасности информации могут быть следующих типов:<br /> *антропогенные источники (антропогенные угрозы);<br /> *техногенные источники (техногенные угрозы);<br /> *стихийные источники (угрозы стихийных бедствий, иных природных явлений).<br /> <br /> В качестве источников антропогенных угроз безопасности информации могут выступать:<br /> *лица, осуществляющие преднамеренные действия с целью доступа к информации (воздействия на информацию), содержащейся в информационной системе, или нарушения функционирования информационной системы или обслуживающей ее инфраструктуры (преднамеренные угрозы безопасности информации);<br /> *лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации (непреднамеренные угрозы безопасности информации).<br /> <br /> Для информационных систем, в которых целью защиты является обеспечение целостности и доступности обрабатываемой информации, в обязательном порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями в работе технических средств или программного обеспечения. Такие угрозы могут быть обусловлены:<br /> *низким качеством (надежностью) технических, программных или программно-технических средств;<br /> *низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> *отсутствием или низкой эффективностью систем резервирования или дублирования программно-технических и технических средств;<br /> *низким качеством (надежностью) инженерных систем (кондиционирования, электроснабжения, охранных систем и т.д.);<br /> *низким качеством обслуживания со стороны обслуживающих организаций и лиц.<br /> <br /> При определении угроз безопасности информации оценке подлежат угрозы, связанные со всеми типами источников. Однако в целях создания и эксплуатации адекватной эффективной системы защиты информации в информационной системе следует, в первую очередь, уделять внимание оценке антропогенных угроз, связанных с несанкционированными (неправомерными) действиями субъектов по нарушению безопасности (конфиденциальности, целостности, доступности) информации, в том числе целенаправленными воздействиями программными (программно-техническими) средствами на информационные системы, осуществляемые в целях нарушения (прекращения) их функционирования (компьютерные атаки).<br /> <br /> Также при определении угроз безопасности информации наряду с угрозами, реализация которых может привести непосредственно к нарушению конфиденциальности, целостности или доступности информации (прямыми угрозами), необходимо выявлять и оценивать угрозы, создающие условия для реализации прямых угроз безопасности информации (косвенные угрозы). В качестве косвенных угроз безопасности информации могут рассматриваться угрозы повышения привилегий, исчерпания вычислительных ресурсов, недоступности обновления программного обеспечения и иные угрозы безопасности информации.<br /> <br /> В процессе определения угроз безопасности информации на всех стадиях (этапах) жизненного цикла информационных систем необходимо регулярно проводить идентификацию источников угроз, оценивать их возможности и определять на этой основе угрозы безопасности информации. Данные о нарушителях и их возможностях по реализации угроз безопасности информации, полученные при идентификации источников угроз, включаются в модели угроз безопасности информации.<br /> <br /> Для идентификации угроз безопасности информации в информационной системе определяются:<br /> *возможности (тип, вид, потенциал) нарушителей, необходимые им для реализации угроз безопасности информации;<br /> *уязвимости, которые могут использоваться при реализации угроз безопасности информации (включая специально внедренные программные закладки);<br /> *способы (методы) реализации угроз безопасности информации;<br /> *объекты информационной системы, на которые направлена угроза безопасности информации (объекты воздействия);<br /> *результат и последствия от реализации угроз безопасности информации.<br /> <br /> Каждая угроза безопасности информации в информационной системе описывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угрозы; объекты воздействия; последствия от реализации угрозы].<br /> <br /> ==в) оценка вероятности (возможности) реализации угроз безопасности информации и степени возможного ущерба== <br /> Идентифицированная угроза безопасности информации подлежит нейтрализации (блокированию), если она является актуальной (УБИj А ) для информационной системы, то есть в информационной системе с заданными структурно функциональными характеристиками и особенностями функционирования существует вероятность (возможность) реализации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу): <br /> УБИj А = [вероятность (возможность) реализации угрозы (Рj); степень ущерба (Хj)].<br /> <br /> Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации. Модель угроз безопасности информации, учитывая особенности информационной системы, используемые в ней программные, программно-технические, технические средства и процессы обработки информации, дает описание угроз безопасности, которым подвержена информационная система. Структура модели угроз безопасности информации приведена в приложении № 2 к настоящей Методике.<br /> <br /> ==г) мониторинг и переоценка угроз безопасности информации==<br /> <br /> Определение угроз безопасности информации на этапе создания информационной системы позволяет обеспечить формирование требований и внедрение эффективной адекватной системы защиты информации в информационной системе для угроз, актуальных к моменту ввода в эксплуатацию информационной системы.<br /> <br /> В ходе эксплуатации информационной системы оператор, обеспечивая достижение целей и задач информационной системы, может изменять ее базовую конфигурацию, что приводит к изменению структурно-функциональных характеристик информационной системы и применяемых информационных технологий. Также в процессе эксплуатации возможно изменение состава и значимости обрабатываемой информации и особенностей функционирования информационной системы.<br /> <br /> В этих условиях процесс определения угроз безопасности информации должен носить систематический характер. В ходе эксплуатации информационной системы регулярно проводится анализ изменения угроз безопасности информации, а актуальные угрозы безопасности информации подлежат периодической переоценке. Периодичность переоценки определяется организацией исходя из особенностей функционирования информационной системы. Рекомендуется пересматривать угрозы безопасности информации не реже одного раза в год. По результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> <br /> Пересмотр (переоценка) угроз безопасности информации, как минимум, осуществляется в случаях:<br /> *изменения требований законодательства Российской Федерации о защите информации, нормативных правовых актов и методических документов, регламентирующих защиту информации;<br /> *изменения конфигурации (состава основных компонентов) и особенностей функционирования информационной системы, следствием которых стало возникновение новых угроз безопасности информации;<br /> *выявления уязвимостей, приводящих к возникновению новых угроз безопасности информации или к повышению возможности реализации существующих;<br /> *появления сведений и фактов о новых возможностях нарушителей.<br /> <br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасно-<br /> сти информации является формирование предположения о типах, видах наруши-<br /> телей, которые могут реализовать угрозы безопасности информации в информа-<br /> ционной системе с заданными структурно-функциональными характеристиками<br /> и особенностями функционирования, а также потенциале этих нарушителей и<br /> возможных способах реализации угроз безопасности информации.<br /> Результаты оценки возможностей нарушителей включаются в модель<br /> нарушителя, которая является составной частью (разделом) модели угроз без-<br /> опасности информации и содержит:<br /> типы, виды и потенциал нарушителей, которые могут обеспечить реализа-<br /> цию угроз безопасности информации;<br /> цели, которые могут преследовать нарушители каждого вида при реализа-<br /> ции угроз безопасности информации;<br /> возможные способы реализации угроз безопасности информации.<br /> а) типы нарушителей<br /> Типы нарушителей определяются по результатам анализа прав доступа<br /> субъектов к информации и (или) к компонентам информационной системы, а<br /> также анализа возможностей нарушителей по доступу к компонентам информа-<br /> ционной системы исходя из структурно-функциональных характеристик и осо-<br /> бенностей функционирования информационной системы.<br /> В зависимости от имеющихся прав доступа нарушители могут иметь леги-<br /> тимный физический (непосредственный) и (или) логический доступ к компонен-<br /> там информационной системы и (или) содержащейся в них информации или не<br /> иметь такого доступа.<br /> Анализ прав доступа проводится, как минимум, в отношении следующих<br /> компонент информационной системы:<br /> устройств ввода/вывода (отображения) информации;<br /> беспроводных устройств;<br /> программных, программно-технических и технических средств обработки<br /> информации;<br /> съемных машинных носителей информации;<br /> машинных носителей информации, выведенных из эксплуатации;<br /> активного (коммутационного) и пассивного оборудования каналов связи;<br /> каналов связи, выходящих за пределы контролируемой зоны.<br /> С учетом наличия прав доступа и возможностей по доступу к информации<br /> и (или) к компонентам информационной системы нарушители подразделяются<br /> на два типа:<br /> 11<br /> внешние нарушители (тип I) – лица, не имеющие права доступа к инфор-<br /> мационной системе, ее отдельным компонентам и реализующие угрозы безопас-<br /> ности информации из-за границ информационной системы;<br /> внутренние нарушители (тип II) – лица, имеющие право постоянного или<br /> разового доступа к информационной системе, ее отдельным компонентам.<br /> Наибольшими возможностями по реализации угроз безопасности обладают<br /> внутренние нарушители. При оценке возможностей внутренних нарушителей<br /> необходимо учитывать принимаемые оператором организационные меры по до-<br /> пуску субъектов к работе в информационной системе. Возможности внутреннего<br /> нарушителя существенным образом зависят от установленного порядка допуска<br /> физических лиц к информационной системе и ее компонентам, а также мер по<br /> контролю за доступом и работой этих лиц.<br /> Внешнего нарушителя необходимо рассматривать в качестве актуального<br /> во всех случаях, когда имеются подключения информационной системы к внеш-<br /> ним информационно-телекоммуникационным сетям и (или) имеются линии свя-<br /> зи, выходящие за пределы контролируемой зоны, используемые для иных под-<br /> ключений.<br /> б) виды и потенциал нарушителей<br /> Угрозы безопасности информации в информационной системе могут быть<br /> реализованы следующими видами нарушителей:<br /> специальные службы иностранных государств (блоков государств);<br /> террористические, экстремистские группировки;<br /> преступные группы (криминальные структуры);<br /> внешние субъекты (физические лица);<br /> конкурирующие организации;<br /> разработчики, производители, поставщики программных, технических и<br /> программно-технических средств;<br /> лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и<br /> иных видов работ;<br /> лица, обеспечивающие функционирование информационных систем или<br /> обслуживающие инфраструктуру оператора (администрация, охрана, уборщики<br /> и т.д.);<br /> пользователи информационной системы;<br /> администраторы информационной системы и администраторы безопасно-<br /> сти;<br /> бывшие работники (пользователи).<br /> Виды нарушителей, характерных для информационной системы с задан-<br /> ными структурно-функциональными характеристиками и особенностями функ-<br /> ционирования, определяются на основе предположений (прогноза) о возможных<br /> целях (мотивации) при реализации угроз безопасности информации этими нару-<br /> шителями.<br /> В качестве возможных целей (мотивации) реализации нарушителями угроз<br /> безопасности информации в информационной системе могут быть:<br /> 12<br /> нанесение ущерба государству, отдельным его сферам деятельности или<br /> секторам экономики;<br /> реализация угроз безопасности информации по идеологическим или поли-<br /> тическим мотивам;<br /> организация террористического акта;<br /> причинение имущественного ущерба путем мошенничества или иным пре-<br /> ступным путем;<br /> дискредитация или дестабилизация деятельности органов государственной<br /> власти, организаций;<br /> получение конкурентных преимуществ;<br /> внедрение дополнительных функциональных возможностей в программное<br /> обеспечение или программно-технические средства на этапе разработки;<br /> любопытство или желание самореализации;<br /> выявление уязвимостей с целью их дальнейшей продажи и получения фи-<br /> нансовой выгоды;<br /> реализация угроз безопасности информации из мести;<br /> реализация угроз безопасности информации непреднамеренно из-за не-<br /> осторожности или неквалифицированных действий.<br /> Предположения о целях (мотивации) нарушителей делаются с учетом це-<br /> лей и задач информационной системы, вида обрабатываемой информации, а<br /> также с учетом результатов оценки степени возможных последствий (ущерба) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопас-<br /> ности информации приведены в таблице 1.<br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> При оценке возможностей нарушителей необходимо исходить из условий,<br /> что для повышения своих возможностей нарушители 1 вида могут вступать в<br /> сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут всту-<br /> пать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут<br /> вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких<br /> предположений цели (мотивация) и возможности нарушителей подлежат объ-<br /> единению.<br /> Возможности каждого вида нарушителя по реализации угроз безопасности<br /> информации характеризуются его потенциалом. Потенциал нарушителя опреде-<br /> ляется компетентностью, ресурсами и мотивацией, требуемыми для реализации<br /> угроз безопасности информации в информационной системе с заданными струк-<br /> 15<br /> турно-функциональными характеристиками и особенностями функционирова-<br /> ния.<br /> В зависимости от потенциала, требуемого для реализации угроз безопас-<br /> ности информации, нарушители подразделяются на:<br /> нарушителей, обладающих базовым (низким) потенциалом нападения при<br /> реализации угроз безопасности информации в информационной системе;<br /> нарушителей, обладающих базовым повышенным (средним) потенциалом<br /> нападения при реализации угроз безопасности информации в информационной<br /> системе;<br /> нарушителей, обладающих высоким потенциалом нападения при реализа-<br /> ции угроз безопасности информации в информационной системе.<br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> в) возможные способы реализации угроз безопасности информации<br /> Целью определения возможных способов реализации угроз безопасности<br /> информации является формирование предположений о возможных сценариях<br /> реализации угроз безопасности информации, описывающих последовательность<br /> (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и<br /> применяемые ими методы и средства для реализации угроз безопасности инфор-<br /> мации.<br /> Возможные способы реализации угроз безопасности информации зависят<br /> от структурно-функциональных характеристик и особенностей функционирова-<br /> ния информационной системы.<br /> Угрозы безопасности информации могут быть реализованы нарушителями<br /> за счет:<br /> несанкционированного доступа и (или) воздействия на объекты на аппа-<br /> ратном уровне (программы (микропрограммы), «прошитые» в аппаратных ком-<br /> понентах (чипсетах));<br /> несанкционированного доступа и (или) воздействия на объекты на обще-<br /> системном уровне (базовые системы ввода-вывода, гипервизоры, операционные<br /> системы);<br /> несанкционированного доступа и (или) воздействия на объекты на при-<br /> кладном уровне (системы управления базами данных, браузеры, web-<br /> приложения, иные прикладные программы общего и специального назначения);<br /> несанкционированного доступа и (или) воздействия на объекты на сетевом<br /> уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> 18<br /> несанкционированного физического доступа и (или) воздействия на линии,<br /> (каналы) связи, технические средства, машинные носители информации;<br /> воздействия на пользователей, администраторов безопасности, админи-<br /> страторов информационной системы или обслуживающий персонал (социальная<br /> инженерия).<br /> Действия нарушителя в зависимости от его потенциала при реализации<br /> угроз безопасности информации предусматривают идентификацию и использо-<br /> вание уязвимостей в микропрограммном, общесистемном и прикладном про-<br /> граммном обеспечении, сетевом оборудовании, применяемых в информацион-<br /> ной системе, а также в организации работ по защите информации и конфигура-<br /> ции информационной системы.<br /> При определении способа реализации угроз безопасности информации<br /> необходимо учитывать то, что угрозы безопасности информации могут быть ре-<br /> ализованы непосредственно за счет доступа к компонентам информационной си-<br /> стемы и (или) информации или опосредовано (косвенно) за счет создания усло-<br /> вий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или<br /> воздействия на обслуживающую инфраструктуру, за которую оператор не отве-<br /> чает. При этом локальной целью нарушителя, не имеющего доступа (прав досту-<br /> па) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через<br /> внешние сети связи общего пользования) и получение максимально возможных<br /> прав и привилегий при таком доступе.<br /> Нарушители могут совершать действия, следствием которых является<br /> нарушение безопасности информации, преднамеренно (преднамеренные грозы<br /> безопасности информации) или случайно (непреднамеренные грозы безопасно-<br /> сти информации).<br /> Преднамеренные действия нарушителей могут заключаться в реализации<br /> целенаправленных или нецеленаправленных угроз безопасности информации.<br /> Целенаправленная угроза безопасности информации направлена на инте-<br /> ресующую нарушителя информационную систему с заранее известными ему<br /> структурно-функциональными характеристиками и особенностями функциони-<br /> рования. Целенаправленная угроза безопасности информации адаптирована к<br /> структурно-функциональным характеристикам информационной системы. При<br /> подготовке и реализации целенаправленных угроз безопасности информации<br /> нарушитель может использовать методы социальной инженерии, которые позво-<br /> ляют ему изучить поведение пользователей и их реакцию на поступающие к ним<br /> внешние данные.<br /> Нецеленаправленная («веерная») угроза безопасности информации не ори-<br /> ентирована на конкретную информационную систему. Целями такой угрозы мо-<br /> гут являться несанкционированный доступ, перехват управления или воздей-<br /> ствие на как можно большее количество информационных систем. В данном<br /> случае нарушителю заранее не известны структурно-функциональные характе-<br /> ристики и условия функционирования информационной системы.<br /> Реализация преднамеренных угроз безопасности информации, как прави-<br /> ло, включает:<br /> 19<br /> сбор информации об информационной системе, ее структурно-<br /> функциональных характеристиках, условиях функционирования;<br /> выбор (разработка, приобретение) методов и средств, используемых для<br /> реализации угроз безопасности информации в информационной системе с задан-<br /> ными структурно-функциональными характеристиками и условиями функцио-<br /> нирования;<br /> непосредственная реализация угроз безопасности информации в информа-<br /> ционной системе (проникновение в информационную систему, закрепление в<br /> информационной системе, реализация неправомерных действий);<br /> устранение признаков и следов неправомерных действий в информацион-<br /> ной системе.<br /> В зависимости от целей и потенциала нарушителя на каждом из этапов мо-<br /> гут эксплуатироваться одна или несколько уязвимостей информационной систе-<br /> мы.<br /> При определении возможных способов реализации угроз безопасности<br /> информации необходимо исходить из следующих условий:<br /> нарушитель может действовать один или в составе группы нарушителей;<br /> в отношении информационной системы внешний нарушитель может дей-<br /> ствовать совместно с внутренним нарушителем;<br /> угрозы могут быть реализованы в любое время и в любой точке информа-<br /> ционной системы (на любом узле или хосте);<br /> для достижения своей цели нарушитель выбирает наиболее слабое звено<br /> информационной системы.<br /> Возможные способы реализации угроз безопасности информации, опреде-<br /> ленные на основе настоящего раздела, включаются в модель угроз безопасности<br /> информации.<br /> 20<br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> Угроза безопасности информации является актуальной (УБИj<br /> А<br /> ), если для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и особенностями функционирования существует вероятность реали-<br /> зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и<br /> ее реализация приведет к неприемлемым негативным последствиям (ущербу) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> В качестве показателя актуальности угрозы безопасности информации<br /> (УБИj<br /> А<br /> ) принимается двухкомпонентный вектор, первый компонент которого<br /> характеризует вероятность реализации угрозы (Рj), а второй – степень возможно-<br /> го ущерба в случае ее реализации (Хj)<br /> УБИj<br /> А<br /> = [вероятность реализации угрозы (Рj); степень ущерба (Хj)],<br /> где Рj определятся на основе анализа статистических данных о частоте ре-<br /> ализации угроз безопасности информации (возникновении инцидентов безопас-<br /> ности) в информационной системе и (или) однотипных информационных систе-<br /> мах, а Хj определяется на основе оценок степени последствий от нарушения<br /> конфиденциальности, целостности или доступности информации.<br /> При отсутствии статистических данных о реализации угроз безопасности<br /> информации (возникновении инцидентов безопасности) в информационной си-<br /> стеме и (или) однотипных информационных системах, актуальность угрозы без-<br /> опасности информации определяется на основе оценки возможности реализации<br /> угрозы безопасности информации (Yj)<br /> УБИj<br /> А<br /> = [возможность реализации угрозы (Yj); степень ущерба (Хj)],<br /> где Yj определятся на основе оценки уровня защищенности информацион-<br /> ной системы и потенциала нарушителя, требуемого для реализации угрозы без-<br /> опасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Актуальность угроз безопасности информации определяется в отношении<br /> угроз, для которых экспертным методом определено, что:<br /> возможности (потенциал) нарушителя достаточны для реализации угрозы<br /> безопасности информации;<br /> в информационной системе могут иметься потенциальные уязвимости, ко-<br /> торые могут быть использованы при реализации j-ой угрозы безопасности ин-<br /> формации;<br /> структурно-функциональные характеристики и особенности функциони-<br /> рования информационной системы не исключают возможности применения спо-<br /> собов, необходимых для реализации j-ой угрозы безопасности информации (су-<br /> ществует сценарий реализации угрозы безопасности);<br /> 21<br /> реализация угрозы безопасности информации приведет к нарушению кон-<br /> фиденциальности, целостности или доступности информации, в результате ко-<br /> торого возможно возникновение неприемлемых негативных последствий (ущер-<br /> ба).<br /> В качестве исходных данных об угрозах безопасности информации и их<br /> характеристиках используется банк данных угроз безопасности информации,<br /> сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые<br /> модели угроз безопасности информации, разрабатываемые ФСТЭК России для<br /> различных классов и типов информационных систем.<br /> Для определения угроз безопасности информации могут использоваться<br /> иные источники, в том числе опубликованные в общедоступных источниках<br /> данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по вы-<br /> явлению угроз безопасности информации. В этом случае потенциал нарушителя,<br /> возможные уязвимости, способы реализации угрозы безопасности информации и<br /> последствия от ее реализации определяются для каждой угрозы безопасности<br /> информации.<br /> а) оценка вероятности (возможности) реализации угрозы безопасности<br /> информации<br /> Под вероятностью реализации угрозы безопасности информации понима-<br /> ется определяемый экспертным путем показатель, характеризующий, насколько<br /> вероятным является реализация j-ой угрозы безопасности информации в инфор-<br /> мационной системе с заданными структурно-функциональными характеристи-<br /> ками и особенностями функционирования. Вводятся три вербальные градации<br /> этого показателя:<br /> низкая вероятность – отсутствуют объективные предпосылки к реализации<br /> j-ой угрозы безопасности информации, отсутствует требуемая статистика по<br /> фактам реализации j-ой угрозы безопасности информации (возникновения инци-<br /> дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз-<br /> можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> средняя вероятность – существуют предпосылки к реализации j-ой угрозы<br /> безопасности информации, зафиксированы случаи реализации j-ой угрозы без-<br /> опасности информации (возникновения инцидентов безопасности) или имеется<br /> иная информация, указывающая на возможность реализации j-ой угрозы без-<br /> опасности информации, существуют признаки наличия у нарушителя мотивации<br /> для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре-<br /> вышает 1 раза в год;<br /> высокая вероятность – существуют объективные предпосылки к реализа-<br /> ции j-ой угрозы безопасности информации, существует достоверная статистика<br /> реализации j-ой угрозы безопасности информации (возникновения инцидентов<br /> безопасности) или имеется иная информация, указывающая на высокую возмож-<br /> ность реализации j-ой угрозы безопасности информации, у нарушителя имеются<br /> 22<br /> мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра-<br /> за в год.<br /> В случае отсутствия требуемых данных для оценки вероятности реализа-<br /> ции угрозы безопасности информации или наличия сомнений в объективности<br /> экспертных оценок при определении вербальных градаций вероятности реализа-<br /> ции угроз безопасности информации, актуальность j-ой угрозы безопасности<br /> информации определяется на основе оценки возможности ее реализации (Yj).<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оце-<br /> нивается исходя из уровня защищенности информационной системы (Y1) и по-<br /> тенциала нарушителя (Y2), необходимого для реализации этой угрозы безопас-<br /> ности информации в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования:<br /> Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> При определении угроз безопасности информации на этапе создания ин-<br /> формационной системы в случае, когда меры защиты информации не реализова-<br /> ны или не проведена оценка их достаточности и эффективности, оценка возмож-<br /> ности реализации j-ой угрозы безопасности информации (Yj) проводится относи-<br /> тельно уровня проектной защищенности информационной системы (Y1П):<br /> Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> Под уровнем проектной защищенности (Y1П) понимается исходная защи-<br /> щенность информационной системы, обусловленная заданными при проектиро-<br /> вании структурно-функциональными характеристиками и условиями ее функци-<br /> онирования. Уровень проектной защищенности (Y1П) определяется на основе<br /> анализа проектных структурно-функциональных характеристик, приведенных в<br /> таблице 3.<br /> Показатели, характеризующие проектную<br /> защищенность информационной системы<br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> В ходе создания информационной системы уровень ее проектной защи-<br /> щенности (Y1П) определяется следующим образом:<br /> а) информационная система имеет высокий уровень проектной защищен-<br /> ности (Y1П), если не менее 80% характеристик информационной системы соот-<br /> ветствуют уровню «высокий» (суммируются положительные решения по второ-<br /> му столбцу, соответствующему высокому уровню защищенности), а остальные -<br /> среднему уровню защищенности (положительные решения по третьему столб-<br /> цу);<br /> б) информационная система имеет средний уровень проектной защищен-<br /> ности (Y1П), если не выполняются условия по пункту а) и не менее 90% характе-<br /> ристик информационной системы соответствуют уровню не ниже «средний»<br /> (берется отношение суммы положительных решений по третьему столбцу, соот-<br /> ветствующему среднему уровню защищенности, к общему количеству решений),<br /> а остальные - низкому уровню защищенности;<br /> в) информационная система имеет низкий уровень проектной защищенно-<br /> сти (Y1П), если не выполняются условия по пунктам а) и б).<br /> В соответствии с требованиями о защите информации, не составляющей<br /> государственную тайну, содержащейся в государственных информационных си-<br /> стемах, до ввода в эксплуатацию информационной системы должны быть реали-<br /> зованы меры защиты информации, направленные на блокирование (нейтрализа-<br /> 25<br /> цию) актуальных угроз безопасности информации. Таким образом, ввод в экс-<br /> плуатацию информационной системы осуществляется при условии достижения<br /> высокого уровня исходной защищенности информационной системы от нару-<br /> шителя с заданным потенциалом.<br /> Вместе с тем, в ходе эксплуатации информационной системы возможно<br /> появление новых уязвимостей, повышение потенциала нарушителя, изменение<br /> структурно-функциональных характеристик, значимости обрабатываемой ин-<br /> формации, особенностей функционирования информационной системы и других<br /> условий, приводящих к возникновению новых угроз безопасности информации,<br /> которые могут существенно снизить уровень проектной защищенности инфор-<br /> мационной системы. В этом случае для поддержания уровня защищенности ин-<br /> формационной системы в ходе эксплуатации должен проводиться регулярный<br /> анализ изменения угроз безопасности информации, а актуальные угрозы без-<br /> опасности информации подлежат периодической переоценке.<br /> В ходе эксплуатации информационной системы уровень ее защищенности<br /> (Y1) определяется следующим образом:<br /> а) в информационной системе обеспечивается высокий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы не появились<br /> дополнительные угрозы безопасности информации или в отношении появив-<br /> шихся дополнительных угроз безопасности информации с высокой оперативно-<br /> стью («за минуты») могут быть приняты меры защиты информации, нейтрали-<br /> зующие эти угрозы;<br /> б) в информационной системе обеспечивается средний уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них оперативно<br /> («за часы») могут быть приняты меры защиты информации, нейтрализующие эти<br /> угрозы;<br /> в) в информационной системе обеспечивается низкий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них не могут<br /> быть с высокой оперативностью или оперативно приняты меры защиты инфор-<br /> мации, нейтрализующие эти угрозы.<br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас-<br /> ности информации, может быть базовым (низким), базовым повышенным (сред-<br /> ним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы без-<br /> опасности информации определяется на основе данных, приведенных в банке<br /> данных угроз безопасности информации ФСТЭК России, а также в базовых и<br /> типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК<br /> России для информационных систем различных классов и типов. В случае отсут-<br /> ствия информации о потенциале нарушителя для реализации j-ой угрозы без-<br /> опасности значение потенциала (Y2) определяется в соответствии с приложением<br /> № 3 к настоящей Методике.<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в за-<br /> висимости от уровня защищенности информационной системы (Y1/Y1П) и потен-<br /> 26<br /> циала нарушителя (Y2) определяется как высокая, средняя или низкая в соответ-<br /> ствии с таблицей 4.<br /> Возможность<br /> реализации угрозы безопасности информации<br /> Таблица 4<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> б) оценка степени возможного ущерба от реализации угрозы безопас-<br /> ности информации<br /> Для оценки степени возможного ущерба от реализации угрозы безопасно-<br /> сти информации определяются возможный результат реализации угрозы без-<br /> опасности информации в информационной системе, вид ущерба, к которому мо-<br /> жет привести реализация угрозы безопасности информации, степень послед-<br /> ствий от реализации угрозы безопасности информации для каждого вида ущер-<br /> ба.<br /> В качестве результата реализации угрозы безопасности информации рас-<br /> сматриваются непосредственное или опосредованное воздействие на конфиден-<br /> циальность, целостность, доступность информации, содержащейся в информа-<br /> ционной системе.<br /> Непосредственное воздействие на конфиденциальность, целостность, до-<br /> ступность информации возможно в результате реализации прямой угрозы без-<br /> опасности информации. В этом случае объектами воздействия угрозы являются<br /> непосредственно информация и (или) иные объекты защиты информационной<br /> системы или обеспечивающей инфраструктуры, которые обеспечивают получе-<br /> ние, обработку, хранение, передачу, уничтожение информации в информацион-<br /> ной системе, в результате доступа к которым или воздействия на которые воз-<br /> можно воздействие на конфиденциальность, целостность или доступность ин-<br /> формации.<br /> Опосредованное воздействие на конфиденциальность, целостность, до-<br /> ступность информации рассматривается в результате реализации косвенных<br /> угроз безопасности информации. Реализация косвенных угроз безопасности ин-<br /> формации не приводит непосредственно к воздействию на конфиденциальность,<br /> целостность, доступность информации, но создает условия для реализации од-<br /> ной или нескольких прямых угроз безопасности информации, позволяющих реа-<br /> лизовать такое воздействие. В этом случае в качестве результата реализации<br /> косвенной угрозы необходимо рассматривать результаты реализации всех пря-<br /> 27<br /> мых угроз безопасности информации, которые возможно реализовать в случае<br /> реализации данной косвенной угрозы.<br /> Результат реализации угрозы безопасности информации определяется воз-<br /> действием угрозы на каждое свойство безопасности информации (конфиденци-<br /> альность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> При обработке в информационной системе двух и более видов информации<br /> (служебная тайна, персональные данные, налоговая тайна, иные установленные<br /> законодательством Российской Федерации виды информации) воздействие на<br /> конфиденциальность, целостность, доступность определяется отдельно для каж-<br /> дого вида информации (k, …, m), содержащейся в информационной системе.<br /> Таблица 5<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> При определении степени возможного ущерба необходимо исходить из то-<br /> го, что в зависимости от целей и задач, решаемых информационной системой,<br /> видов обрабатываемой информации, воздействие на конфиденциальность, це-<br /> лостность или доступность каждого вида информации, содержащейся в инфор-<br /> мационной системе, может привести к различным видам ущерба. При этом для<br /> разных обладателей информации и операторов будут характерны разные виды<br /> ущерба.<br /> Основные виды ущерба и возможные негативные последствия, к которым<br /> может привести нарушение конфиденциальности, целостности, доступности ин-<br /> формации, приведены в таблице 6.<br /> 28<br /> Таблица 6<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> 30<br /> Указанные виды ущерба могут дополняться другими видами в зависимо-<br /> сти от целей и задач, решаемых информационной системой, а также вида обра-<br /> батываемой в ней информации.<br /> Степень возможного ущерба от реализации угрозы безопасности инфор-<br /> мации определяется степенью негативных последствий от нарушения конфиден-<br /> циальности, целостности или доступности каждого вида информации, содержа-<br /> щейся в информационной системе.<br /> Степень негативных последствий от нарушения конфиденциальности, це-<br /> лостности или доступности информации определяется для каждого вида ущерба,<br /> зависит от целей и задач, решаемых информационной системой, и может иметь<br /> разные значения для разных обладателей информации и операторов. В качестве<br /> единой шкалы измерения степени негативных последствий принимаются значе-<br /> ния «незначительные», «умеренные» и «существенные» негативные послед-<br /> ствия. Каждым оператором определяется в указанной единой шкале измерений<br /> степень негативных последствий от нарушения конфиденциальности, целостно-<br /> сти или доступности информации применительно ко всем целям и задачам, ре-<br /> шаемым информационной системой.<br /> Степень возможного ущерба определяется экспертным методом в соответ-<br /> ствии с таблицей 7.<br /> Таблица 7<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> 31<br /> При обработке в информационной системе двух и более видов информа-<br /> ции (служебная тайна, персональные данные, налоговая тайна и иные установ-<br /> ленные законодательством Российской Федерации виды информации) степень<br /> возможного ущерба определяется отдельно для каждого вида информации<br /> (k, …, m), обрабатываемой в информационной системе, применительно к каждо-<br /> му виду ущерба. Итоговая степень возможного ущерба устанавливается по<br /> наивысшим значениям степени возможного ущерба, определенным для конфи-<br /> денциальности, целостности, доступности информации каждого вида информа-<br /> ции применительно к каждому виду ущерба.<br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> в) определение актуальности угрозы безопасности информации<br /> Решение об актуальности угрозы безопасности информации УБИj<br /> А<br /> для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и условиями функционирования принимается в соответствии с таб-<br /> лицей 8.<br /> Таблица 8<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> 32<br /> =Приложение № 1= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> =Приложение № 2= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=116 2015-10-02T08:16:17Z

<p>Hunter po: </p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> Целью определения угроз безопасности информации является установле-<br /> ние того, существует ли возможность нарушения конфиденциальности, целост-<br /> ности или доступности информации, содержащейся в информационной системе,<br /> и приведет ли нарушение хотя бы одного из указанных свойств безопасности<br /> информации к наступлению неприемлемых негативных последствий (ущерба)<br /> для обладателя информации или оператора, а в случае обработки персональных<br /> данных и для субъектов персональных данных.<br /> Определение угроз безопасности информации должно носить системати-<br /> ческий характер и осуществляться как на этапе создания информационной си-<br /> стемы и формирования требований по ее защите, так и в ходе эксплуатации ин-<br /> формационной системы. Систематический подход к определению угроз безопас-<br /> ности информации необходим для того, чтобы определить потребности в кон-<br /> кретных требованиях к защите информации и создать адекватную эффективную<br /> систему защиты информации в информационной системе. Меры защиты инфор-<br /> мации, принимаемые обладателем информации и оператором, должны обеспечи-<br /> вать эффективное и своевременное выявление и блокирование (нейтрализацию)<br /> угроз безопасности информации, в результате реализации которых возможно<br /> наступление неприемлемых негативных последствий (ущерба).<br /> Систематический подход к определению угроз безопасности информации<br /> предусматривает реализацию непрерывного процесса, в рамках которого опре-<br /> деляется область применения процесса определения угроз, идентифицируются<br /> источники угроз и угрозы безопасности информации, оценивается возможность<br /> реализации угроз безопасности информации и степень возможного ущерба в<br /> случае такой реализации, осуществляется мониторинг (периодический пере-<br /> смотр) и переоценка угроз безопасности информации.<br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> Рекомендации по формированию экспертной группы и проведению экспертной<br /> оценки при определении угроз безопасности информации приведены в приложе-<br /> нии № 1 к настоящей Методике.<br /> а) область применения процесса определения угроз безопасности ин-<br /> формации<br /> На этапах принятия решения о необходимости защиты информации в ин-<br /> формационной системе и разработки требований к защите информации должны<br /> быть определены физические и логические границы информационной системы, в<br /> которых принимаются и контролируются меры защиты информации, за которые<br /> ответственен оператор, а также определены объекты защиты и сегменты инфор-<br /> мационной системы.<br /> Процесс определения угроз безопасности информации должен охватывать<br /> все объекты защиты и сегменты в логических и физических границах информа-<br /> ционной системы, в которых оператором принимаются и контролируются меры <br /> 6<br /> защиты информации. Процесс определения угроз безопасности информации ор-<br /> ганизуется подразделением оператора, назначенным ответственным за защиту<br /> информации в информационной системе. В случае, если информационная систе-<br /> ма имеет сегменты, эксплуатируемые разными подразделениями оператора, ко-<br /> торые могут самостоятельно принимать и контролировать меры защиты инфор-<br /> мации, должны быть определены границы ответственности этих подразделений<br /> и порядок их взаимодействия в процессе определения угроз безопасности ин-<br /> формации.<br /> Область применения процесса определения угроз безопасности информа-<br /> ции отражается в модели угроз безопасности информации наряду с областью<br /> действия модели угроз, структурно-функциональными характеристиками ин-<br /> формационной системы и особенностями ее функционирования.<br /> б) идентификация источников угроз и угроз безопасности информации<br /> В обобщенном виде угрозы безопасности информации характеризуется ис-<br /> точниками угроз, факторами, обуславливающими возможность реализации<br /> угроз, способами (методами) реализации угроз и последствиями от реализации<br /> угроз безопасности информации.<br /> Важным этапом в процессе определения угроз безопасности информации<br /> является идентификация лиц или событий (явлений), в результате действий<br /> (наступления, возникновения) которых возможно нарушение конфиденциально-<br /> сти, целостности или доступности информации, содержащейся в информацион-<br /> ной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> В качестве источников угроз безопасности информации могут выступать<br /> субъекты (физические лица, организации, государства) или явления (техноген-<br /> ные аварии, стихийные бедствия, иные природные явления).<br /> Источники угроз безопасности информации являются определяющим<br /> фактором при определении угроз безопасности информации в информационных<br /> системах. В процессе определения угроз безопасности информации подлежат<br /> оценке те угрозы, у которых есть источники и источники имеют возможности и<br /> условия для реализации угроз безопасности информации в информационной си-<br /> стеме с заданными структурно-функциональными характеристиками и особен-<br /> ностями ее функционирования.<br /> Источники угроз безопасности информации могут быть следующих типов:<br /> антропогенные источники (антропогенные угрозы);<br /> техногенные источники (техногенные угрозы);<br /> стихийные источники (угрозы стихийных бедствий, иных природных яв-<br /> лений).<br /> В качестве источников антропогенных угроз безопасности информации<br /> могут выступать:<br /> лица, осуществляющие преднамеренные действия с целью доступа к ин-<br /> формации (воздействия на информацию), содержащейся в информационной си-<br /> стеме, или нарушения функционирования информационной системы или обслу-<br /> 7<br /> живающей ее инфраструктуры (преднамеренные угрозы безопасности информа-<br /> ции);<br /> лица, имеющие доступ к информационной системе, не преднамеренные<br /> действия которых могут привести к нарушению безопасности информации (не-<br /> преднамеренные угрозы безопасности информации).<br /> Для информационных систем, в которых целью защиты является обеспе-<br /> чение целостности и доступности обрабатываемой информации, в обязательном<br /> порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями<br /> в работе технических средств или программного обеспечения. Такие угрозы мо-<br /> гут быть обусловлены:<br /> низким качеством (надежностью) технических, программных или про-<br /> граммно-технических средств;<br /> низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> отсутствием или низкой эффективностью систем резервирования или дуб-<br /> лирования программно-технических и технических средств;<br /> низким качеством (надежностью) инженерных систем (кондиционирова-<br /> ния, электроснабжения, охранных систем и т.д.);<br /> низким качеством обслуживания со стороны обслуживающих организаций<br /> и лиц.<br /> При определении угроз безопасности информации оценке подлежат угро-<br /> зы, связанные со всеми типами источников. Однако в целях создания и эксплуа-<br /> тации адекватной эффективной системы защиты информации в информационной<br /> системе следует, в первую очередь, уделять внимание оценке антропогенных<br /> угроз, связанных с несанкционированными (неправомерными) действиями субъ-<br /> ектов по нарушению безопасности (конфиденциальности, целостности, доступ-<br /> ности) информации, в том числе целенаправленными воздействиями программ-<br /> ными (программно-техническими) средствами на информационные системы,<br /> осуществляемые в целях нарушения (прекращения) их функционирования (ком-<br /> пьютерные атаки).<br /> Также при определении угроз безопасности информации наряду с угроза-<br /> ми, реализация которых может привести непосредственно к нарушению конфи-<br /> денциальности, целостности или доступности информации (прямыми угрозами),<br /> необходимо выявлять и оценивать угрозы, создающие условия для реализации<br /> прямых угроз безопасности информации (косвенные угрозы). В качестве косвен-<br /> ных угроз безопасности информации могут рассматриваться угрозы повышения<br /> привилегий, исчерпания вычислительных ресурсов, недоступности обновления<br /> программного обеспечения и иные угрозы безопасности информации.<br /> В процессе определения угроз безопасности информации на всех стадиях<br /> (этапах) жизненного цикла информационных систем необходимо регулярно про-<br /> водить идентификацию источников угроз, оценивать их возможности и опреде-<br /> лять на этой основе угрозы безопасности информации. Данные о нарушителях и<br /> их возможностях по реализации угроз безопасности информации, полученные<br /> при идентификации источников угроз, включаются в модели угроз безопасности<br /> информации.<br /> 8<br /> Для идентификации угроз безопасности информации в информационной<br /> системе определяются:<br /> возможности (тип, вид, потенциал) нарушителей, необходимые им для ре-<br /> ализации угроз безопасности информации;<br /> уязвимости, которые могут использоваться при реализации угроз безопас-<br /> ности информации (включая специально внедренные программные закладки);<br /> способы (методы) реализации угроз безопасности информации;<br /> объекты информационной системы, на которые направлена угроза без-<br /> опасности информации (объекты воздействия);<br /> результат и последствия от реализации угроз безопасности информации.<br /> Каждая угроза безопасности информации в информационной системе опи-<br /> сывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угро-<br /> зы; объекты воздействия; последствия от реализации угрозы].<br /> в) оценка вероятности (возможности) реализации угроз безопасности<br /> информации и степени возможного ущерба<br /> Идентифицированная угроза безопасности информации подлежит нейтра-<br /> лизации (блокированию), если она является актуальной (УБИj<br /> А<br /> ) для информаци-<br /> онной системы, то есть в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования су-<br /> ществует вероятность (возможность) реализации рассматриваемой угрозы нару-<br /> шителем с соответствующим потенциалом и ее реализация приведет к неприем-<br /> лемым негативным последствиям (ущербу):<br /> УБИj<br /> А<br /> = [вероятность (возможность) реализации угрозы (Рj);<br /> степень ущерба (Хj)].<br /> Актуальные угрозы безопасности информации включаются в модель угроз<br /> безопасности информации. Модель угроз безопасности информации, учитывая<br /> особенности информационной системы, используемые в ней программные, про-<br /> граммно-технические, технические средства и процессы обработки информации,<br /> дает описание угроз безопасности, которым подвержена информационная систе-<br /> ма. Структура модели угроз безопасности информации приведена в приложении<br /> № 2 к настоящей Методике.<br /> г) мониторинг и переоценка угроз безопасности информации<br /> Определение угроз безопасности информации на этапе создания информа-<br /> ционной системы позволяет обеспечить формирование требований и внедрение<br /> эффективной адекватной системы защиты информации в информационной си-<br /> стеме для угроз, актуальных к моменту ввода в эксплуатацию информационной<br /> системы.<br /> 9<br /> В ходе эксплуатации информационной системы оператор, обеспечивая до-<br /> стижение целей и задач информационной системы, может изменять ее базовую<br /> конфигурацию, что приводит к изменению структурно-функциональных харак-<br /> теристик информационной системы и применяемых информационных техноло-<br /> гий. Также в процессе эксплуатации возможно изменение состава и значимости<br /> обрабатываемой информации и особенностей функционирования информацион-<br /> ной системы.<br /> В этих условиях процесс определения угроз безопасности информации<br /> должен носить систематический характер. В ходе эксплуатации информацион-<br /> ной системы регулярно проводится анализ изменения угроз безопасности ин-<br /> формации, а актуальные угрозы безопасности информации подлежат периодиче-<br /> ской переоценке. Периодичность переоценки определяется организацией исходя<br /> из особенностей функционирования информационной системы. Рекомендуется<br /> пересматривать угрозы безопасности информации не реже одного раза в год. По<br /> результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> Пересмотр (переоценка) угроз безопасности информации, как минимум,<br /> осуществляется в случаях:<br /> изменения требований законодательства Российской Федерации о защите<br /> информации, нормативных правовых актов и методических документов, регла-<br /> ментирующих защиту информации;<br /> изменения конфигурации (состава основных компонентов) и особенностей<br /> функционирования информационной системы, следствием которых стало воз-<br /> никновение новых угроз безопасности информации;<br /> выявления уязвимостей, приводящих к возникновению новых угроз без-<br /> опасности информации или к повышению возможности реализации существую-<br /> щих;<br /> появления сведений и фактов о новых возможностях нарушителей.<br /> 10<br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасно-<br /> сти информации является формирование предположения о типах, видах наруши-<br /> телей, которые могут реализовать угрозы безопасности информации в информа-<br /> ционной системе с заданными структурно-функциональными характеристиками<br /> и особенностями функционирования, а также потенциале этих нарушителей и<br /> возможных способах реализации угроз безопасности информации.<br /> Результаты оценки возможностей нарушителей включаются в модель<br /> нарушителя, которая является составной частью (разделом) модели угроз без-<br /> опасности информации и содержит:<br /> типы, виды и потенциал нарушителей, которые могут обеспечить реализа-<br /> цию угроз безопасности информации;<br /> цели, которые могут преследовать нарушители каждого вида при реализа-<br /> ции угроз безопасности информации;<br /> возможные способы реализации угроз безопасности информации.<br /> а) типы нарушителей<br /> Типы нарушителей определяются по результатам анализа прав доступа<br /> субъектов к информации и (или) к компонентам информационной системы, а<br /> также анализа возможностей нарушителей по доступу к компонентам информа-<br /> ционной системы исходя из структурно-функциональных характеристик и осо-<br /> бенностей функционирования информационной системы.<br /> В зависимости от имеющихся прав доступа нарушители могут иметь леги-<br /> тимный физический (непосредственный) и (или) логический доступ к компонен-<br /> там информационной системы и (или) содержащейся в них информации или не<br /> иметь такого доступа.<br /> Анализ прав доступа проводится, как минимум, в отношении следующих<br /> компонент информационной системы:<br /> устройств ввода/вывода (отображения) информации;<br /> беспроводных устройств;<br /> программных, программно-технических и технических средств обработки<br /> информации;<br /> съемных машинных носителей информации;<br /> машинных носителей информации, выведенных из эксплуатации;<br /> активного (коммутационного) и пассивного оборудования каналов связи;<br /> каналов связи, выходящих за пределы контролируемой зоны.<br /> С учетом наличия прав доступа и возможностей по доступу к информации<br /> и (или) к компонентам информационной системы нарушители подразделяются<br /> на два типа:<br /> 11<br /> внешние нарушители (тип I) – лица, не имеющие права доступа к инфор-<br /> мационной системе, ее отдельным компонентам и реализующие угрозы безопас-<br /> ности информации из-за границ информационной системы;<br /> внутренние нарушители (тип II) – лица, имеющие право постоянного или<br /> разового доступа к информационной системе, ее отдельным компонентам.<br /> Наибольшими возможностями по реализации угроз безопасности обладают<br /> внутренние нарушители. При оценке возможностей внутренних нарушителей<br /> необходимо учитывать принимаемые оператором организационные меры по до-<br /> пуску субъектов к работе в информационной системе. Возможности внутреннего<br /> нарушителя существенным образом зависят от установленного порядка допуска<br /> физических лиц к информационной системе и ее компонентам, а также мер по<br /> контролю за доступом и работой этих лиц.<br /> Внешнего нарушителя необходимо рассматривать в качестве актуального<br /> во всех случаях, когда имеются подключения информационной системы к внеш-<br /> ним информационно-телекоммуникационным сетям и (или) имеются линии свя-<br /> зи, выходящие за пределы контролируемой зоны, используемые для иных под-<br /> ключений.<br /> б) виды и потенциал нарушителей<br /> Угрозы безопасности информации в информационной системе могут быть<br /> реализованы следующими видами нарушителей:<br /> специальные службы иностранных государств (блоков государств);<br /> террористические, экстремистские группировки;<br /> преступные группы (криминальные структуры);<br /> внешние субъекты (физические лица);<br /> конкурирующие организации;<br /> разработчики, производители, поставщики программных, технических и<br /> программно-технических средств;<br /> лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и<br /> иных видов работ;<br /> лица, обеспечивающие функционирование информационных систем или<br /> обслуживающие инфраструктуру оператора (администрация, охрана, уборщики<br /> и т.д.);<br /> пользователи информационной системы;<br /> администраторы информационной системы и администраторы безопасно-<br /> сти;<br /> бывшие работники (пользователи).<br /> Виды нарушителей, характерных для информационной системы с задан-<br /> ными структурно-функциональными характеристиками и особенностями функ-<br /> ционирования, определяются на основе предположений (прогноза) о возможных<br /> целях (мотивации) при реализации угроз безопасности информации этими нару-<br /> шителями.<br /> В качестве возможных целей (мотивации) реализации нарушителями угроз<br /> безопасности информации в информационной системе могут быть:<br /> 12<br /> нанесение ущерба государству, отдельным его сферам деятельности или<br /> секторам экономики;<br /> реализация угроз безопасности информации по идеологическим или поли-<br /> тическим мотивам;<br /> организация террористического акта;<br /> причинение имущественного ущерба путем мошенничества или иным пре-<br /> ступным путем;<br /> дискредитация или дестабилизация деятельности органов государственной<br /> власти, организаций;<br /> получение конкурентных преимуществ;<br /> внедрение дополнительных функциональных возможностей в программное<br /> обеспечение или программно-технические средства на этапе разработки;<br /> любопытство или желание самореализации;<br /> выявление уязвимостей с целью их дальнейшей продажи и получения фи-<br /> нансовой выгоды;<br /> реализация угроз безопасности информации из мести;<br /> реализация угроз безопасности информации непреднамеренно из-за не-<br /> осторожности или неквалифицированных действий.<br /> Предположения о целях (мотивации) нарушителей делаются с учетом це-<br /> лей и задач информационной системы, вида обрабатываемой информации, а<br /> также с учетом результатов оценки степени возможных последствий (ущерба) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопас-<br /> ности информации приведены в таблице 1.<br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> При оценке возможностей нарушителей необходимо исходить из условий,<br /> что для повышения своих возможностей нарушители 1 вида могут вступать в<br /> сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут всту-<br /> пать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут<br /> вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких<br /> предположений цели (мотивация) и возможности нарушителей подлежат объ-<br /> единению.<br /> Возможности каждого вида нарушителя по реализации угроз безопасности<br /> информации характеризуются его потенциалом. Потенциал нарушителя опреде-<br /> ляется компетентностью, ресурсами и мотивацией, требуемыми для реализации<br /> угроз безопасности информации в информационной системе с заданными струк-<br /> 15<br /> турно-функциональными характеристиками и особенностями функционирова-<br /> ния.<br /> В зависимости от потенциала, требуемого для реализации угроз безопас-<br /> ности информации, нарушители подразделяются на:<br /> нарушителей, обладающих базовым (низким) потенциалом нападения при<br /> реализации угроз безопасности информации в информационной системе;<br /> нарушителей, обладающих базовым повышенным (средним) потенциалом<br /> нападения при реализации угроз безопасности информации в информационной<br /> системе;<br /> нарушителей, обладающих высоким потенциалом нападения при реализа-<br /> ции угроз безопасности информации в информационной системе.<br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> в) возможные способы реализации угроз безопасности информации<br /> Целью определения возможных способов реализации угроз безопасности<br /> информации является формирование предположений о возможных сценариях<br /> реализации угроз безопасности информации, описывающих последовательность<br /> (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и<br /> применяемые ими методы и средства для реализации угроз безопасности инфор-<br /> мации.<br /> Возможные способы реализации угроз безопасности информации зависят<br /> от структурно-функциональных характеристик и особенностей функционирова-<br /> ния информационной системы.<br /> Угрозы безопасности информации могут быть реализованы нарушителями<br /> за счет:<br /> несанкционированного доступа и (или) воздействия на объекты на аппа-<br /> ратном уровне (программы (микропрограммы), «прошитые» в аппаратных ком-<br /> понентах (чипсетах));<br /> несанкционированного доступа и (или) воздействия на объекты на обще-<br /> системном уровне (базовые системы ввода-вывода, гипервизоры, операционные<br /> системы);<br /> несанкционированного доступа и (или) воздействия на объекты на при-<br /> кладном уровне (системы управления базами данных, браузеры, web-<br /> приложения, иные прикладные программы общего и специального назначения);<br /> несанкционированного доступа и (или) воздействия на объекты на сетевом<br /> уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> 18<br /> несанкционированного физического доступа и (или) воздействия на линии,<br /> (каналы) связи, технические средства, машинные носители информации;<br /> воздействия на пользователей, администраторов безопасности, админи-<br /> страторов информационной системы или обслуживающий персонал (социальная<br /> инженерия).<br /> Действия нарушителя в зависимости от его потенциала при реализации<br /> угроз безопасности информации предусматривают идентификацию и использо-<br /> вание уязвимостей в микропрограммном, общесистемном и прикладном про-<br /> граммном обеспечении, сетевом оборудовании, применяемых в информацион-<br /> ной системе, а также в организации работ по защите информации и конфигура-<br /> ции информационной системы.<br /> При определении способа реализации угроз безопасности информации<br /> необходимо учитывать то, что угрозы безопасности информации могут быть ре-<br /> ализованы непосредственно за счет доступа к компонентам информационной си-<br /> стемы и (или) информации или опосредовано (косвенно) за счет создания усло-<br /> вий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или<br /> воздействия на обслуживающую инфраструктуру, за которую оператор не отве-<br /> чает. При этом локальной целью нарушителя, не имеющего доступа (прав досту-<br /> па) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через<br /> внешние сети связи общего пользования) и получение максимально возможных<br /> прав и привилегий при таком доступе.<br /> Нарушители могут совершать действия, следствием которых является<br /> нарушение безопасности информации, преднамеренно (преднамеренные грозы<br /> безопасности информации) или случайно (непреднамеренные грозы безопасно-<br /> сти информации).<br /> Преднамеренные действия нарушителей могут заключаться в реализации<br /> целенаправленных или нецеленаправленных угроз безопасности информации.<br /> Целенаправленная угроза безопасности информации направлена на инте-<br /> ресующую нарушителя информационную систему с заранее известными ему<br /> структурно-функциональными характеристиками и особенностями функциони-<br /> рования. Целенаправленная угроза безопасности информации адаптирована к<br /> структурно-функциональным характеристикам информационной системы. При<br /> подготовке и реализации целенаправленных угроз безопасности информации<br /> нарушитель может использовать методы социальной инженерии, которые позво-<br /> ляют ему изучить поведение пользователей и их реакцию на поступающие к ним<br /> внешние данные.<br /> Нецеленаправленная («веерная») угроза безопасности информации не ори-<br /> ентирована на конкретную информационную систему. Целями такой угрозы мо-<br /> гут являться несанкционированный доступ, перехват управления или воздей-<br /> ствие на как можно большее количество информационных систем. В данном<br /> случае нарушителю заранее не известны структурно-функциональные характе-<br /> ристики и условия функционирования информационной системы.<br /> Реализация преднамеренных угроз безопасности информации, как прави-<br /> ло, включает:<br /> 19<br /> сбор информации об информационной системе, ее структурно-<br /> функциональных характеристиках, условиях функционирования;<br /> выбор (разработка, приобретение) методов и средств, используемых для<br /> реализации угроз безопасности информации в информационной системе с задан-<br /> ными структурно-функциональными характеристиками и условиями функцио-<br /> нирования;<br /> непосредственная реализация угроз безопасности информации в информа-<br /> ционной системе (проникновение в информационную систему, закрепление в<br /> информационной системе, реализация неправомерных действий);<br /> устранение признаков и следов неправомерных действий в информацион-<br /> ной системе.<br /> В зависимости от целей и потенциала нарушителя на каждом из этапов мо-<br /> гут эксплуатироваться одна или несколько уязвимостей информационной систе-<br /> мы.<br /> При определении возможных способов реализации угроз безопасности<br /> информации необходимо исходить из следующих условий:<br /> нарушитель может действовать один или в составе группы нарушителей;<br /> в отношении информационной системы внешний нарушитель может дей-<br /> ствовать совместно с внутренним нарушителем;<br /> угрозы могут быть реализованы в любое время и в любой точке информа-<br /> ционной системы (на любом узле или хосте);<br /> для достижения своей цели нарушитель выбирает наиболее слабое звено<br /> информационной системы.<br /> Возможные способы реализации угроз безопасности информации, опреде-<br /> ленные на основе настоящего раздела, включаются в модель угроз безопасности<br /> информации.<br /> 20<br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> Угроза безопасности информации является актуальной (УБИj<br /> А<br /> ), если для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и особенностями функционирования существует вероятность реали-<br /> зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и<br /> ее реализация приведет к неприемлемым негативным последствиям (ущербу) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> В качестве показателя актуальности угрозы безопасности информации<br /> (УБИj<br /> А<br /> ) принимается двухкомпонентный вектор, первый компонент которого<br /> характеризует вероятность реализации угрозы (Рj), а второй – степень возможно-<br /> го ущерба в случае ее реализации (Хj)<br /> УБИj<br /> А<br /> = [вероятность реализации угрозы (Рj); степень ущерба (Хj)],<br /> где Рj определятся на основе анализа статистических данных о частоте ре-<br /> ализации угроз безопасности информации (возникновении инцидентов безопас-<br /> ности) в информационной системе и (или) однотипных информационных систе-<br /> мах, а Хj определяется на основе оценок степени последствий от нарушения<br /> конфиденциальности, целостности или доступности информации.<br /> При отсутствии статистических данных о реализации угроз безопасности<br /> информации (возникновении инцидентов безопасности) в информационной си-<br /> стеме и (или) однотипных информационных системах, актуальность угрозы без-<br /> опасности информации определяется на основе оценки возможности реализации<br /> угрозы безопасности информации (Yj)<br /> УБИj<br /> А<br /> = [возможность реализации угрозы (Yj); степень ущерба (Хj)],<br /> где Yj определятся на основе оценки уровня защищенности информацион-<br /> ной системы и потенциала нарушителя, требуемого для реализации угрозы без-<br /> опасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Актуальность угроз безопасности информации определяется в отношении<br /> угроз, для которых экспертным методом определено, что:<br /> возможности (потенциал) нарушителя достаточны для реализации угрозы<br /> безопасности информации;<br /> в информационной системе могут иметься потенциальные уязвимости, ко-<br /> торые могут быть использованы при реализации j-ой угрозы безопасности ин-<br /> формации;<br /> структурно-функциональные характеристики и особенности функциони-<br /> рования информационной системы не исключают возможности применения спо-<br /> собов, необходимых для реализации j-ой угрозы безопасности информации (су-<br /> ществует сценарий реализации угрозы безопасности);<br /> 21<br /> реализация угрозы безопасности информации приведет к нарушению кон-<br /> фиденциальности, целостности или доступности информации, в результате ко-<br /> торого возможно возникновение неприемлемых негативных последствий (ущер-<br /> ба).<br /> В качестве исходных данных об угрозах безопасности информации и их<br /> характеристиках используется банк данных угроз безопасности информации,<br /> сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые<br /> модели угроз безопасности информации, разрабатываемые ФСТЭК России для<br /> различных классов и типов информационных систем.<br /> Для определения угроз безопасности информации могут использоваться<br /> иные источники, в том числе опубликованные в общедоступных источниках<br /> данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по вы-<br /> явлению угроз безопасности информации. В этом случае потенциал нарушителя,<br /> возможные уязвимости, способы реализации угрозы безопасности информации и<br /> последствия от ее реализации определяются для каждой угрозы безопасности<br /> информации.<br /> а) оценка вероятности (возможности) реализации угрозы безопасности<br /> информации<br /> Под вероятностью реализации угрозы безопасности информации понима-<br /> ется определяемый экспертным путем показатель, характеризующий, насколько<br /> вероятным является реализация j-ой угрозы безопасности информации в инфор-<br /> мационной системе с заданными структурно-функциональными характеристи-<br /> ками и особенностями функционирования. Вводятся три вербальные градации<br /> этого показателя:<br /> низкая вероятность – отсутствуют объективные предпосылки к реализации<br /> j-ой угрозы безопасности информации, отсутствует требуемая статистика по<br /> фактам реализации j-ой угрозы безопасности информации (возникновения инци-<br /> дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз-<br /> можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> средняя вероятность – существуют предпосылки к реализации j-ой угрозы<br /> безопасности информации, зафиксированы случаи реализации j-ой угрозы без-<br /> опасности информации (возникновения инцидентов безопасности) или имеется<br /> иная информация, указывающая на возможность реализации j-ой угрозы без-<br /> опасности информации, существуют признаки наличия у нарушителя мотивации<br /> для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре-<br /> вышает 1 раза в год;<br /> высокая вероятность – существуют объективные предпосылки к реализа-<br /> ции j-ой угрозы безопасности информации, существует достоверная статистика<br /> реализации j-ой угрозы безопасности информации (возникновения инцидентов<br /> безопасности) или имеется иная информация, указывающая на высокую возмож-<br /> ность реализации j-ой угрозы безопасности информации, у нарушителя имеются<br /> 22<br /> мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра-<br /> за в год.<br /> В случае отсутствия требуемых данных для оценки вероятности реализа-<br /> ции угрозы безопасности информации или наличия сомнений в объективности<br /> экспертных оценок при определении вербальных градаций вероятности реализа-<br /> ции угроз безопасности информации, актуальность j-ой угрозы безопасности<br /> информации определяется на основе оценки возможности ее реализации (Yj).<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оце-<br /> нивается исходя из уровня защищенности информационной системы (Y1) и по-<br /> тенциала нарушителя (Y2), необходимого для реализации этой угрозы безопас-<br /> ности информации в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования:<br /> Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> При определении угроз безопасности информации на этапе создания ин-<br /> формационной системы в случае, когда меры защиты информации не реализова-<br /> ны или не проведена оценка их достаточности и эффективности, оценка возмож-<br /> ности реализации j-ой угрозы безопасности информации (Yj) проводится относи-<br /> тельно уровня проектной защищенности информационной системы (Y1П):<br /> Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> Под уровнем проектной защищенности (Y1П) понимается исходная защи-<br /> щенность информационной системы, обусловленная заданными при проектиро-<br /> вании структурно-функциональными характеристиками и условиями ее функци-<br /> онирования. Уровень проектной защищенности (Y1П) определяется на основе<br /> анализа проектных структурно-функциональных характеристик, приведенных в<br /> таблице 3.<br /> Показатели, характеризующие проектную<br /> защищенность информационной системы<br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> В ходе создания информационной системы уровень ее проектной защи-<br /> щенности (Y1П) определяется следующим образом:<br /> а) информационная система имеет высокий уровень проектной защищен-<br /> ности (Y1П), если не менее 80% характеристик информационной системы соот-<br /> ветствуют уровню «высокий» (суммируются положительные решения по второ-<br /> му столбцу, соответствующему высокому уровню защищенности), а остальные -<br /> среднему уровню защищенности (положительные решения по третьему столб-<br /> цу);<br /> б) информационная система имеет средний уровень проектной защищен-<br /> ности (Y1П), если не выполняются условия по пункту а) и не менее 90% характе-<br /> ристик информационной системы соответствуют уровню не ниже «средний»<br /> (берется отношение суммы положительных решений по третьему столбцу, соот-<br /> ветствующему среднему уровню защищенности, к общему количеству решений),<br /> а остальные - низкому уровню защищенности;<br /> в) информационная система имеет низкий уровень проектной защищенно-<br /> сти (Y1П), если не выполняются условия по пунктам а) и б).<br /> В соответствии с требованиями о защите информации, не составляющей<br /> государственную тайну, содержащейся в государственных информационных си-<br /> стемах, до ввода в эксплуатацию информационной системы должны быть реали-<br /> зованы меры защиты информации, направленные на блокирование (нейтрализа-<br /> 25<br /> цию) актуальных угроз безопасности информации. Таким образом, ввод в экс-<br /> плуатацию информационной системы осуществляется при условии достижения<br /> высокого уровня исходной защищенности информационной системы от нару-<br /> шителя с заданным потенциалом.<br /> Вместе с тем, в ходе эксплуатации информационной системы возможно<br /> появление новых уязвимостей, повышение потенциала нарушителя, изменение<br /> структурно-функциональных характеристик, значимости обрабатываемой ин-<br /> формации, особенностей функционирования информационной системы и других<br /> условий, приводящих к возникновению новых угроз безопасности информации,<br /> которые могут существенно снизить уровень проектной защищенности инфор-<br /> мационной системы. В этом случае для поддержания уровня защищенности ин-<br /> формационной системы в ходе эксплуатации должен проводиться регулярный<br /> анализ изменения угроз безопасности информации, а актуальные угрозы без-<br /> опасности информации подлежат периодической переоценке.<br /> В ходе эксплуатации информационной системы уровень ее защищенности<br /> (Y1) определяется следующим образом:<br /> а) в информационной системе обеспечивается высокий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы не появились<br /> дополнительные угрозы безопасности информации или в отношении появив-<br /> шихся дополнительных угроз безопасности информации с высокой оперативно-<br /> стью («за минуты») могут быть приняты меры защиты информации, нейтрали-<br /> зующие эти угрозы;<br /> б) в информационной системе обеспечивается средний уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них оперативно<br /> («за часы») могут быть приняты меры защиты информации, нейтрализующие эти<br /> угрозы;<br /> в) в информационной системе обеспечивается низкий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них не могут<br /> быть с высокой оперативностью или оперативно приняты меры защиты инфор-<br /> мации, нейтрализующие эти угрозы.<br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас-<br /> ности информации, может быть базовым (низким), базовым повышенным (сред-<br /> ним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы без-<br /> опасности информации определяется на основе данных, приведенных в банке<br /> данных угроз безопасности информации ФСТЭК России, а также в базовых и<br /> типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК<br /> России для информационных систем различных классов и типов. В случае отсут-<br /> ствия информации о потенциале нарушителя для реализации j-ой угрозы без-<br /> опасности значение потенциала (Y2) определяется в соответствии с приложением<br /> № 3 к настоящей Методике.<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в за-<br /> висимости от уровня защищенности информационной системы (Y1/Y1П) и потен-<br /> 26<br /> циала нарушителя (Y2) определяется как высокая, средняя или низкая в соответ-<br /> ствии с таблицей 4.<br /> Возможность<br /> реализации угрозы безопасности информации<br /> Таблица 4<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> б) оценка степени возможного ущерба от реализации угрозы безопас-<br /> ности информации<br /> Для оценки степени возможного ущерба от реализации угрозы безопасно-<br /> сти информации определяются возможный результат реализации угрозы без-<br /> опасности информации в информационной системе, вид ущерба, к которому мо-<br /> жет привести реализация угрозы безопасности информации, степень послед-<br /> ствий от реализации угрозы безопасности информации для каждого вида ущер-<br /> ба.<br /> В качестве результата реализации угрозы безопасности информации рас-<br /> сматриваются непосредственное или опосредованное воздействие на конфиден-<br /> циальность, целостность, доступность информации, содержащейся в информа-<br /> ционной системе.<br /> Непосредственное воздействие на конфиденциальность, целостность, до-<br /> ступность информации возможно в результате реализации прямой угрозы без-<br /> опасности информации. В этом случае объектами воздействия угрозы являются<br /> непосредственно информация и (или) иные объекты защиты информационной<br /> системы или обеспечивающей инфраструктуры, которые обеспечивают получе-<br /> ние, обработку, хранение, передачу, уничтожение информации в информацион-<br /> ной системе, в результате доступа к которым или воздействия на которые воз-<br /> можно воздействие на конфиденциальность, целостность или доступность ин-<br /> формации.<br /> Опосредованное воздействие на конфиденциальность, целостность, до-<br /> ступность информации рассматривается в результате реализации косвенных<br /> угроз безопасности информации. Реализация косвенных угроз безопасности ин-<br /> формации не приводит непосредственно к воздействию на конфиденциальность,<br /> целостность, доступность информации, но создает условия для реализации од-<br /> ной или нескольких прямых угроз безопасности информации, позволяющих реа-<br /> лизовать такое воздействие. В этом случае в качестве результата реализации<br /> косвенной угрозы необходимо рассматривать результаты реализации всех пря-<br /> 27<br /> мых угроз безопасности информации, которые возможно реализовать в случае<br /> реализации данной косвенной угрозы.<br /> Результат реализации угрозы безопасности информации определяется воз-<br /> действием угрозы на каждое свойство безопасности информации (конфиденци-<br /> альность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> При обработке в информационной системе двух и более видов информации<br /> (служебная тайна, персональные данные, налоговая тайна, иные установленные<br /> законодательством Российской Федерации виды информации) воздействие на<br /> конфиденциальность, целостность, доступность определяется отдельно для каж-<br /> дого вида информации (k, …, m), содержащейся в информационной системе.<br /> Таблица 5<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> При определении степени возможного ущерба необходимо исходить из то-<br /> го, что в зависимости от целей и задач, решаемых информационной системой,<br /> видов обрабатываемой информации, воздействие на конфиденциальность, це-<br /> лостность или доступность каждого вида информации, содержащейся в инфор-<br /> мационной системе, может привести к различным видам ущерба. При этом для<br /> разных обладателей информации и операторов будут характерны разные виды<br /> ущерба.<br /> Основные виды ущерба и возможные негативные последствия, к которым<br /> может привести нарушение конфиденциальности, целостности, доступности ин-<br /> формации, приведены в таблице 6.<br /> 28<br /> Таблица 6<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> 30<br /> Указанные виды ущерба могут дополняться другими видами в зависимо-<br /> сти от целей и задач, решаемых информационной системой, а также вида обра-<br /> батываемой в ней информации.<br /> Степень возможного ущерба от реализации угрозы безопасности инфор-<br /> мации определяется степенью негативных последствий от нарушения конфиден-<br /> циальности, целостности или доступности каждого вида информации, содержа-<br /> щейся в информационной системе.<br /> Степень негативных последствий от нарушения конфиденциальности, це-<br /> лостности или доступности информации определяется для каждого вида ущерба,<br /> зависит от целей и задач, решаемых информационной системой, и может иметь<br /> разные значения для разных обладателей информации и операторов. В качестве<br /> единой шкалы измерения степени негативных последствий принимаются значе-<br /> ния «незначительные», «умеренные» и «существенные» негативные послед-<br /> ствия. Каждым оператором определяется в указанной единой шкале измерений<br /> степень негативных последствий от нарушения конфиденциальности, целостно-<br /> сти или доступности информации применительно ко всем целям и задачам, ре-<br /> шаемым информационной системой.<br /> Степень возможного ущерба определяется экспертным методом в соответ-<br /> ствии с таблицей 7.<br /> Таблица 7<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> 31<br /> При обработке в информационной системе двух и более видов информа-<br /> ции (служебная тайна, персональные данные, налоговая тайна и иные установ-<br /> ленные законодательством Российской Федерации виды информации) степень<br /> возможного ущерба определяется отдельно для каждого вида информации<br /> (k, …, m), обрабатываемой в информационной системе, применительно к каждо-<br /> му виду ущерба. Итоговая степень возможного ущерба устанавливается по<br /> наивысшим значениям степени возможного ущерба, определенным для конфи-<br /> денциальности, целостности, доступности информации каждого вида информа-<br /> ции применительно к каждому виду ущерба.<br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> в) определение актуальности угрозы безопасности информации<br /> Решение об актуальности угрозы безопасности информации УБИj<br /> А<br /> для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и условиями функционирования принимается в соответствии с таб-<br /> лицей 8.<br /> Таблица 8<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> 32<br /> =Приложение № 1= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> =Приложение № 2= <br /> к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=115 2015-10-02T08:15:25Z

<p>Hunter po: </p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> Целью определения угроз безопасности информации является установле-<br /> ние того, существует ли возможность нарушения конфиденциальности, целост-<br /> ности или доступности информации, содержащейся в информационной системе,<br /> и приведет ли нарушение хотя бы одного из указанных свойств безопасности<br /> информации к наступлению неприемлемых негативных последствий (ущерба)<br /> для обладателя информации или оператора, а в случае обработки персональных<br /> данных и для субъектов персональных данных.<br /> Определение угроз безопасности информации должно носить системати-<br /> ческий характер и осуществляться как на этапе создания информационной си-<br /> стемы и формирования требований по ее защите, так и в ходе эксплуатации ин-<br /> формационной системы. Систематический подход к определению угроз безопас-<br /> ности информации необходим для того, чтобы определить потребности в кон-<br /> кретных требованиях к защите информации и создать адекватную эффективную<br /> систему защиты информации в информационной системе. Меры защиты инфор-<br /> мации, принимаемые обладателем информации и оператором, должны обеспечи-<br /> вать эффективное и своевременное выявление и блокирование (нейтрализацию)<br /> угроз безопасности информации, в результате реализации которых возможно<br /> наступление неприемлемых негативных последствий (ущерба).<br /> Систематический подход к определению угроз безопасности информации<br /> предусматривает реализацию непрерывного процесса, в рамках которого опре-<br /> деляется область применения процесса определения угроз, идентифицируются<br /> источники угроз и угрозы безопасности информации, оценивается возможность<br /> реализации угроз безопасности информации и степень возможного ущерба в<br /> случае такой реализации, осуществляется мониторинг (периодический пере-<br /> смотр) и переоценка угроз безопасности информации.<br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> Рекомендации по формированию экспертной группы и проведению экспертной<br /> оценки при определении угроз безопасности информации приведены в приложе-<br /> нии № 1 к настоящей Методике.<br /> а) область применения процесса определения угроз безопасности ин-<br /> формации<br /> На этапах принятия решения о необходимости защиты информации в ин-<br /> формационной системе и разработки требований к защите информации должны<br /> быть определены физические и логические границы информационной системы, в<br /> которых принимаются и контролируются меры защиты информации, за которые<br /> ответственен оператор, а также определены объекты защиты и сегменты инфор-<br /> мационной системы.<br /> Процесс определения угроз безопасности информации должен охватывать<br /> все объекты защиты и сегменты в логических и физических границах информа-<br /> ционной системы, в которых оператором принимаются и контролируются меры <br /> 6<br /> защиты информации. Процесс определения угроз безопасности информации ор-<br /> ганизуется подразделением оператора, назначенным ответственным за защиту<br /> информации в информационной системе. В случае, если информационная систе-<br /> ма имеет сегменты, эксплуатируемые разными подразделениями оператора, ко-<br /> торые могут самостоятельно принимать и контролировать меры защиты инфор-<br /> мации, должны быть определены границы ответственности этих подразделений<br /> и порядок их взаимодействия в процессе определения угроз безопасности ин-<br /> формации.<br /> Область применения процесса определения угроз безопасности информа-<br /> ции отражается в модели угроз безопасности информации наряду с областью<br /> действия модели угроз, структурно-функциональными характеристиками ин-<br /> формационной системы и особенностями ее функционирования.<br /> б) идентификация источников угроз и угроз безопасности информации<br /> В обобщенном виде угрозы безопасности информации характеризуется ис-<br /> точниками угроз, факторами, обуславливающими возможность реализации<br /> угроз, способами (методами) реализации угроз и последствиями от реализации<br /> угроз безопасности информации.<br /> Важным этапом в процессе определения угроз безопасности информации<br /> является идентификация лиц или событий (явлений), в результате действий<br /> (наступления, возникновения) которых возможно нарушение конфиденциально-<br /> сти, целостности или доступности информации, содержащейся в информацион-<br /> ной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> В качестве источников угроз безопасности информации могут выступать<br /> субъекты (физические лица, организации, государства) или явления (техноген-<br /> ные аварии, стихийные бедствия, иные природные явления).<br /> Источники угроз безопасности информации являются определяющим<br /> фактором при определении угроз безопасности информации в информационных<br /> системах. В процессе определения угроз безопасности информации подлежат<br /> оценке те угрозы, у которых есть источники и источники имеют возможности и<br /> условия для реализации угроз безопасности информации в информационной си-<br /> стеме с заданными структурно-функциональными характеристиками и особен-<br /> ностями ее функционирования.<br /> Источники угроз безопасности информации могут быть следующих типов:<br /> антропогенные источники (антропогенные угрозы);<br /> техногенные источники (техногенные угрозы);<br /> стихийные источники (угрозы стихийных бедствий, иных природных яв-<br /> лений).<br /> В качестве источников антропогенных угроз безопасности информации<br /> могут выступать:<br /> лица, осуществляющие преднамеренные действия с целью доступа к ин-<br /> формации (воздействия на информацию), содержащейся в информационной си-<br /> стеме, или нарушения функционирования информационной системы или обслу-<br /> 7<br /> живающей ее инфраструктуры (преднамеренные угрозы безопасности информа-<br /> ции);<br /> лица, имеющие доступ к информационной системе, не преднамеренные<br /> действия которых могут привести к нарушению безопасности информации (не-<br /> преднамеренные угрозы безопасности информации).<br /> Для информационных систем, в которых целью защиты является обеспе-<br /> чение целостности и доступности обрабатываемой информации, в обязательном<br /> порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями<br /> в работе технических средств или программного обеспечения. Такие угрозы мо-<br /> гут быть обусловлены:<br /> низким качеством (надежностью) технических, программных или про-<br /> граммно-технических средств;<br /> низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> отсутствием или низкой эффективностью систем резервирования или дуб-<br /> лирования программно-технических и технических средств;<br /> низким качеством (надежностью) инженерных систем (кондиционирова-<br /> ния, электроснабжения, охранных систем и т.д.);<br /> низким качеством обслуживания со стороны обслуживающих организаций<br /> и лиц.<br /> При определении угроз безопасности информации оценке подлежат угро-<br /> зы, связанные со всеми типами источников. Однако в целях создания и эксплуа-<br /> тации адекватной эффективной системы защиты информации в информационной<br /> системе следует, в первую очередь, уделять внимание оценке антропогенных<br /> угроз, связанных с несанкционированными (неправомерными) действиями субъ-<br /> ектов по нарушению безопасности (конфиденциальности, целостности, доступ-<br /> ности) информации, в том числе целенаправленными воздействиями программ-<br /> ными (программно-техническими) средствами на информационные системы,<br /> осуществляемые в целях нарушения (прекращения) их функционирования (ком-<br /> пьютерные атаки).<br /> Также при определении угроз безопасности информации наряду с угроза-<br /> ми, реализация которых может привести непосредственно к нарушению конфи-<br /> денциальности, целостности или доступности информации (прямыми угрозами),<br /> необходимо выявлять и оценивать угрозы, создающие условия для реализации<br /> прямых угроз безопасности информации (косвенные угрозы). В качестве косвен-<br /> ных угроз безопасности информации могут рассматриваться угрозы повышения<br /> привилегий, исчерпания вычислительных ресурсов, недоступности обновления<br /> программного обеспечения и иные угрозы безопасности информации.<br /> В процессе определения угроз безопасности информации на всех стадиях<br /> (этапах) жизненного цикла информационных систем необходимо регулярно про-<br /> водить идентификацию источников угроз, оценивать их возможности и опреде-<br /> лять на этой основе угрозы безопасности информации. Данные о нарушителях и<br /> их возможностях по реализации угроз безопасности информации, полученные<br /> при идентификации источников угроз, включаются в модели угроз безопасности<br /> информации.<br /> 8<br /> Для идентификации угроз безопасности информации в информационной<br /> системе определяются:<br /> возможности (тип, вид, потенциал) нарушителей, необходимые им для ре-<br /> ализации угроз безопасности информации;<br /> уязвимости, которые могут использоваться при реализации угроз безопас-<br /> ности информации (включая специально внедренные программные закладки);<br /> способы (методы) реализации угроз безопасности информации;<br /> объекты информационной системы, на которые направлена угроза без-<br /> опасности информации (объекты воздействия);<br /> результат и последствия от реализации угроз безопасности информации.<br /> Каждая угроза безопасности информации в информационной системе опи-<br /> сывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угро-<br /> зы; объекты воздействия; последствия от реализации угрозы].<br /> в) оценка вероятности (возможности) реализации угроз безопасности<br /> информации и степени возможного ущерба<br /> Идентифицированная угроза безопасности информации подлежит нейтра-<br /> лизации (блокированию), если она является актуальной (УБИj<br /> А<br /> ) для информаци-<br /> онной системы, то есть в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования су-<br /> ществует вероятность (возможность) реализации рассматриваемой угрозы нару-<br /> шителем с соответствующим потенциалом и ее реализация приведет к неприем-<br /> лемым негативным последствиям (ущербу):<br /> УБИj<br /> А<br /> = [вероятность (возможность) реализации угрозы (Рj);<br /> степень ущерба (Хj)].<br /> Актуальные угрозы безопасности информации включаются в модель угроз<br /> безопасности информации. Модель угроз безопасности информации, учитывая<br /> особенности информационной системы, используемые в ней программные, про-<br /> граммно-технические, технические средства и процессы обработки информации,<br /> дает описание угроз безопасности, которым подвержена информационная систе-<br /> ма. Структура модели угроз безопасности информации приведена в приложении<br /> № 2 к настоящей Методике.<br /> г) мониторинг и переоценка угроз безопасности информации<br /> Определение угроз безопасности информации на этапе создания информа-<br /> ционной системы позволяет обеспечить формирование требований и внедрение<br /> эффективной адекватной системы защиты информации в информационной си-<br /> стеме для угроз, актуальных к моменту ввода в эксплуатацию информационной<br /> системы.<br /> 9<br /> В ходе эксплуатации информационной системы оператор, обеспечивая до-<br /> стижение целей и задач информационной системы, может изменять ее базовую<br /> конфигурацию, что приводит к изменению структурно-функциональных харак-<br /> теристик информационной системы и применяемых информационных техноло-<br /> гий. Также в процессе эксплуатации возможно изменение состава и значимости<br /> обрабатываемой информации и особенностей функционирования информацион-<br /> ной системы.<br /> В этих условиях процесс определения угроз безопасности информации<br /> должен носить систематический характер. В ходе эксплуатации информацион-<br /> ной системы регулярно проводится анализ изменения угроз безопасности ин-<br /> формации, а актуальные угрозы безопасности информации подлежат периодиче-<br /> ской переоценке. Периодичность переоценки определяется организацией исходя<br /> из особенностей функционирования информационной системы. Рекомендуется<br /> пересматривать угрозы безопасности информации не реже одного раза в год. По<br /> результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> Пересмотр (переоценка) угроз безопасности информации, как минимум,<br /> осуществляется в случаях:<br /> изменения требований законодательства Российской Федерации о защите<br /> информации, нормативных правовых актов и методических документов, регла-<br /> ментирующих защиту информации;<br /> изменения конфигурации (состава основных компонентов) и особенностей<br /> функционирования информационной системы, следствием которых стало воз-<br /> никновение новых угроз безопасности информации;<br /> выявления уязвимостей, приводящих к возникновению новых угроз без-<br /> опасности информации или к повышению возможности реализации существую-<br /> щих;<br /> появления сведений и фактов о новых возможностях нарушителей.<br /> 10<br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасно-<br /> сти информации является формирование предположения о типах, видах наруши-<br /> телей, которые могут реализовать угрозы безопасности информации в информа-<br /> ционной системе с заданными структурно-функциональными характеристиками<br /> и особенностями функционирования, а также потенциале этих нарушителей и<br /> возможных способах реализации угроз безопасности информации.<br /> Результаты оценки возможностей нарушителей включаются в модель<br /> нарушителя, которая является составной частью (разделом) модели угроз без-<br /> опасности информации и содержит:<br /> типы, виды и потенциал нарушителей, которые могут обеспечить реализа-<br /> цию угроз безопасности информации;<br /> цели, которые могут преследовать нарушители каждого вида при реализа-<br /> ции угроз безопасности информации;<br /> возможные способы реализации угроз безопасности информации.<br /> а) типы нарушителей<br /> Типы нарушителей определяются по результатам анализа прав доступа<br /> субъектов к информации и (или) к компонентам информационной системы, а<br /> также анализа возможностей нарушителей по доступу к компонентам информа-<br /> ционной системы исходя из структурно-функциональных характеристик и осо-<br /> бенностей функционирования информационной системы.<br /> В зависимости от имеющихся прав доступа нарушители могут иметь леги-<br /> тимный физический (непосредственный) и (или) логический доступ к компонен-<br /> там информационной системы и (или) содержащейся в них информации или не<br /> иметь такого доступа.<br /> Анализ прав доступа проводится, как минимум, в отношении следующих<br /> компонент информационной системы:<br /> устройств ввода/вывода (отображения) информации;<br /> беспроводных устройств;<br /> программных, программно-технических и технических средств обработки<br /> информации;<br /> съемных машинных носителей информации;<br /> машинных носителей информации, выведенных из эксплуатации;<br /> активного (коммутационного) и пассивного оборудования каналов связи;<br /> каналов связи, выходящих за пределы контролируемой зоны.<br /> С учетом наличия прав доступа и возможностей по доступу к информации<br /> и (или) к компонентам информационной системы нарушители подразделяются<br /> на два типа:<br /> 11<br /> внешние нарушители (тип I) – лица, не имеющие права доступа к инфор-<br /> мационной системе, ее отдельным компонентам и реализующие угрозы безопас-<br /> ности информации из-за границ информационной системы;<br /> внутренние нарушители (тип II) – лица, имеющие право постоянного или<br /> разового доступа к информационной системе, ее отдельным компонентам.<br /> Наибольшими возможностями по реализации угроз безопасности обладают<br /> внутренние нарушители. При оценке возможностей внутренних нарушителей<br /> необходимо учитывать принимаемые оператором организационные меры по до-<br /> пуску субъектов к работе в информационной системе. Возможности внутреннего<br /> нарушителя существенным образом зависят от установленного порядка допуска<br /> физических лиц к информационной системе и ее компонентам, а также мер по<br /> контролю за доступом и работой этих лиц.<br /> Внешнего нарушителя необходимо рассматривать в качестве актуального<br /> во всех случаях, когда имеются подключения информационной системы к внеш-<br /> ним информационно-телекоммуникационным сетям и (или) имеются линии свя-<br /> зи, выходящие за пределы контролируемой зоны, используемые для иных под-<br /> ключений.<br /> б) виды и потенциал нарушителей<br /> Угрозы безопасности информации в информационной системе могут быть<br /> реализованы следующими видами нарушителей:<br /> специальные службы иностранных государств (блоков государств);<br /> террористические, экстремистские группировки;<br /> преступные группы (криминальные структуры);<br /> внешние субъекты (физические лица);<br /> конкурирующие организации;<br /> разработчики, производители, поставщики программных, технических и<br /> программно-технических средств;<br /> лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и<br /> иных видов работ;<br /> лица, обеспечивающие функционирование информационных систем или<br /> обслуживающие инфраструктуру оператора (администрация, охрана, уборщики<br /> и т.д.);<br /> пользователи информационной системы;<br /> администраторы информационной системы и администраторы безопасно-<br /> сти;<br /> бывшие работники (пользователи).<br /> Виды нарушителей, характерных для информационной системы с задан-<br /> ными структурно-функциональными характеристиками и особенностями функ-<br /> ционирования, определяются на основе предположений (прогноза) о возможных<br /> целях (мотивации) при реализации угроз безопасности информации этими нару-<br /> шителями.<br /> В качестве возможных целей (мотивации) реализации нарушителями угроз<br /> безопасности информации в информационной системе могут быть:<br /> 12<br /> нанесение ущерба государству, отдельным его сферам деятельности или<br /> секторам экономики;<br /> реализация угроз безопасности информации по идеологическим или поли-<br /> тическим мотивам;<br /> организация террористического акта;<br /> причинение имущественного ущерба путем мошенничества или иным пре-<br /> ступным путем;<br /> дискредитация или дестабилизация деятельности органов государственной<br /> власти, организаций;<br /> получение конкурентных преимуществ;<br /> внедрение дополнительных функциональных возможностей в программное<br /> обеспечение или программно-технические средства на этапе разработки;<br /> любопытство или желание самореализации;<br /> выявление уязвимостей с целью их дальнейшей продажи и получения фи-<br /> нансовой выгоды;<br /> реализация угроз безопасности информации из мести;<br /> реализация угроз безопасности информации непреднамеренно из-за не-<br /> осторожности или неквалифицированных действий.<br /> Предположения о целях (мотивации) нарушителей делаются с учетом це-<br /> лей и задач информационной системы, вида обрабатываемой информации, а<br /> также с учетом результатов оценки степени возможных последствий (ущерба) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопас-<br /> ности информации приведены в таблице 1.<br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> При оценке возможностей нарушителей необходимо исходить из условий,<br /> что для повышения своих возможностей нарушители 1 вида могут вступать в<br /> сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут всту-<br /> пать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут<br /> вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких<br /> предположений цели (мотивация) и возможности нарушителей подлежат объ-<br /> единению.<br /> Возможности каждого вида нарушителя по реализации угроз безопасности<br /> информации характеризуются его потенциалом. Потенциал нарушителя опреде-<br /> ляется компетентностью, ресурсами и мотивацией, требуемыми для реализации<br /> угроз безопасности информации в информационной системе с заданными струк-<br /> 15<br /> турно-функциональными характеристиками и особенностями функционирова-<br /> ния.<br /> В зависимости от потенциала, требуемого для реализации угроз безопас-<br /> ности информации, нарушители подразделяются на:<br /> нарушителей, обладающих базовым (низким) потенциалом нападения при<br /> реализации угроз безопасности информации в информационной системе;<br /> нарушителей, обладающих базовым повышенным (средним) потенциалом<br /> нападения при реализации угроз безопасности информации в информационной<br /> системе;<br /> нарушителей, обладающих высоким потенциалом нападения при реализа-<br /> ции угроз безопасности информации в информационной системе.<br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> в) возможные способы реализации угроз безопасности информации<br /> Целью определения возможных способов реализации угроз безопасности<br /> информации является формирование предположений о возможных сценариях<br /> реализации угроз безопасности информации, описывающих последовательность<br /> (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и<br /> применяемые ими методы и средства для реализации угроз безопасности инфор-<br /> мации.<br /> Возможные способы реализации угроз безопасности информации зависят<br /> от структурно-функциональных характеристик и особенностей функционирова-<br /> ния информационной системы.<br /> Угрозы безопасности информации могут быть реализованы нарушителями<br /> за счет:<br /> несанкционированного доступа и (или) воздействия на объекты на аппа-<br /> ратном уровне (программы (микропрограммы), «прошитые» в аппаратных ком-<br /> понентах (чипсетах));<br /> несанкционированного доступа и (или) воздействия на объекты на обще-<br /> системном уровне (базовые системы ввода-вывода, гипервизоры, операционные<br /> системы);<br /> несанкционированного доступа и (или) воздействия на объекты на при-<br /> кладном уровне (системы управления базами данных, браузеры, web-<br /> приложения, иные прикладные программы общего и специального назначения);<br /> несанкционированного доступа и (или) воздействия на объекты на сетевом<br /> уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> 18<br /> несанкционированного физического доступа и (или) воздействия на линии,<br /> (каналы) связи, технические средства, машинные носители информации;<br /> воздействия на пользователей, администраторов безопасности, админи-<br /> страторов информационной системы или обслуживающий персонал (социальная<br /> инженерия).<br /> Действия нарушителя в зависимости от его потенциала при реализации<br /> угроз безопасности информации предусматривают идентификацию и использо-<br /> вание уязвимостей в микропрограммном, общесистемном и прикладном про-<br /> граммном обеспечении, сетевом оборудовании, применяемых в информацион-<br /> ной системе, а также в организации работ по защите информации и конфигура-<br /> ции информационной системы.<br /> При определении способа реализации угроз безопасности информации<br /> необходимо учитывать то, что угрозы безопасности информации могут быть ре-<br /> ализованы непосредственно за счет доступа к компонентам информационной си-<br /> стемы и (или) информации или опосредовано (косвенно) за счет создания усло-<br /> вий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или<br /> воздействия на обслуживающую инфраструктуру, за которую оператор не отве-<br /> чает. При этом локальной целью нарушителя, не имеющего доступа (прав досту-<br /> па) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через<br /> внешние сети связи общего пользования) и получение максимально возможных<br /> прав и привилегий при таком доступе.<br /> Нарушители могут совершать действия, следствием которых является<br /> нарушение безопасности информации, преднамеренно (преднамеренные грозы<br /> безопасности информации) или случайно (непреднамеренные грозы безопасно-<br /> сти информации).<br /> Преднамеренные действия нарушителей могут заключаться в реализации<br /> целенаправленных или нецеленаправленных угроз безопасности информации.<br /> Целенаправленная угроза безопасности информации направлена на инте-<br /> ресующую нарушителя информационную систему с заранее известными ему<br /> структурно-функциональными характеристиками и особенностями функциони-<br /> рования. Целенаправленная угроза безопасности информации адаптирована к<br /> структурно-функциональным характеристикам информационной системы. При<br /> подготовке и реализации целенаправленных угроз безопасности информации<br /> нарушитель может использовать методы социальной инженерии, которые позво-<br /> ляют ему изучить поведение пользователей и их реакцию на поступающие к ним<br /> внешние данные.<br /> Нецеленаправленная («веерная») угроза безопасности информации не ори-<br /> ентирована на конкретную информационную систему. Целями такой угрозы мо-<br /> гут являться несанкционированный доступ, перехват управления или воздей-<br /> ствие на как можно большее количество информационных систем. В данном<br /> случае нарушителю заранее не известны структурно-функциональные характе-<br /> ристики и условия функционирования информационной системы.<br /> Реализация преднамеренных угроз безопасности информации, как прави-<br /> ло, включает:<br /> 19<br /> сбор информации об информационной системе, ее структурно-<br /> функциональных характеристиках, условиях функционирования;<br /> выбор (разработка, приобретение) методов и средств, используемых для<br /> реализации угроз безопасности информации в информационной системе с задан-<br /> ными структурно-функциональными характеристиками и условиями функцио-<br /> нирования;<br /> непосредственная реализация угроз безопасности информации в информа-<br /> ционной системе (проникновение в информационную систему, закрепление в<br /> информационной системе, реализация неправомерных действий);<br /> устранение признаков и следов неправомерных действий в информацион-<br /> ной системе.<br /> В зависимости от целей и потенциала нарушителя на каждом из этапов мо-<br /> гут эксплуатироваться одна или несколько уязвимостей информационной систе-<br /> мы.<br /> При определении возможных способов реализации угроз безопасности<br /> информации необходимо исходить из следующих условий:<br /> нарушитель может действовать один или в составе группы нарушителей;<br /> в отношении информационной системы внешний нарушитель может дей-<br /> ствовать совместно с внутренним нарушителем;<br /> угрозы могут быть реализованы в любое время и в любой точке информа-<br /> ционной системы (на любом узле или хосте);<br /> для достижения своей цели нарушитель выбирает наиболее слабое звено<br /> информационной системы.<br /> Возможные способы реализации угроз безопасности информации, опреде-<br /> ленные на основе настоящего раздела, включаются в модель угроз безопасности<br /> информации.<br /> 20<br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> Угроза безопасности информации является актуальной (УБИj<br /> А<br /> ), если для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и особенностями функционирования существует вероятность реали-<br /> зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и<br /> ее реализация приведет к неприемлемым негативным последствиям (ущербу) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> В качестве показателя актуальности угрозы безопасности информации<br /> (УБИj<br /> А<br /> ) принимается двухкомпонентный вектор, первый компонент которого<br /> характеризует вероятность реализации угрозы (Рj), а второй – степень возможно-<br /> го ущерба в случае ее реализации (Хj)<br /> УБИj<br /> А<br /> = [вероятность реализации угрозы (Рj); степень ущерба (Хj)],<br /> где Рj определятся на основе анализа статистических данных о частоте ре-<br /> ализации угроз безопасности информации (возникновении инцидентов безопас-<br /> ности) в информационной системе и (или) однотипных информационных систе-<br /> мах, а Хj определяется на основе оценок степени последствий от нарушения<br /> конфиденциальности, целостности или доступности информации.<br /> При отсутствии статистических данных о реализации угроз безопасности<br /> информации (возникновении инцидентов безопасности) в информационной си-<br /> стеме и (или) однотипных информационных системах, актуальность угрозы без-<br /> опасности информации определяется на основе оценки возможности реализации<br /> угрозы безопасности информации (Yj)<br /> УБИj<br /> А<br /> = [возможность реализации угрозы (Yj); степень ущерба (Хj)],<br /> где Yj определятся на основе оценки уровня защищенности информацион-<br /> ной системы и потенциала нарушителя, требуемого для реализации угрозы без-<br /> опасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Актуальность угроз безопасности информации определяется в отношении<br /> угроз, для которых экспертным методом определено, что:<br /> возможности (потенциал) нарушителя достаточны для реализации угрозы<br /> безопасности информации;<br /> в информационной системе могут иметься потенциальные уязвимости, ко-<br /> торые могут быть использованы при реализации j-ой угрозы безопасности ин-<br /> формации;<br /> структурно-функциональные характеристики и особенности функциони-<br /> рования информационной системы не исключают возможности применения спо-<br /> собов, необходимых для реализации j-ой угрозы безопасности информации (су-<br /> ществует сценарий реализации угрозы безопасности);<br /> 21<br /> реализация угрозы безопасности информации приведет к нарушению кон-<br /> фиденциальности, целостности или доступности информации, в результате ко-<br /> торого возможно возникновение неприемлемых негативных последствий (ущер-<br /> ба).<br /> В качестве исходных данных об угрозах безопасности информации и их<br /> характеристиках используется банк данных угроз безопасности информации,<br /> сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые<br /> модели угроз безопасности информации, разрабатываемые ФСТЭК России для<br /> различных классов и типов информационных систем.<br /> Для определения угроз безопасности информации могут использоваться<br /> иные источники, в том числе опубликованные в общедоступных источниках<br /> данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по вы-<br /> явлению угроз безопасности информации. В этом случае потенциал нарушителя,<br /> возможные уязвимости, способы реализации угрозы безопасности информации и<br /> последствия от ее реализации определяются для каждой угрозы безопасности<br /> информации.<br /> а) оценка вероятности (возможности) реализации угрозы безопасности<br /> информации<br /> Под вероятностью реализации угрозы безопасности информации понима-<br /> ется определяемый экспертным путем показатель, характеризующий, насколько<br /> вероятным является реализация j-ой угрозы безопасности информации в инфор-<br /> мационной системе с заданными структурно-функциональными характеристи-<br /> ками и особенностями функционирования. Вводятся три вербальные градации<br /> этого показателя:<br /> низкая вероятность – отсутствуют объективные предпосылки к реализации<br /> j-ой угрозы безопасности информации, отсутствует требуемая статистика по<br /> фактам реализации j-ой угрозы безопасности информации (возникновения инци-<br /> дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз-<br /> можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> средняя вероятность – существуют предпосылки к реализации j-ой угрозы<br /> безопасности информации, зафиксированы случаи реализации j-ой угрозы без-<br /> опасности информации (возникновения инцидентов безопасности) или имеется<br /> иная информация, указывающая на возможность реализации j-ой угрозы без-<br /> опасности информации, существуют признаки наличия у нарушителя мотивации<br /> для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре-<br /> вышает 1 раза в год;<br /> высокая вероятность – существуют объективные предпосылки к реализа-<br /> ции j-ой угрозы безопасности информации, существует достоверная статистика<br /> реализации j-ой угрозы безопасности информации (возникновения инцидентов<br /> безопасности) или имеется иная информация, указывающая на высокую возмож-<br /> ность реализации j-ой угрозы безопасности информации, у нарушителя имеются<br /> 22<br /> мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра-<br /> за в год.<br /> В случае отсутствия требуемых данных для оценки вероятности реализа-<br /> ции угрозы безопасности информации или наличия сомнений в объективности<br /> экспертных оценок при определении вербальных градаций вероятности реализа-<br /> ции угроз безопасности информации, актуальность j-ой угрозы безопасности<br /> информации определяется на основе оценки возможности ее реализации (Yj).<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оце-<br /> нивается исходя из уровня защищенности информационной системы (Y1) и по-<br /> тенциала нарушителя (Y2), необходимого для реализации этой угрозы безопас-<br /> ности информации в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования:<br /> Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> При определении угроз безопасности информации на этапе создания ин-<br /> формационной системы в случае, когда меры защиты информации не реализова-<br /> ны или не проведена оценка их достаточности и эффективности, оценка возмож-<br /> ности реализации j-ой угрозы безопасности информации (Yj) проводится относи-<br /> тельно уровня проектной защищенности информационной системы (Y1П):<br /> Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> Под уровнем проектной защищенности (Y1П) понимается исходная защи-<br /> щенность информационной системы, обусловленная заданными при проектиро-<br /> вании структурно-функциональными характеристиками и условиями ее функци-<br /> онирования. Уровень проектной защищенности (Y1П) определяется на основе<br /> анализа проектных структурно-функциональных характеристик, приведенных в<br /> таблице 3.<br /> Показатели, характеризующие проектную<br /> защищенность информационной системы<br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> В ходе создания информационной системы уровень ее проектной защи-<br /> щенности (Y1П) определяется следующим образом:<br /> а) информационная система имеет высокий уровень проектной защищен-<br /> ности (Y1П), если не менее 80% характеристик информационной системы соот-<br /> ветствуют уровню «высокий» (суммируются положительные решения по второ-<br /> му столбцу, соответствующему высокому уровню защищенности), а остальные -<br /> среднему уровню защищенности (положительные решения по третьему столб-<br /> цу);<br /> б) информационная система имеет средний уровень проектной защищен-<br /> ности (Y1П), если не выполняются условия по пункту а) и не менее 90% характе-<br /> ристик информационной системы соответствуют уровню не ниже «средний»<br /> (берется отношение суммы положительных решений по третьему столбцу, соот-<br /> ветствующему среднему уровню защищенности, к общему количеству решений),<br /> а остальные - низкому уровню защищенности;<br /> в) информационная система имеет низкий уровень проектной защищенно-<br /> сти (Y1П), если не выполняются условия по пунктам а) и б).<br /> В соответствии с требованиями о защите информации, не составляющей<br /> государственную тайну, содержащейся в государственных информационных си-<br /> стемах, до ввода в эксплуатацию информационной системы должны быть реали-<br /> зованы меры защиты информации, направленные на блокирование (нейтрализа-<br /> 25<br /> цию) актуальных угроз безопасности информации. Таким образом, ввод в экс-<br /> плуатацию информационной системы осуществляется при условии достижения<br /> высокого уровня исходной защищенности информационной системы от нару-<br /> шителя с заданным потенциалом.<br /> Вместе с тем, в ходе эксплуатации информационной системы возможно<br /> появление новых уязвимостей, повышение потенциала нарушителя, изменение<br /> структурно-функциональных характеристик, значимости обрабатываемой ин-<br /> формации, особенностей функционирования информационной системы и других<br /> условий, приводящих к возникновению новых угроз безопасности информации,<br /> которые могут существенно снизить уровень проектной защищенности инфор-<br /> мационной системы. В этом случае для поддержания уровня защищенности ин-<br /> формационной системы в ходе эксплуатации должен проводиться регулярный<br /> анализ изменения угроз безопасности информации, а актуальные угрозы без-<br /> опасности информации подлежат периодической переоценке.<br /> В ходе эксплуатации информационной системы уровень ее защищенности<br /> (Y1) определяется следующим образом:<br /> а) в информационной системе обеспечивается высокий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы не появились<br /> дополнительные угрозы безопасности информации или в отношении появив-<br /> шихся дополнительных угроз безопасности информации с высокой оперативно-<br /> стью («за минуты») могут быть приняты меры защиты информации, нейтрали-<br /> зующие эти угрозы;<br /> б) в информационной системе обеспечивается средний уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них оперативно<br /> («за часы») могут быть приняты меры защиты информации, нейтрализующие эти<br /> угрозы;<br /> в) в информационной системе обеспечивается низкий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них не могут<br /> быть с высокой оперативностью или оперативно приняты меры защиты инфор-<br /> мации, нейтрализующие эти угрозы.<br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас-<br /> ности информации, может быть базовым (низким), базовым повышенным (сред-<br /> ним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы без-<br /> опасности информации определяется на основе данных, приведенных в банке<br /> данных угроз безопасности информации ФСТЭК России, а также в базовых и<br /> типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК<br /> России для информационных систем различных классов и типов. В случае отсут-<br /> ствия информации о потенциале нарушителя для реализации j-ой угрозы без-<br /> опасности значение потенциала (Y2) определяется в соответствии с приложением<br /> № 3 к настоящей Методике.<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в за-<br /> висимости от уровня защищенности информационной системы (Y1/Y1П) и потен-<br /> 26<br /> циала нарушителя (Y2) определяется как высокая, средняя или низкая в соответ-<br /> ствии с таблицей 4.<br /> Возможность<br /> реализации угрозы безопасности информации<br /> Таблица 4<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> б) оценка степени возможного ущерба от реализации угрозы безопас-<br /> ности информации<br /> Для оценки степени возможного ущерба от реализации угрозы безопасно-<br /> сти информации определяются возможный результат реализации угрозы без-<br /> опасности информации в информационной системе, вид ущерба, к которому мо-<br /> жет привести реализация угрозы безопасности информации, степень послед-<br /> ствий от реализации угрозы безопасности информации для каждого вида ущер-<br /> ба.<br /> В качестве результата реализации угрозы безопасности информации рас-<br /> сматриваются непосредственное или опосредованное воздействие на конфиден-<br /> циальность, целостность, доступность информации, содержащейся в информа-<br /> ционной системе.<br /> Непосредственное воздействие на конфиденциальность, целостность, до-<br /> ступность информации возможно в результате реализации прямой угрозы без-<br /> опасности информации. В этом случае объектами воздействия угрозы являются<br /> непосредственно информация и (или) иные объекты защиты информационной<br /> системы или обеспечивающей инфраструктуры, которые обеспечивают получе-<br /> ние, обработку, хранение, передачу, уничтожение информации в информацион-<br /> ной системе, в результате доступа к которым или воздействия на которые воз-<br /> можно воздействие на конфиденциальность, целостность или доступность ин-<br /> формации.<br /> Опосредованное воздействие на конфиденциальность, целостность, до-<br /> ступность информации рассматривается в результате реализации косвенных<br /> угроз безопасности информации. Реализация косвенных угроз безопасности ин-<br /> формации не приводит непосредственно к воздействию на конфиденциальность,<br /> целостность, доступность информации, но создает условия для реализации од-<br /> ной или нескольких прямых угроз безопасности информации, позволяющих реа-<br /> лизовать такое воздействие. В этом случае в качестве результата реализации<br /> косвенной угрозы необходимо рассматривать результаты реализации всех пря-<br /> 27<br /> мых угроз безопасности информации, которые возможно реализовать в случае<br /> реализации данной косвенной угрозы.<br /> Результат реализации угрозы безопасности информации определяется воз-<br /> действием угрозы на каждое свойство безопасности информации (конфиденци-<br /> альность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> При обработке в информационной системе двух и более видов информации<br /> (служебная тайна, персональные данные, налоговая тайна, иные установленные<br /> законодательством Российской Федерации виды информации) воздействие на<br /> конфиденциальность, целостность, доступность определяется отдельно для каж-<br /> дого вида информации (k, …, m), содержащейся в информационной системе.<br /> Таблица 5<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> При определении степени возможного ущерба необходимо исходить из то-<br /> го, что в зависимости от целей и задач, решаемых информационной системой,<br /> видов обрабатываемой информации, воздействие на конфиденциальность, це-<br /> лостность или доступность каждого вида информации, содержащейся в инфор-<br /> мационной системе, может привести к различным видам ущерба. При этом для<br /> разных обладателей информации и операторов будут характерны разные виды<br /> ущерба.<br /> Основные виды ущерба и возможные негативные последствия, к которым<br /> может привести нарушение конфиденциальности, целостности, доступности ин-<br /> формации, приведены в таблице 6.<br /> 28<br /> Таблица 6<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> 30<br /> Указанные виды ущерба могут дополняться другими видами в зависимо-<br /> сти от целей и задач, решаемых информационной системой, а также вида обра-<br /> батываемой в ней информации.<br /> Степень возможного ущерба от реализации угрозы безопасности инфор-<br /> мации определяется степенью негативных последствий от нарушения конфиден-<br /> циальности, целостности или доступности каждого вида информации, содержа-<br /> щейся в информационной системе.<br /> Степень негативных последствий от нарушения конфиденциальности, це-<br /> лостности или доступности информации определяется для каждого вида ущерба,<br /> зависит от целей и задач, решаемых информационной системой, и может иметь<br /> разные значения для разных обладателей информации и операторов. В качестве<br /> единой шкалы измерения степени негативных последствий принимаются значе-<br /> ния «незначительные», «умеренные» и «существенные» негативные послед-<br /> ствия. Каждым оператором определяется в указанной единой шкале измерений<br /> степень негативных последствий от нарушения конфиденциальности, целостно-<br /> сти или доступности информации применительно ко всем целям и задачам, ре-<br /> шаемым информационной системой.<br /> Степень возможного ущерба определяется экспертным методом в соответ-<br /> ствии с таблицей 7.<br /> Таблица 7<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> 31<br /> При обработке в информационной системе двух и более видов информа-<br /> ции (служебная тайна, персональные данные, налоговая тайна и иные установ-<br /> ленные законодательством Российской Федерации виды информации) степень<br /> возможного ущерба определяется отдельно для каждого вида информации<br /> (k, …, m), обрабатываемой в информационной системе, применительно к каждо-<br /> му виду ущерба. Итоговая степень возможного ущерба устанавливается по<br /> наивысшим значениям степени возможного ущерба, определенным для конфи-<br /> денциальности, целостности, доступности информации каждого вида информа-<br /> ции применительно к каждому виду ущерба.<br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> в) определение актуальности угрозы безопасности информации<br /> Решение об актуальности угрозы безопасности информации УБИj<br /> А<br /> для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и условиями функционирования принимается в соответствии с таб-<br /> лицей 8.<br /> Таблица 8<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> 32<br /> =Приложение № 1= к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> =Приложение № 2= к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> =Приложение № 3=<br /> к Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=114 2015-10-02T08:14:21Z

<p>Hunter po: /* ОБЩИЕ ПОЛОЖЕНИЯ */</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> <br /> СОДЕРЖАНИЕ<br /> 1. Общие положения…………………………………………………………... 3<br /> 2. Процесс определения угроз безопасности информации в информацион-<br /> ной системе...................................................................................................... 5<br /> 3. Оценка возможностей нарушителя по реализации угроз безопасности<br /> информации (разработка модели нарушителя)…………………………… 10<br /> 4. Определение актуальных угроз безопасности информации в информа-<br /> ционной системе…………………………………………………………….. 20<br /> Приложение № 1…………………………………………………………….<br /> Приложение № 2…………………………………………………………….<br /> Приложение № 3…………………………………………………………….<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> <br /> Настоящий методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах» (далее - Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Документ устанавливает единый методический подход к определению угроз безопасности информации и разработке моделей угроз безопасности информации в государственных информационных системах (далее – информационные системы), защита информации в которых обеспечивается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом России 31 мая 2013 г., рег. № 28608).<br /> <br /> По решению оператора персональных данных Методика может применяться для определения в соответствии с пунктом 1 части 2 статьи 19 Федерального закона «О персональных данных» угроз безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> <br /> Методика не распространяется на определение угроз безопасности информации, составляющей государственную тайну.<br /> <br /> Методика предназначена для:<br /> *органов государственной власти, органов местного самоуправления и организаций, являющихся в соответствии с законодательством Российской Федерации обладателями информации, заказчиками и (или) операторами информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию (проектированию) информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по защите информации в ходе создания (проектирования) и эксплуатации информационных систем;<br /> *организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по аттестации (оценке соответствия) информационных систем требованиям о защите информации.<br /> <br /> Настоящая Методика применяется на этапах создания информационных систем для определения и оценки угроз безопасности информации и разработки моделей угроз, а также в ходе эксплуатации информационных систем при периодическом пересмотре (переоценке) угроз безопасности информации.<br /> <br /> Методика применяется совместно с банком данных угроз безопасности информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и типовыми моделями угроз безопасности информации в информационных системах различных классов и типов, разрабатываемых ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.<br /> <br /> Методика ориентирована на определение и оценку антропогенных угроз безопасности информации, возникновение которых обусловлено объективными факторами. Вместе с тем, часть приведенных в Методике подходов может также применяться для оценки техногенных угроз в случае, если они позволяют достичь целей такой оценки. Определение угроз, связанных со стихийными бедствиями и природными явлениями осуществляется в соответствии с правилами, установленными уполномоченными федеральными органами исполнительной власти, национальными стандартами и находятся за рамками настоящей Методики.<br /> <br /> В случае, если в соответствии с настоящей Методикой к числу актуальных угроз, отнесены угрозы, связанные с утечкой информации по техническим каналам, дальнейшая их оценка проводится в соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации и методиками оценки защищенности конфиденциальной информации.<br /> <br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> <br /> В связи с утверждением настоящего методического документа не применяется для определения угроз безопасности информации Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> Целью определения угроз безопасности информации является установле-<br /> ние того, существует ли возможность нарушения конфиденциальности, целост-<br /> ности или доступности информации, содержащейся в информационной системе,<br /> и приведет ли нарушение хотя бы одного из указанных свойств безопасности<br /> информации к наступлению неприемлемых негативных последствий (ущерба)<br /> для обладателя информации или оператора, а в случае обработки персональных<br /> данных и для субъектов персональных данных.<br /> Определение угроз безопасности информации должно носить системати-<br /> ческий характер и осуществляться как на этапе создания информационной си-<br /> стемы и формирования требований по ее защите, так и в ходе эксплуатации ин-<br /> формационной системы. Систематический подход к определению угроз безопас-<br /> ности информации необходим для того, чтобы определить потребности в кон-<br /> кретных требованиях к защите информации и создать адекватную эффективную<br /> систему защиты информации в информационной системе. Меры защиты инфор-<br /> мации, принимаемые обладателем информации и оператором, должны обеспечи-<br /> вать эффективное и своевременное выявление и блокирование (нейтрализацию)<br /> угроз безопасности информации, в результате реализации которых возможно<br /> наступление неприемлемых негативных последствий (ущерба).<br /> Систематический подход к определению угроз безопасности информации<br /> предусматривает реализацию непрерывного процесса, в рамках которого опре-<br /> деляется область применения процесса определения угроз, идентифицируются<br /> источники угроз и угрозы безопасности информации, оценивается возможность<br /> реализации угроз безопасности информации и степень возможного ущерба в<br /> случае такой реализации, осуществляется мониторинг (периодический пере-<br /> смотр) и переоценка угроз безопасности информации.<br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> Рекомендации по формированию экспертной группы и проведению экспертной<br /> оценки при определении угроз безопасности информации приведены в приложе-<br /> нии № 1 к настоящей Методике.<br /> а) область применения процесса определения угроз безопасности ин-<br /> формации<br /> На этапах принятия решения о необходимости защиты информации в ин-<br /> формационной системе и разработки требований к защите информации должны<br /> быть определены физические и логические границы информационной системы, в<br /> которых принимаются и контролируются меры защиты информации, за которые<br /> ответственен оператор, а также определены объекты защиты и сегменты инфор-<br /> мационной системы.<br /> Процесс определения угроз безопасности информации должен охватывать<br /> все объекты защиты и сегменты в логических и физических границах информа-<br /> ционной системы, в которых оператором принимаются и контролируются меры <br /> 6<br /> защиты информации. Процесс определения угроз безопасности информации ор-<br /> ганизуется подразделением оператора, назначенным ответственным за защиту<br /> информации в информационной системе. В случае, если информационная систе-<br /> ма имеет сегменты, эксплуатируемые разными подразделениями оператора, ко-<br /> торые могут самостоятельно принимать и контролировать меры защиты инфор-<br /> мации, должны быть определены границы ответственности этих подразделений<br /> и порядок их взаимодействия в процессе определения угроз безопасности ин-<br /> формации.<br /> Область применения процесса определения угроз безопасности информа-<br /> ции отражается в модели угроз безопасности информации наряду с областью<br /> действия модели угроз, структурно-функциональными характеристиками ин-<br /> формационной системы и особенностями ее функционирования.<br /> б) идентификация источников угроз и угроз безопасности информации<br /> В обобщенном виде угрозы безопасности информации характеризуется ис-<br /> точниками угроз, факторами, обуславливающими возможность реализации<br /> угроз, способами (методами) реализации угроз и последствиями от реализации<br /> угроз безопасности информации.<br /> Важным этапом в процессе определения угроз безопасности информации<br /> является идентификация лиц или событий (явлений), в результате действий<br /> (наступления, возникновения) которых возможно нарушение конфиденциально-<br /> сти, целостности или доступности информации, содержащейся в информацион-<br /> ной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> В качестве источников угроз безопасности информации могут выступать<br /> субъекты (физические лица, организации, государства) или явления (техноген-<br /> ные аварии, стихийные бедствия, иные природные явления).<br /> Источники угроз безопасности информации являются определяющим<br /> фактором при определении угроз безопасности информации в информационных<br /> системах. В процессе определения угроз безопасности информации подлежат<br /> оценке те угрозы, у которых есть источники и источники имеют возможности и<br /> условия для реализации угроз безопасности информации в информационной си-<br /> стеме с заданными структурно-функциональными характеристиками и особен-<br /> ностями ее функционирования.<br /> Источники угроз безопасности информации могут быть следующих типов:<br /> антропогенные источники (антропогенные угрозы);<br /> техногенные источники (техногенные угрозы);<br /> стихийные источники (угрозы стихийных бедствий, иных природных яв-<br /> лений).<br /> В качестве источников антропогенных угроз безопасности информации<br /> могут выступать:<br /> лица, осуществляющие преднамеренные действия с целью доступа к ин-<br /> формации (воздействия на информацию), содержащейся в информационной си-<br /> стеме, или нарушения функционирования информационной системы или обслу-<br /> 7<br /> живающей ее инфраструктуры (преднамеренные угрозы безопасности информа-<br /> ции);<br /> лица, имеющие доступ к информационной системе, не преднамеренные<br /> действия которых могут привести к нарушению безопасности информации (не-<br /> преднамеренные угрозы безопасности информации).<br /> Для информационных систем, в которых целью защиты является обеспе-<br /> чение целостности и доступности обрабатываемой информации, в обязательном<br /> порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями<br /> в работе технических средств или программного обеспечения. Такие угрозы мо-<br /> гут быть обусловлены:<br /> низким качеством (надежностью) технических, программных или про-<br /> граммно-технических средств;<br /> низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> отсутствием или низкой эффективностью систем резервирования или дуб-<br /> лирования программно-технических и технических средств;<br /> низким качеством (надежностью) инженерных систем (кондиционирова-<br /> ния, электроснабжения, охранных систем и т.д.);<br /> низким качеством обслуживания со стороны обслуживающих организаций<br /> и лиц.<br /> При определении угроз безопасности информации оценке подлежат угро-<br /> зы, связанные со всеми типами источников. Однако в целях создания и эксплуа-<br /> тации адекватной эффективной системы защиты информации в информационной<br /> системе следует, в первую очередь, уделять внимание оценке антропогенных<br /> угроз, связанных с несанкционированными (неправомерными) действиями субъ-<br /> ектов по нарушению безопасности (конфиденциальности, целостности, доступ-<br /> ности) информации, в том числе целенаправленными воздействиями программ-<br /> ными (программно-техническими) средствами на информационные системы,<br /> осуществляемые в целях нарушения (прекращения) их функционирования (ком-<br /> пьютерные атаки).<br /> Также при определении угроз безопасности информации наряду с угроза-<br /> ми, реализация которых может привести непосредственно к нарушению конфи-<br /> денциальности, целостности или доступности информации (прямыми угрозами),<br /> необходимо выявлять и оценивать угрозы, создающие условия для реализации<br /> прямых угроз безопасности информации (косвенные угрозы). В качестве косвен-<br /> ных угроз безопасности информации могут рассматриваться угрозы повышения<br /> привилегий, исчерпания вычислительных ресурсов, недоступности обновления<br /> программного обеспечения и иные угрозы безопасности информации.<br /> В процессе определения угроз безопасности информации на всех стадиях<br /> (этапах) жизненного цикла информационных систем необходимо регулярно про-<br /> водить идентификацию источников угроз, оценивать их возможности и опреде-<br /> лять на этой основе угрозы безопасности информации. Данные о нарушителях и<br /> их возможностях по реализации угроз безопасности информации, полученные<br /> при идентификации источников угроз, включаются в модели угроз безопасности<br /> информации.<br /> 8<br /> Для идентификации угроз безопасности информации в информационной<br /> системе определяются:<br /> возможности (тип, вид, потенциал) нарушителей, необходимые им для ре-<br /> ализации угроз безопасности информации;<br /> уязвимости, которые могут использоваться при реализации угроз безопас-<br /> ности информации (включая специально внедренные программные закладки);<br /> способы (методы) реализации угроз безопасности информации;<br /> объекты информационной системы, на которые направлена угроза без-<br /> опасности информации (объекты воздействия);<br /> результат и последствия от реализации угроз безопасности информации.<br /> Каждая угроза безопасности информации в информационной системе опи-<br /> сывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угро-<br /> зы; объекты воздействия; последствия от реализации угрозы].<br /> в) оценка вероятности (возможности) реализации угроз безопасности<br /> информации и степени возможного ущерба<br /> Идентифицированная угроза безопасности информации подлежит нейтра-<br /> лизации (блокированию), если она является актуальной (УБИj<br /> А<br /> ) для информаци-<br /> онной системы, то есть в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования су-<br /> ществует вероятность (возможность) реализации рассматриваемой угрозы нару-<br /> шителем с соответствующим потенциалом и ее реализация приведет к неприем-<br /> лемым негативным последствиям (ущербу):<br /> УБИj<br /> А<br /> = [вероятность (возможность) реализации угрозы (Рj);<br /> степень ущерба (Хj)].<br /> Актуальные угрозы безопасности информации включаются в модель угроз<br /> безопасности информации. Модель угроз безопасности информации, учитывая<br /> особенности информационной системы, используемые в ней программные, про-<br /> граммно-технические, технические средства и процессы обработки информации,<br /> дает описание угроз безопасности, которым подвержена информационная систе-<br /> ма. Структура модели угроз безопасности информации приведена в приложении<br /> № 2 к настоящей Методике.<br /> г) мониторинг и переоценка угроз безопасности информации<br /> Определение угроз безопасности информации на этапе создания информа-<br /> ционной системы позволяет обеспечить формирование требований и внедрение<br /> эффективной адекватной системы защиты информации в информационной си-<br /> стеме для угроз, актуальных к моменту ввода в эксплуатацию информационной<br /> системы.<br /> 9<br /> В ходе эксплуатации информационной системы оператор, обеспечивая до-<br /> стижение целей и задач информационной системы, может изменять ее базовую<br /> конфигурацию, что приводит к изменению структурно-функциональных харак-<br /> теристик информационной системы и применяемых информационных техноло-<br /> гий. Также в процессе эксплуатации возможно изменение состава и значимости<br /> обрабатываемой информации и особенностей функционирования информацион-<br /> ной системы.<br /> В этих условиях процесс определения угроз безопасности информации<br /> должен носить систематический характер. В ходе эксплуатации информацион-<br /> ной системы регулярно проводится анализ изменения угроз безопасности ин-<br /> формации, а актуальные угрозы безопасности информации подлежат периодиче-<br /> ской переоценке. Периодичность переоценки определяется организацией исходя<br /> из особенностей функционирования информационной системы. Рекомендуется<br /> пересматривать угрозы безопасности информации не реже одного раза в год. По<br /> результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> Пересмотр (переоценка) угроз безопасности информации, как минимум,<br /> осуществляется в случаях:<br /> изменения требований законодательства Российской Федерации о защите<br /> информации, нормативных правовых актов и методических документов, регла-<br /> ментирующих защиту информации;<br /> изменения конфигурации (состава основных компонентов) и особенностей<br /> функционирования информационной системы, следствием которых стало воз-<br /> никновение новых угроз безопасности информации;<br /> выявления уязвимостей, приводящих к возникновению новых угроз без-<br /> опасности информации или к повышению возможности реализации существую-<br /> щих;<br /> появления сведений и фактов о новых возможностях нарушителей.<br /> 10<br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасно-<br /> сти информации является формирование предположения о типах, видах наруши-<br /> телей, которые могут реализовать угрозы безопасности информации в информа-<br /> ционной системе с заданными структурно-функциональными характеристиками<br /> и особенностями функционирования, а также потенциале этих нарушителей и<br /> возможных способах реализации угроз безопасности информации.<br /> Результаты оценки возможностей нарушителей включаются в модель<br /> нарушителя, которая является составной частью (разделом) модели угроз без-<br /> опасности информации и содержит:<br /> типы, виды и потенциал нарушителей, которые могут обеспечить реализа-<br /> цию угроз безопасности информации;<br /> цели, которые могут преследовать нарушители каждого вида при реализа-<br /> ции угроз безопасности информации;<br /> возможные способы реализации угроз безопасности информации.<br /> а) типы нарушителей<br /> Типы нарушителей определяются по результатам анализа прав доступа<br /> субъектов к информации и (или) к компонентам информационной системы, а<br /> также анализа возможностей нарушителей по доступу к компонентам информа-<br /> ционной системы исходя из структурно-функциональных характеристик и осо-<br /> бенностей функционирования информационной системы.<br /> В зависимости от имеющихся прав доступа нарушители могут иметь леги-<br /> тимный физический (непосредственный) и (или) логический доступ к компонен-<br /> там информационной системы и (или) содержащейся в них информации или не<br /> иметь такого доступа.<br /> Анализ прав доступа проводится, как минимум, в отношении следующих<br /> компонент информационной системы:<br /> устройств ввода/вывода (отображения) информации;<br /> беспроводных устройств;<br /> программных, программно-технических и технических средств обработки<br /> информации;<br /> съемных машинных носителей информации;<br /> машинных носителей информации, выведенных из эксплуатации;<br /> активного (коммутационного) и пассивного оборудования каналов связи;<br /> каналов связи, выходящих за пределы контролируемой зоны.<br /> С учетом наличия прав доступа и возможностей по доступу к информации<br /> и (или) к компонентам информационной системы нарушители подразделяются<br /> на два типа:<br /> 11<br /> внешние нарушители (тип I) – лица, не имеющие права доступа к инфор-<br /> мационной системе, ее отдельным компонентам и реализующие угрозы безопас-<br /> ности информации из-за границ информационной системы;<br /> внутренние нарушители (тип II) – лица, имеющие право постоянного или<br /> разового доступа к информационной системе, ее отдельным компонентам.<br /> Наибольшими возможностями по реализации угроз безопасности обладают<br /> внутренние нарушители. При оценке возможностей внутренних нарушителей<br /> необходимо учитывать принимаемые оператором организационные меры по до-<br /> пуску субъектов к работе в информационной системе. Возможности внутреннего<br /> нарушителя существенным образом зависят от установленного порядка допуска<br /> физических лиц к информационной системе и ее компонентам, а также мер по<br /> контролю за доступом и работой этих лиц.<br /> Внешнего нарушителя необходимо рассматривать в качестве актуального<br /> во всех случаях, когда имеются подключения информационной системы к внеш-<br /> ним информационно-телекоммуникационным сетям и (или) имеются линии свя-<br /> зи, выходящие за пределы контролируемой зоны, используемые для иных под-<br /> ключений.<br /> б) виды и потенциал нарушителей<br /> Угрозы безопасности информации в информационной системе могут быть<br /> реализованы следующими видами нарушителей:<br /> специальные службы иностранных государств (блоков государств);<br /> террористические, экстремистские группировки;<br /> преступные группы (криминальные структуры);<br /> внешние субъекты (физические лица);<br /> конкурирующие организации;<br /> разработчики, производители, поставщики программных, технических и<br /> программно-технических средств;<br /> лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и<br /> иных видов работ;<br /> лица, обеспечивающие функционирование информационных систем или<br /> обслуживающие инфраструктуру оператора (администрация, охрана, уборщики<br /> и т.д.);<br /> пользователи информационной системы;<br /> администраторы информационной системы и администраторы безопасно-<br /> сти;<br /> бывшие работники (пользователи).<br /> Виды нарушителей, характерных для информационной системы с задан-<br /> ными структурно-функциональными характеристиками и особенностями функ-<br /> ционирования, определяются на основе предположений (прогноза) о возможных<br /> целях (мотивации) при реализации угроз безопасности информации этими нару-<br /> шителями.<br /> В качестве возможных целей (мотивации) реализации нарушителями угроз<br /> безопасности информации в информационной системе могут быть:<br /> 12<br /> нанесение ущерба государству, отдельным его сферам деятельности или<br /> секторам экономики;<br /> реализация угроз безопасности информации по идеологическим или поли-<br /> тическим мотивам;<br /> организация террористического акта;<br /> причинение имущественного ущерба путем мошенничества или иным пре-<br /> ступным путем;<br /> дискредитация или дестабилизация деятельности органов государственной<br /> власти, организаций;<br /> получение конкурентных преимуществ;<br /> внедрение дополнительных функциональных возможностей в программное<br /> обеспечение или программно-технические средства на этапе разработки;<br /> любопытство или желание самореализации;<br /> выявление уязвимостей с целью их дальнейшей продажи и получения фи-<br /> нансовой выгоды;<br /> реализация угроз безопасности информации из мести;<br /> реализация угроз безопасности информации непреднамеренно из-за не-<br /> осторожности или неквалифицированных действий.<br /> Предположения о целях (мотивации) нарушителей делаются с учетом це-<br /> лей и задач информационной системы, вида обрабатываемой информации, а<br /> также с учетом результатов оценки степени возможных последствий (ущерба) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопас-<br /> ности информации приведены в таблице 1.<br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> При оценке возможностей нарушителей необходимо исходить из условий,<br /> что для повышения своих возможностей нарушители 1 вида могут вступать в<br /> сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут всту-<br /> пать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут<br /> вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких<br /> предположений цели (мотивация) и возможности нарушителей подлежат объ-<br /> единению.<br /> Возможности каждого вида нарушителя по реализации угроз безопасности<br /> информации характеризуются его потенциалом. Потенциал нарушителя опреде-<br /> ляется компетентностью, ресурсами и мотивацией, требуемыми для реализации<br /> угроз безопасности информации в информационной системе с заданными струк-<br /> 15<br /> турно-функциональными характеристиками и особенностями функционирова-<br /> ния.<br /> В зависимости от потенциала, требуемого для реализации угроз безопас-<br /> ности информации, нарушители подразделяются на:<br /> нарушителей, обладающих базовым (низким) потенциалом нападения при<br /> реализации угроз безопасности информации в информационной системе;<br /> нарушителей, обладающих базовым повышенным (средним) потенциалом<br /> нападения при реализации угроз безопасности информации в информационной<br /> системе;<br /> нарушителей, обладающих высоким потенциалом нападения при реализа-<br /> ции угроз безопасности информации в информационной системе.<br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> в) возможные способы реализации угроз безопасности информации<br /> Целью определения возможных способов реализации угроз безопасности<br /> информации является формирование предположений о возможных сценариях<br /> реализации угроз безопасности информации, описывающих последовательность<br /> (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и<br /> применяемые ими методы и средства для реализации угроз безопасности инфор-<br /> мации.<br /> Возможные способы реализации угроз безопасности информации зависят<br /> от структурно-функциональных характеристик и особенностей функционирова-<br /> ния информационной системы.<br /> Угрозы безопасности информации могут быть реализованы нарушителями<br /> за счет:<br /> несанкционированного доступа и (или) воздействия на объекты на аппа-<br /> ратном уровне (программы (микропрограммы), «прошитые» в аппаратных ком-<br /> понентах (чипсетах));<br /> несанкционированного доступа и (или) воздействия на объекты на обще-<br /> системном уровне (базовые системы ввода-вывода, гипервизоры, операционные<br /> системы);<br /> несанкционированного доступа и (или) воздействия на объекты на при-<br /> кладном уровне (системы управления базами данных, браузеры, web-<br /> приложения, иные прикладные программы общего и специального назначения);<br /> несанкционированного доступа и (или) воздействия на объекты на сетевом<br /> уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> 18<br /> несанкционированного физического доступа и (или) воздействия на линии,<br /> (каналы) связи, технические средства, машинные носители информации;<br /> воздействия на пользователей, администраторов безопасности, админи-<br /> страторов информационной системы или обслуживающий персонал (социальная<br /> инженерия).<br /> Действия нарушителя в зависимости от его потенциала при реализации<br /> угроз безопасности информации предусматривают идентификацию и использо-<br /> вание уязвимостей в микропрограммном, общесистемном и прикладном про-<br /> граммном обеспечении, сетевом оборудовании, применяемых в информацион-<br /> ной системе, а также в организации работ по защите информации и конфигура-<br /> ции информационной системы.<br /> При определении способа реализации угроз безопасности информации<br /> необходимо учитывать то, что угрозы безопасности информации могут быть ре-<br /> ализованы непосредственно за счет доступа к компонентам информационной си-<br /> стемы и (или) информации или опосредовано (косвенно) за счет создания усло-<br /> вий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или<br /> воздействия на обслуживающую инфраструктуру, за которую оператор не отве-<br /> чает. При этом локальной целью нарушителя, не имеющего доступа (прав досту-<br /> па) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через<br /> внешние сети связи общего пользования) и получение максимально возможных<br /> прав и привилегий при таком доступе.<br /> Нарушители могут совершать действия, следствием которых является<br /> нарушение безопасности информации, преднамеренно (преднамеренные грозы<br /> безопасности информации) или случайно (непреднамеренные грозы безопасно-<br /> сти информации).<br /> Преднамеренные действия нарушителей могут заключаться в реализации<br /> целенаправленных или нецеленаправленных угроз безопасности информации.<br /> Целенаправленная угроза безопасности информации направлена на инте-<br /> ресующую нарушителя информационную систему с заранее известными ему<br /> структурно-функциональными характеристиками и особенностями функциони-<br /> рования. Целенаправленная угроза безопасности информации адаптирована к<br /> структурно-функциональным характеристикам информационной системы. При<br /> подготовке и реализации целенаправленных угроз безопасности информации<br /> нарушитель может использовать методы социальной инженерии, которые позво-<br /> ляют ему изучить поведение пользователей и их реакцию на поступающие к ним<br /> внешние данные.<br /> Нецеленаправленная («веерная») угроза безопасности информации не ори-<br /> ентирована на конкретную информационную систему. Целями такой угрозы мо-<br /> гут являться несанкционированный доступ, перехват управления или воздей-<br /> ствие на как можно большее количество информационных систем. В данном<br /> случае нарушителю заранее не известны структурно-функциональные характе-<br /> ристики и условия функционирования информационной системы.<br /> Реализация преднамеренных угроз безопасности информации, как прави-<br /> ло, включает:<br /> 19<br /> сбор информации об информационной системе, ее структурно-<br /> функциональных характеристиках, условиях функционирования;<br /> выбор (разработка, приобретение) методов и средств, используемых для<br /> реализации угроз безопасности информации в информационной системе с задан-<br /> ными структурно-функциональными характеристиками и условиями функцио-<br /> нирования;<br /> непосредственная реализация угроз безопасности информации в информа-<br /> ционной системе (проникновение в информационную систему, закрепление в<br /> информационной системе, реализация неправомерных действий);<br /> устранение признаков и следов неправомерных действий в информацион-<br /> ной системе.<br /> В зависимости от целей и потенциала нарушителя на каждом из этапов мо-<br /> гут эксплуатироваться одна или несколько уязвимостей информационной систе-<br /> мы.<br /> При определении возможных способов реализации угроз безопасности<br /> информации необходимо исходить из следующих условий:<br /> нарушитель может действовать один или в составе группы нарушителей;<br /> в отношении информационной системы внешний нарушитель может дей-<br /> ствовать совместно с внутренним нарушителем;<br /> угрозы могут быть реализованы в любое время и в любой точке информа-<br /> ционной системы (на любом узле или хосте);<br /> для достижения своей цели нарушитель выбирает наиболее слабое звено<br /> информационной системы.<br /> Возможные способы реализации угроз безопасности информации, опреде-<br /> ленные на основе настоящего раздела, включаются в модель угроз безопасности<br /> информации.<br /> 20<br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> Угроза безопасности информации является актуальной (УБИj<br /> А<br /> ), если для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и особенностями функционирования существует вероятность реали-<br /> зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и<br /> ее реализация приведет к неприемлемым негативным последствиям (ущербу) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> В качестве показателя актуальности угрозы безопасности информации<br /> (УБИj<br /> А<br /> ) принимается двухкомпонентный вектор, первый компонент которого<br /> характеризует вероятность реализации угрозы (Рj), а второй – степень возможно-<br /> го ущерба в случае ее реализации (Хj)<br /> УБИj<br /> А<br /> = [вероятность реализации угрозы (Рj); степень ущерба (Хj)],<br /> где Рj определятся на основе анализа статистических данных о частоте ре-<br /> ализации угроз безопасности информации (возникновении инцидентов безопас-<br /> ности) в информационной системе и (или) однотипных информационных систе-<br /> мах, а Хj определяется на основе оценок степени последствий от нарушения<br /> конфиденциальности, целостности или доступности информации.<br /> При отсутствии статистических данных о реализации угроз безопасности<br /> информации (возникновении инцидентов безопасности) в информационной си-<br /> стеме и (или) однотипных информационных системах, актуальность угрозы без-<br /> опасности информации определяется на основе оценки возможности реализации<br /> угрозы безопасности информации (Yj)<br /> УБИj<br /> А<br /> = [возможность реализации угрозы (Yj); степень ущерба (Хj)],<br /> где Yj определятся на основе оценки уровня защищенности информацион-<br /> ной системы и потенциала нарушителя, требуемого для реализации угрозы без-<br /> опасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Актуальность угроз безопасности информации определяется в отношении<br /> угроз, для которых экспертным методом определено, что:<br /> возможности (потенциал) нарушителя достаточны для реализации угрозы<br /> безопасности информации;<br /> в информационной системе могут иметься потенциальные уязвимости, ко-<br /> торые могут быть использованы при реализации j-ой угрозы безопасности ин-<br /> формации;<br /> структурно-функциональные характеристики и особенности функциони-<br /> рования информационной системы не исключают возможности применения спо-<br /> собов, необходимых для реализации j-ой угрозы безопасности информации (су-<br /> ществует сценарий реализации угрозы безопасности);<br /> 21<br /> реализация угрозы безопасности информации приведет к нарушению кон-<br /> фиденциальности, целостности или доступности информации, в результате ко-<br /> торого возможно возникновение неприемлемых негативных последствий (ущер-<br /> ба).<br /> В качестве исходных данных об угрозах безопасности информации и их<br /> характеристиках используется банк данных угроз безопасности информации,<br /> сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые<br /> модели угроз безопасности информации, разрабатываемые ФСТЭК России для<br /> различных классов и типов информационных систем.<br /> Для определения угроз безопасности информации могут использоваться<br /> иные источники, в том числе опубликованные в общедоступных источниках<br /> данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по вы-<br /> явлению угроз безопасности информации. В этом случае потенциал нарушителя,<br /> возможные уязвимости, способы реализации угрозы безопасности информации и<br /> последствия от ее реализации определяются для каждой угрозы безопасности<br /> информации.<br /> а) оценка вероятности (возможности) реализации угрозы безопасности<br /> информации<br /> Под вероятностью реализации угрозы безопасности информации понима-<br /> ется определяемый экспертным путем показатель, характеризующий, насколько<br /> вероятным является реализация j-ой угрозы безопасности информации в инфор-<br /> мационной системе с заданными структурно-функциональными характеристи-<br /> ками и особенностями функционирования. Вводятся три вербальные градации<br /> этого показателя:<br /> низкая вероятность – отсутствуют объективные предпосылки к реализации<br /> j-ой угрозы безопасности информации, отсутствует требуемая статистика по<br /> фактам реализации j-ой угрозы безопасности информации (возникновения инци-<br /> дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз-<br /> можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> средняя вероятность – существуют предпосылки к реализации j-ой угрозы<br /> безопасности информации, зафиксированы случаи реализации j-ой угрозы без-<br /> опасности информации (возникновения инцидентов безопасности) или имеется<br /> иная информация, указывающая на возможность реализации j-ой угрозы без-<br /> опасности информации, существуют признаки наличия у нарушителя мотивации<br /> для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре-<br /> вышает 1 раза в год;<br /> высокая вероятность – существуют объективные предпосылки к реализа-<br /> ции j-ой угрозы безопасности информации, существует достоверная статистика<br /> реализации j-ой угрозы безопасности информации (возникновения инцидентов<br /> безопасности) или имеется иная информация, указывающая на высокую возмож-<br /> ность реализации j-ой угрозы безопасности информации, у нарушителя имеются<br /> 22<br /> мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра-<br /> за в год.<br /> В случае отсутствия требуемых данных для оценки вероятности реализа-<br /> ции угрозы безопасности информации или наличия сомнений в объективности<br /> экспертных оценок при определении вербальных градаций вероятности реализа-<br /> ции угроз безопасности информации, актуальность j-ой угрозы безопасности<br /> информации определяется на основе оценки возможности ее реализации (Yj).<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оце-<br /> нивается исходя из уровня защищенности информационной системы (Y1) и по-<br /> тенциала нарушителя (Y2), необходимого для реализации этой угрозы безопас-<br /> ности информации в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования:<br /> Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> При определении угроз безопасности информации на этапе создания ин-<br /> формационной системы в случае, когда меры защиты информации не реализова-<br /> ны или не проведена оценка их достаточности и эффективности, оценка возмож-<br /> ности реализации j-ой угрозы безопасности информации (Yj) проводится относи-<br /> тельно уровня проектной защищенности информационной системы (Y1П):<br /> Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> Под уровнем проектной защищенности (Y1П) понимается исходная защи-<br /> щенность информационной системы, обусловленная заданными при проектиро-<br /> вании структурно-функциональными характеристиками и условиями ее функци-<br /> онирования. Уровень проектной защищенности (Y1П) определяется на основе<br /> анализа проектных структурно-функциональных характеристик, приведенных в<br /> таблице 3.<br /> Показатели, характеризующие проектную<br /> защищенность информационной системы<br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> В ходе создания информационной системы уровень ее проектной защи-<br /> щенности (Y1П) определяется следующим образом:<br /> а) информационная система имеет высокий уровень проектной защищен-<br /> ности (Y1П), если не менее 80% характеристик информационной системы соот-<br /> ветствуют уровню «высокий» (суммируются положительные решения по второ-<br /> му столбцу, соответствующему высокому уровню защищенности), а остальные -<br /> среднему уровню защищенности (положительные решения по третьему столб-<br /> цу);<br /> б) информационная система имеет средний уровень проектной защищен-<br /> ности (Y1П), если не выполняются условия по пункту а) и не менее 90% характе-<br /> ристик информационной системы соответствуют уровню не ниже «средний»<br /> (берется отношение суммы положительных решений по третьему столбцу, соот-<br /> ветствующему среднему уровню защищенности, к общему количеству решений),<br /> а остальные - низкому уровню защищенности;<br /> в) информационная система имеет низкий уровень проектной защищенно-<br /> сти (Y1П), если не выполняются условия по пунктам а) и б).<br /> В соответствии с требованиями о защите информации, не составляющей<br /> государственную тайну, содержащейся в государственных информационных си-<br /> стемах, до ввода в эксплуатацию информационной системы должны быть реали-<br /> зованы меры защиты информации, направленные на блокирование (нейтрализа-<br /> 25<br /> цию) актуальных угроз безопасности информации. Таким образом, ввод в экс-<br /> плуатацию информационной системы осуществляется при условии достижения<br /> высокого уровня исходной защищенности информационной системы от нару-<br /> шителя с заданным потенциалом.<br /> Вместе с тем, в ходе эксплуатации информационной системы возможно<br /> появление новых уязвимостей, повышение потенциала нарушителя, изменение<br /> структурно-функциональных характеристик, значимости обрабатываемой ин-<br /> формации, особенностей функционирования информационной системы и других<br /> условий, приводящих к возникновению новых угроз безопасности информации,<br /> которые могут существенно снизить уровень проектной защищенности инфор-<br /> мационной системы. В этом случае для поддержания уровня защищенности ин-<br /> формационной системы в ходе эксплуатации должен проводиться регулярный<br /> анализ изменения угроз безопасности информации, а актуальные угрозы без-<br /> опасности информации подлежат периодической переоценке.<br /> В ходе эксплуатации информационной системы уровень ее защищенности<br /> (Y1) определяется следующим образом:<br /> а) в информационной системе обеспечивается высокий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы не появились<br /> дополнительные угрозы безопасности информации или в отношении появив-<br /> шихся дополнительных угроз безопасности информации с высокой оперативно-<br /> стью («за минуты») могут быть приняты меры защиты информации, нейтрали-<br /> зующие эти угрозы;<br /> б) в информационной системе обеспечивается средний уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них оперативно<br /> («за часы») могут быть приняты меры защиты информации, нейтрализующие эти<br /> угрозы;<br /> в) в информационной системе обеспечивается низкий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них не могут<br /> быть с высокой оперативностью или оперативно приняты меры защиты инфор-<br /> мации, нейтрализующие эти угрозы.<br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас-<br /> ности информации, может быть базовым (низким), базовым повышенным (сред-<br /> ним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы без-<br /> опасности информации определяется на основе данных, приведенных в банке<br /> данных угроз безопасности информации ФСТЭК России, а также в базовых и<br /> типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК<br /> России для информационных систем различных классов и типов. В случае отсут-<br /> ствия информации о потенциале нарушителя для реализации j-ой угрозы без-<br /> опасности значение потенциала (Y2) определяется в соответствии с приложением<br /> № 3 к настоящей Методике.<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в за-<br /> висимости от уровня защищенности информационной системы (Y1/Y1П) и потен-<br /> 26<br /> циала нарушителя (Y2) определяется как высокая, средняя или низкая в соответ-<br /> ствии с таблицей 4.<br /> Возможность<br /> реализации угрозы безопасности информации<br /> Таблица 4<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> б) оценка степени возможного ущерба от реализации угрозы безопас-<br /> ности информации<br /> Для оценки степени возможного ущерба от реализации угрозы безопасно-<br /> сти информации определяются возможный результат реализации угрозы без-<br /> опасности информации в информационной системе, вид ущерба, к которому мо-<br /> жет привести реализация угрозы безопасности информации, степень послед-<br /> ствий от реализации угрозы безопасности информации для каждого вида ущер-<br /> ба.<br /> В качестве результата реализации угрозы безопасности информации рас-<br /> сматриваются непосредственное или опосредованное воздействие на конфиден-<br /> циальность, целостность, доступность информации, содержащейся в информа-<br /> ционной системе.<br /> Непосредственное воздействие на конфиденциальность, целостность, до-<br /> ступность информации возможно в результате реализации прямой угрозы без-<br /> опасности информации. В этом случае объектами воздействия угрозы являются<br /> непосредственно информация и (или) иные объекты защиты информационной<br /> системы или обеспечивающей инфраструктуры, которые обеспечивают получе-<br /> ние, обработку, хранение, передачу, уничтожение информации в информацион-<br /> ной системе, в результате доступа к которым или воздействия на которые воз-<br /> можно воздействие на конфиденциальность, целостность или доступность ин-<br /> формации.<br /> Опосредованное воздействие на конфиденциальность, целостность, до-<br /> ступность информации рассматривается в результате реализации косвенных<br /> угроз безопасности информации. Реализация косвенных угроз безопасности ин-<br /> формации не приводит непосредственно к воздействию на конфиденциальность,<br /> целостность, доступность информации, но создает условия для реализации од-<br /> ной или нескольких прямых угроз безопасности информации, позволяющих реа-<br /> лизовать такое воздействие. В этом случае в качестве результата реализации<br /> косвенной угрозы необходимо рассматривать результаты реализации всех пря-<br /> 27<br /> мых угроз безопасности информации, которые возможно реализовать в случае<br /> реализации данной косвенной угрозы.<br /> Результат реализации угрозы безопасности информации определяется воз-<br /> действием угрозы на каждое свойство безопасности информации (конфиденци-<br /> альность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> При обработке в информационной системе двух и более видов информации<br /> (служебная тайна, персональные данные, налоговая тайна, иные установленные<br /> законодательством Российской Федерации виды информации) воздействие на<br /> конфиденциальность, целостность, доступность определяется отдельно для каж-<br /> дого вида информации (k, …, m), содержащейся в информационной системе.<br /> Таблица 5<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> При определении степени возможного ущерба необходимо исходить из то-<br /> го, что в зависимости от целей и задач, решаемых информационной системой,<br /> видов обрабатываемой информации, воздействие на конфиденциальность, це-<br /> лостность или доступность каждого вида информации, содержащейся в инфор-<br /> мационной системе, может привести к различным видам ущерба. При этом для<br /> разных обладателей информации и операторов будут характерны разные виды<br /> ущерба.<br /> Основные виды ущерба и возможные негативные последствия, к которым<br /> может привести нарушение конфиденциальности, целостности, доступности ин-<br /> формации, приведены в таблице 6.<br /> 28<br /> Таблица 6<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> 30<br /> Указанные виды ущерба могут дополняться другими видами в зависимо-<br /> сти от целей и задач, решаемых информационной системой, а также вида обра-<br /> батываемой в ней информации.<br /> Степень возможного ущерба от реализации угрозы безопасности инфор-<br /> мации определяется степенью негативных последствий от нарушения конфиден-<br /> циальности, целостности или доступности каждого вида информации, содержа-<br /> щейся в информационной системе.<br /> Степень негативных последствий от нарушения конфиденциальности, це-<br /> лостности или доступности информации определяется для каждого вида ущерба,<br /> зависит от целей и задач, решаемых информационной системой, и может иметь<br /> разные значения для разных обладателей информации и операторов. В качестве<br /> единой шкалы измерения степени негативных последствий принимаются значе-<br /> ния «незначительные», «умеренные» и «существенные» негативные послед-<br /> ствия. Каждым оператором определяется в указанной единой шкале измерений<br /> степень негативных последствий от нарушения конфиденциальности, целостно-<br /> сти или доступности информации применительно ко всем целям и задачам, ре-<br /> шаемым информационной системой.<br /> Степень возможного ущерба определяется экспертным методом в соответ-<br /> ствии с таблицей 7.<br /> Таблица 7<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> 31<br /> При обработке в информационной системе двух и более видов информа-<br /> ции (служебная тайна, персональные данные, налоговая тайна и иные установ-<br /> ленные законодательством Российской Федерации виды информации) степень<br /> возможного ущерба определяется отдельно для каждого вида информации<br /> (k, …, m), обрабатываемой в информационной системе, применительно к каждо-<br /> му виду ущерба. Итоговая степень возможного ущерба устанавливается по<br /> наивысшим значениям степени возможного ущерба, определенным для конфи-<br /> денциальности, целостности, доступности информации каждого вида информа-<br /> ции применительно к каждому виду ущерба.<br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> в) определение актуальности угрозы безопасности информации<br /> Решение об актуальности угрозы безопасности информации УБИj<br /> А<br /> для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и условиями функционирования принимается в соответствии с таб-<br /> лицей 8.<br /> Таблица 8<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> 32<br /> Приложение № 1 к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> Приложение № 2 к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> Приложение № 3 к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po https://mindstep.ru/wiki/index.php?title=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D0%BA%D0%B0_%D0%BE%D0%BF%D1%80%D0%B5%D0%B4%D0%B5%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F_%D1%83%D0%B3%D1%80%D0%BE%D0%B7_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8_%D0%B2_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D1%8B%D1%85_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0%D1%85&diff=113 2015-10-02T08:10:22Z

<p>Hunter po: Новая страница: «ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ (ФСТЭК РОССИИ) МЕТОДИЧЕСКИЙ…»</p> <hr /> <div>ФЕДЕРАЛЬНАЯ СЛУЖБА<br /> ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ<br /> (ФСТЭК РОССИИ)<br /> <br /> МЕТОДИЧЕСКИЙ ДОКУМЕНТ<br /> МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ<br /> (ПРОЕКТ) 2015<br /> <br /> <br /> СОДЕРЖАНИЕ<br /> 1. Общие положения…………………………………………………………... 3<br /> 2. Процесс определения угроз безопасности информации в информацион-<br /> ной системе...................................................................................................... 5<br /> 3. Оценка возможностей нарушителя по реализации угроз безопасности<br /> информации (разработка модели нарушителя)…………………………… 10<br /> 4. Определение актуальных угроз безопасности информации в информа-<br /> ционной системе…………………………………………………………….. 20<br /> Приложение № 1…………………………………………………………….<br /> Приложение № 2…………………………………………………………….<br /> Приложение № 3…………………………………………………………….<br /> <br /> =ОБЩИЕ ПОЛОЖЕНИЯ=<br /> Настоящий методический документ ФСТЭК России «Методика определе-<br /> ния угроз безопасности информации в информационных системах» (далее –<br /> Методика) разработан и утвержден в соответствии с подпунктом 4 пункта 8 По-<br /> ложения о Федеральной службе по техническому и экспортному контролю,<br /> утвержденного Указом Президента Российской Федерации от 16 августа 2004 г.<br /> № 1085.<br /> Документ устанавливает единый методический подход к определению<br /> угроз безопасности информации и разработке моделей угроз безопасности ин-<br /> формации в государственных информационных системах (далее – информаци-<br /> онные системы), защита информации в которых обеспечивается в соответствии с<br /> Требованиями о защите информации, не составляющей государственную тайну,<br /> содержащейся в государственных информационных системах, утвержденными<br /> приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Миню-<br /> стом России 31 мая 2013 г., рег. № 28608).<br /> По решению оператора персональных данных Методика может приме-<br /> няться для определения в соответствии с пунктом 1 части 2 статьи 19 Федераль-<br /> ного закона «О персональных данных» угроз безопасности персональных дан-<br /> ных при их обработке в информационных системах персональных данных, за-<br /> щита которых обеспечивается в соответствии с Составом и содержанием органи-<br /> зационных и технических мер по обеспечению безопасности персональных дан-<br /> ных при их обработке в информационных системах персональных данных,<br /> утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21 (зарегистри-<br /> рован Минюстом России 14 мая 2013 г., рег. № 28375).<br /> Методика не распространяется на определение угроз безопасности инфор-<br /> мации, составляющей государственную тайну.<br /> Методика предназначена для:<br /> органов государственной власти, органов местного самоуправления и ор-<br /> ганизаций, являющихся в соответствии с законодательством Российской Феде-<br /> рации обладателями информации, заказчиками и (или) операторами информаци-<br /> онных систем;<br /> организаций, осуществляющих в соответствии с законодательством Рос-<br /> сийской Федерации работы по созданию (проектированию) информационных<br /> систем;<br /> организаций, осуществляющих в соответствии с законодательством Рос-<br /> сийской Федерации работы по защите информации в ходе создания (проектиро-<br /> вания) и эксплуатации информационных систем;<br /> организаций, осуществляющих в соответствии с законодательством Рос-<br /> сийской Федерации работы по аттестации (оценке соответствия) информацион-<br /> ных систем требованиям о защите информации.<br /> Настоящая Методика применяется на этапах создания информационных<br /> систем для определения и оценки угроз безопасности информации и разработки<br /> моделей угроз, а также в ходе эксплуатации информационных систем при пери-<br /> одическом пересмотре (переоценке) угроз безопасности информации.<br /> 4<br /> Методика применяется совместно с банком данных угроз безопасности<br /> информации, сформированным ФСТЭК России (ubi.fstec.ru), а также базовыми и<br /> типовыми моделями угроз безопасности информации в информационных систе-<br /> мах различных классов и типов, разрабатываемых ФСТЭК России в соответ-<br /> ствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техниче-<br /> скому и экспортному контролю, утвержденного Указом Президента Российской<br /> Федерации от 16 августа 2004 г. № 1085.<br /> Методика ориентирована на определение и оценку антропогенных угроз<br /> безопасности информации, возникновение которых обусловлено объективными<br /> факторами. Вместе с тем, часть приведенных в Методике подходов может также<br /> применяться для оценки техногенных угроз в случае, если они позволяют до-<br /> стичь целей такой оценки. Определение угроз, связанных со стихийными бед-<br /> ствиями и природными явлениями осуществляется в соответствии с правилами,<br /> установленными уполномоченными федеральными органами исполнительной<br /> власти, национальными стандартами и находятся за рамками настоящей Мето-<br /> дики.<br /> В случае, если в соответствии с настоящей Методикой к числу актуальных<br /> угроз, отнесены угрозы, связанные с утечкой информации по техническим кана-<br /> лам, дальнейшая их оценка проводится в соответствии со специальными требо-<br /> ваниями и рекомендациями по технической защите конфиденциальной инфор-<br /> мации и методиками оценки защищенности конфиденциальной информации.<br /> В Методике используются термины и их определения, установленные<br /> национальными стандартами в области защиты информации.<br /> В связи с утверждением настоящего методического документа не приме-<br /> няется для определения угроз безопасности информации Методика определения<br /> актуальных угроз безопасности персональных данных при их обработке в ин-<br /> формационных системах персональных данных (ФСТЭК России, 2008 г.).<br /> <br /> =ПРОЦЕСС ОПРЕДЕЛЕНИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ=<br /> Целью определения угроз безопасности информации является установле-<br /> ние того, существует ли возможность нарушения конфиденциальности, целост-<br /> ности или доступности информации, содержащейся в информационной системе,<br /> и приведет ли нарушение хотя бы одного из указанных свойств безопасности<br /> информации к наступлению неприемлемых негативных последствий (ущерба)<br /> для обладателя информации или оператора, а в случае обработки персональных<br /> данных и для субъектов персональных данных.<br /> Определение угроз безопасности информации должно носить системати-<br /> ческий характер и осуществляться как на этапе создания информационной си-<br /> стемы и формирования требований по ее защите, так и в ходе эксплуатации ин-<br /> формационной системы. Систематический подход к определению угроз безопас-<br /> ности информации необходим для того, чтобы определить потребности в кон-<br /> кретных требованиях к защите информации и создать адекватную эффективную<br /> систему защиты информации в информационной системе. Меры защиты инфор-<br /> мации, принимаемые обладателем информации и оператором, должны обеспечи-<br /> вать эффективное и своевременное выявление и блокирование (нейтрализацию)<br /> угроз безопасности информации, в результате реализации которых возможно<br /> наступление неприемлемых негативных последствий (ущерба).<br /> Систематический подход к определению угроз безопасности информации<br /> предусматривает реализацию непрерывного процесса, в рамках которого опре-<br /> деляется область применения процесса определения угроз, идентифицируются<br /> источники угроз и угрозы безопасности информации, оценивается возможность<br /> реализации угроз безопасности информации и степень возможного ущерба в<br /> случае такой реализации, осуществляется мониторинг (периодический пере-<br /> смотр) и переоценка угроз безопасности информации.<br /> Оценка угроз безопасности информации проводится экспертным методом.<br /> Рекомендации по формированию экспертной группы и проведению экспертной<br /> оценки при определении угроз безопасности информации приведены в приложе-<br /> нии № 1 к настоящей Методике.<br /> а) область применения процесса определения угроз безопасности ин-<br /> формации<br /> На этапах принятия решения о необходимости защиты информации в ин-<br /> формационной системе и разработки требований к защите информации должны<br /> быть определены физические и логические границы информационной системы, в<br /> которых принимаются и контролируются меры защиты информации, за которые<br /> ответственен оператор, а также определены объекты защиты и сегменты инфор-<br /> мационной системы.<br /> Процесс определения угроз безопасности информации должен охватывать<br /> все объекты защиты и сегменты в логических и физических границах информа-<br /> ционной системы, в которых оператором принимаются и контролируются меры <br /> 6<br /> защиты информации. Процесс определения угроз безопасности информации ор-<br /> ганизуется подразделением оператора, назначенным ответственным за защиту<br /> информации в информационной системе. В случае, если информационная систе-<br /> ма имеет сегменты, эксплуатируемые разными подразделениями оператора, ко-<br /> торые могут самостоятельно принимать и контролировать меры защиты инфор-<br /> мации, должны быть определены границы ответственности этих подразделений<br /> и порядок их взаимодействия в процессе определения угроз безопасности ин-<br /> формации.<br /> Область применения процесса определения угроз безопасности информа-<br /> ции отражается в модели угроз безопасности информации наряду с областью<br /> действия модели угроз, структурно-функциональными характеристиками ин-<br /> формационной системы и особенностями ее функционирования.<br /> б) идентификация источников угроз и угроз безопасности информации<br /> В обобщенном виде угрозы безопасности информации характеризуется ис-<br /> точниками угроз, факторами, обуславливающими возможность реализации<br /> угроз, способами (методами) реализации угроз и последствиями от реализации<br /> угроз безопасности информации.<br /> Важным этапом в процессе определения угроз безопасности информации<br /> является идентификация лиц или событий (явлений), в результате действий<br /> (наступления, возникновения) которых возможно нарушение конфиденциально-<br /> сти, целостности или доступности информации, содержащейся в информацион-<br /> ной системе, и возникновение неприемлемых негативных последствий (ущерба).<br /> В качестве источников угроз безопасности информации могут выступать<br /> субъекты (физические лица, организации, государства) или явления (техноген-<br /> ные аварии, стихийные бедствия, иные природные явления).<br /> Источники угроз безопасности информации являются определяющим<br /> фактором при определении угроз безопасности информации в информационных<br /> системах. В процессе определения угроз безопасности информации подлежат<br /> оценке те угрозы, у которых есть источники и источники имеют возможности и<br /> условия для реализации угроз безопасности информации в информационной си-<br /> стеме с заданными структурно-функциональными характеристиками и особен-<br /> ностями ее функционирования.<br /> Источники угроз безопасности информации могут быть следующих типов:<br /> антропогенные источники (антропогенные угрозы);<br /> техногенные источники (техногенные угрозы);<br /> стихийные источники (угрозы стихийных бедствий, иных природных яв-<br /> лений).<br /> В качестве источников антропогенных угроз безопасности информации<br /> могут выступать:<br /> лица, осуществляющие преднамеренные действия с целью доступа к ин-<br /> формации (воздействия на информацию), содержащейся в информационной си-<br /> стеме, или нарушения функционирования информационной системы или обслу-<br /> 7<br /> живающей ее инфраструктуры (преднамеренные угрозы безопасности информа-<br /> ции);<br /> лица, имеющие доступ к информационной системе, не преднамеренные<br /> действия которых могут привести к нарушению безопасности информации (не-<br /> преднамеренные угрозы безопасности информации).<br /> Для информационных систем, в которых целью защиты является обеспе-<br /> чение целостности и доступности обрабатываемой информации, в обязательном<br /> порядке подлежат оценке техногенные угрозы, связанные с отказами или сбоями<br /> в работе технических средств или программного обеспечения. Такие угрозы мо-<br /> гут быть обусловлены:<br /> низким качеством (надежностью) технических, программных или про-<br /> граммно-технических средств;<br /> низким качеством (надежностью) сетей связи и (или) услуг связи;<br /> отсутствием или низкой эффективностью систем резервирования или дуб-<br /> лирования программно-технических и технических средств;<br /> низким качеством (надежностью) инженерных систем (кондиционирова-<br /> ния, электроснабжения, охранных систем и т.д.);<br /> низким качеством обслуживания со стороны обслуживающих организаций<br /> и лиц.<br /> При определении угроз безопасности информации оценке подлежат угро-<br /> зы, связанные со всеми типами источников. Однако в целях создания и эксплуа-<br /> тации адекватной эффективной системы защиты информации в информационной<br /> системе следует, в первую очередь, уделять внимание оценке антропогенных<br /> угроз, связанных с несанкционированными (неправомерными) действиями субъ-<br /> ектов по нарушению безопасности (конфиденциальности, целостности, доступ-<br /> ности) информации, в том числе целенаправленными воздействиями программ-<br /> ными (программно-техническими) средствами на информационные системы,<br /> осуществляемые в целях нарушения (прекращения) их функционирования (ком-<br /> пьютерные атаки).<br /> Также при определении угроз безопасности информации наряду с угроза-<br /> ми, реализация которых может привести непосредственно к нарушению конфи-<br /> денциальности, целостности или доступности информации (прямыми угрозами),<br /> необходимо выявлять и оценивать угрозы, создающие условия для реализации<br /> прямых угроз безопасности информации (косвенные угрозы). В качестве косвен-<br /> ных угроз безопасности информации могут рассматриваться угрозы повышения<br /> привилегий, исчерпания вычислительных ресурсов, недоступности обновления<br /> программного обеспечения и иные угрозы безопасности информации.<br /> В процессе определения угроз безопасности информации на всех стадиях<br /> (этапах) жизненного цикла информационных систем необходимо регулярно про-<br /> водить идентификацию источников угроз, оценивать их возможности и опреде-<br /> лять на этой основе угрозы безопасности информации. Данные о нарушителях и<br /> их возможностях по реализации угроз безопасности информации, полученные<br /> при идентификации источников угроз, включаются в модели угроз безопасности<br /> информации.<br /> 8<br /> Для идентификации угроз безопасности информации в информационной<br /> системе определяются:<br /> возможности (тип, вид, потенциал) нарушителей, необходимые им для ре-<br /> ализации угроз безопасности информации;<br /> уязвимости, которые могут использоваться при реализации угроз безопас-<br /> ности информации (включая специально внедренные программные закладки);<br /> способы (методы) реализации угроз безопасности информации;<br /> объекты информационной системы, на которые направлена угроза без-<br /> опасности информации (объекты воздействия);<br /> результат и последствия от реализации угроз безопасности информации.<br /> Каждая угроза безопасности информации в информационной системе опи-<br /> сывается (идентифицируется) следующим образом:<br /> УБИj = [нарушитель (источник угрозы); уязвимости; способы реализации угро-<br /> зы; объекты воздействия; последствия от реализации угрозы].<br /> в) оценка вероятности (возможности) реализации угроз безопасности<br /> информации и степени возможного ущерба<br /> Идентифицированная угроза безопасности информации подлежит нейтра-<br /> лизации (блокированию), если она является актуальной (УБИj<br /> А<br /> ) для информаци-<br /> онной системы, то есть в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования су-<br /> ществует вероятность (возможность) реализации рассматриваемой угрозы нару-<br /> шителем с соответствующим потенциалом и ее реализация приведет к неприем-<br /> лемым негативным последствиям (ущербу):<br /> УБИj<br /> А<br /> = [вероятность (возможность) реализации угрозы (Рj);<br /> степень ущерба (Хj)].<br /> Актуальные угрозы безопасности информации включаются в модель угроз<br /> безопасности информации. Модель угроз безопасности информации, учитывая<br /> особенности информационной системы, используемые в ней программные, про-<br /> граммно-технические, технические средства и процессы обработки информации,<br /> дает описание угроз безопасности, которым подвержена информационная систе-<br /> ма. Структура модели угроз безопасности информации приведена в приложении<br /> № 2 к настоящей Методике.<br /> г) мониторинг и переоценка угроз безопасности информации<br /> Определение угроз безопасности информации на этапе создания информа-<br /> ционной системы позволяет обеспечить формирование требований и внедрение<br /> эффективной адекватной системы защиты информации в информационной си-<br /> стеме для угроз, актуальных к моменту ввода в эксплуатацию информационной<br /> системы.<br /> 9<br /> В ходе эксплуатации информационной системы оператор, обеспечивая до-<br /> стижение целей и задач информационной системы, может изменять ее базовую<br /> конфигурацию, что приводит к изменению структурно-функциональных харак-<br /> теристик информационной системы и применяемых информационных техноло-<br /> гий. Также в процессе эксплуатации возможно изменение состава и значимости<br /> обрабатываемой информации и особенностей функционирования информацион-<br /> ной системы.<br /> В этих условиях процесс определения угроз безопасности информации<br /> должен носить систематический характер. В ходе эксплуатации информацион-<br /> ной системы регулярно проводится анализ изменения угроз безопасности ин-<br /> формации, а актуальные угрозы безопасности информации подлежат периодиче-<br /> ской переоценке. Периодичность переоценки определяется организацией исходя<br /> из особенностей функционирования информационной системы. Рекомендуется<br /> пересматривать угрозы безопасности информации не реже одного раза в год. По<br /> результатам анализа проводится уточнение (при необходимости) модели угроз<br /> безопасности информации.<br /> Пересмотр (переоценка) угроз безопасности информации, как минимум,<br /> осуществляется в случаях:<br /> изменения требований законодательства Российской Федерации о защите<br /> информации, нормативных правовых актов и методических документов, регла-<br /> ментирующих защиту информации;<br /> изменения конфигурации (состава основных компонентов) и особенностей<br /> функционирования информационной системы, следствием которых стало воз-<br /> никновение новых угроз безопасности информации;<br /> выявления уязвимостей, приводящих к возникновению новых угроз без-<br /> опасности информации или к повышению возможности реализации существую-<br /> щих;<br /> появления сведений и фактов о новых возможностях нарушителей.<br /> 10<br /> = ОЦЕНКА ВОЗМОЖНОСТЕЙ НАРУШИТЕЛЕЙ ПО РЕАЛИЗАЦИИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ (РАЗРАБОТКА МОДЕЛИ НАРУШИТЕЛЯ) =<br /> <br /> Целью оценки возможностей нарушителей по реализации угроз безопасно-<br /> сти информации является формирование предположения о типах, видах наруши-<br /> телей, которые могут реализовать угрозы безопасности информации в информа-<br /> ционной системе с заданными структурно-функциональными характеристиками<br /> и особенностями функционирования, а также потенциале этих нарушителей и<br /> возможных способах реализации угроз безопасности информации.<br /> Результаты оценки возможностей нарушителей включаются в модель<br /> нарушителя, которая является составной частью (разделом) модели угроз без-<br /> опасности информации и содержит:<br /> типы, виды и потенциал нарушителей, которые могут обеспечить реализа-<br /> цию угроз безопасности информации;<br /> цели, которые могут преследовать нарушители каждого вида при реализа-<br /> ции угроз безопасности информации;<br /> возможные способы реализации угроз безопасности информации.<br /> а) типы нарушителей<br /> Типы нарушителей определяются по результатам анализа прав доступа<br /> субъектов к информации и (или) к компонентам информационной системы, а<br /> также анализа возможностей нарушителей по доступу к компонентам информа-<br /> ционной системы исходя из структурно-функциональных характеристик и осо-<br /> бенностей функционирования информационной системы.<br /> В зависимости от имеющихся прав доступа нарушители могут иметь леги-<br /> тимный физический (непосредственный) и (или) логический доступ к компонен-<br /> там информационной системы и (или) содержащейся в них информации или не<br /> иметь такого доступа.<br /> Анализ прав доступа проводится, как минимум, в отношении следующих<br /> компонент информационной системы:<br /> устройств ввода/вывода (отображения) информации;<br /> беспроводных устройств;<br /> программных, программно-технических и технических средств обработки<br /> информации;<br /> съемных машинных носителей информации;<br /> машинных носителей информации, выведенных из эксплуатации;<br /> активного (коммутационного) и пассивного оборудования каналов связи;<br /> каналов связи, выходящих за пределы контролируемой зоны.<br /> С учетом наличия прав доступа и возможностей по доступу к информации<br /> и (или) к компонентам информационной системы нарушители подразделяются<br /> на два типа:<br /> 11<br /> внешние нарушители (тип I) – лица, не имеющие права доступа к инфор-<br /> мационной системе, ее отдельным компонентам и реализующие угрозы безопас-<br /> ности информации из-за границ информационной системы;<br /> внутренние нарушители (тип II) – лица, имеющие право постоянного или<br /> разового доступа к информационной системе, ее отдельным компонентам.<br /> Наибольшими возможностями по реализации угроз безопасности обладают<br /> внутренние нарушители. При оценке возможностей внутренних нарушителей<br /> необходимо учитывать принимаемые оператором организационные меры по до-<br /> пуску субъектов к работе в информационной системе. Возможности внутреннего<br /> нарушителя существенным образом зависят от установленного порядка допуска<br /> физических лиц к информационной системе и ее компонентам, а также мер по<br /> контролю за доступом и работой этих лиц.<br /> Внешнего нарушителя необходимо рассматривать в качестве актуального<br /> во всех случаях, когда имеются подключения информационной системы к внеш-<br /> ним информационно-телекоммуникационным сетям и (или) имеются линии свя-<br /> зи, выходящие за пределы контролируемой зоны, используемые для иных под-<br /> ключений.<br /> б) виды и потенциал нарушителей<br /> Угрозы безопасности информации в информационной системе могут быть<br /> реализованы следующими видами нарушителей:<br /> специальные службы иностранных государств (блоков государств);<br /> террористические, экстремистские группировки;<br /> преступные группы (криминальные структуры);<br /> внешние субъекты (физические лица);<br /> конкурирующие организации;<br /> разработчики, производители, поставщики программных, технических и<br /> программно-технических средств;<br /> лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и<br /> иных видов работ;<br /> лица, обеспечивающие функционирование информационных систем или<br /> обслуживающие инфраструктуру оператора (администрация, охрана, уборщики<br /> и т.д.);<br /> пользователи информационной системы;<br /> администраторы информационной системы и администраторы безопасно-<br /> сти;<br /> бывшие работники (пользователи).<br /> Виды нарушителей, характерных для информационной системы с задан-<br /> ными структурно-функциональными характеристиками и особенностями функ-<br /> ционирования, определяются на основе предположений (прогноза) о возможных<br /> целях (мотивации) при реализации угроз безопасности информации этими нару-<br /> шителями.<br /> В качестве возможных целей (мотивации) реализации нарушителями угроз<br /> безопасности информации в информационной системе могут быть:<br /> 12<br /> нанесение ущерба государству, отдельным его сферам деятельности или<br /> секторам экономики;<br /> реализация угроз безопасности информации по идеологическим или поли-<br /> тическим мотивам;<br /> организация террористического акта;<br /> причинение имущественного ущерба путем мошенничества или иным пре-<br /> ступным путем;<br /> дискредитация или дестабилизация деятельности органов государственной<br /> власти, организаций;<br /> получение конкурентных преимуществ;<br /> внедрение дополнительных функциональных возможностей в программное<br /> обеспечение или программно-технические средства на этапе разработки;<br /> любопытство или желание самореализации;<br /> выявление уязвимостей с целью их дальнейшей продажи и получения фи-<br /> нансовой выгоды;<br /> реализация угроз безопасности информации из мести;<br /> реализация угроз безопасности информации непреднамеренно из-за не-<br /> осторожности или неквалифицированных действий.<br /> Предположения о целях (мотивации) нарушителей делаются с учетом це-<br /> лей и задач информационной системы, вида обрабатываемой информации, а<br /> также с учетом результатов оценки степени возможных последствий (ущерба) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Виды нарушителя и их возможные цели (мотивация) реализации угроз безопас-<br /> ности информации приведены в таблице 1.<br /> Таблица 1<br /> №<br /> вида<br /> Виды<br /> нарушителя<br /> Типы<br /> нарушителя<br /> Возможные цели (мотивация)<br /> реализации угроз безопасности<br /> информации<br /> 1 Специальные службы<br /> иностранных государств<br /> (блоков государств)<br /> Внешний,<br /> внутренний<br /> Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Дискредитация или дестабили-<br /> зация деятельности органов<br /> государственной власти, орга-<br /> низаций<br /> 2 Террористические, экс-<br /> тремистские группиров-<br /> ки<br /> Внешний Нанесение ущерба государству,<br /> отдельным его сферам деятель-<br /> ности или секторам экономики.<br /> Совершение террористических<br /> актов.<br /> Идеологические или политиче-<br /> ские мотивы.<br /> Дестабилизация деятельности<br /> органов государственной вла-<br /> 13<br /> сти, организаций<br /> 3 Преступные группы<br /> (криминальные структу-<br /> ры)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 4 Внешние субъекты (фи-<br /> зические лица)<br /> Внешний Идеологические или политиче-<br /> ские мотивы.<br /> Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды<br /> 5 Конкурирующие орга-<br /> низации<br /> Внешний Получение конкурентных пре-<br /> имуществ.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием<br /> 6 Разработчики, произво-<br /> дители, поставщики про-<br /> граммных, технических и<br /> программно-технических<br /> средств<br /> Внешний Внедрение дополнительных<br /> функциональных возможностей<br /> в программное обеспечение или<br /> программно-технические сред-<br /> ства на этапе разработки.<br /> Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 7 Лица, привлекаемые для<br /> установки, наладки, мон-<br /> тажа, пусконаладочных и<br /> иных видов работ<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 8 Лица, обеспечивающие<br /> функционирование ин-<br /> формационных систем<br /> или обслуживающие ин-<br /> фраструктуру оператора<br /> Внутренний Причинение имущественного<br /> ущерба путем обмана или зло-<br /> употребления доверием.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> 14<br /> (администрация, охрана,<br /> уборщики и т.д.)<br /> ванные действия<br /> 9 Пользователи информа-<br /> ционной системы<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 10 Администраторы ин-<br /> формационной системы<br /> и администраторы без-<br /> опасности<br /> Внутренний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Любопытство или желание са-<br /> мореализации (подтверждение<br /> статуса).<br /> Месть за ранее совершенные<br /> действия.<br /> Выявление уязвимостей с це-<br /> лью их дальнейшей продажи и<br /> получения финансовой выгоды.<br /> Непреднамеренные, неосто-<br /> рожные или неквалифициро-<br /> ванные действия<br /> 11 Бывшие работники<br /> (пользователи)<br /> Внешний Причинение имущественного<br /> ущерба путем мошенничества<br /> или иным преступным путем.<br /> Месть за ранее совершенные<br /> действия<br /> При оценке возможностей нарушителей необходимо исходить из условий,<br /> что для повышения своих возможностей нарушители 1 вида могут вступать в<br /> сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут всту-<br /> пать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут<br /> вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких<br /> предположений цели (мотивация) и возможности нарушителей подлежат объ-<br /> единению.<br /> Возможности каждого вида нарушителя по реализации угроз безопасности<br /> информации характеризуются его потенциалом. Потенциал нарушителя опреде-<br /> ляется компетентностью, ресурсами и мотивацией, требуемыми для реализации<br /> угроз безопасности информации в информационной системе с заданными струк-<br /> 15<br /> турно-функциональными характеристиками и особенностями функционирова-<br /> ния.<br /> В зависимости от потенциала, требуемого для реализации угроз безопас-<br /> ности информации, нарушители подразделяются на:<br /> нарушителей, обладающих базовым (низким) потенциалом нападения при<br /> реализации угроз безопасности информации в информационной системе;<br /> нарушителей, обладающих базовым повышенным (средним) потенциалом<br /> нападения при реализации угроз безопасности информации в информационной<br /> системе;<br /> нарушителей, обладающих высоким потенциалом нападения при реализа-<br /> ции угроз безопасности информации в информационной системе.<br /> Потенциал нарушителей и их возможности приведены в таблице 2.<br /> Таблица 2<br /> № Потенциал<br /> нарушителей<br /> Виды<br /> нарушителей<br /> Возможности по реализации угроз без-<br /> опасности информации<br /> 1 Нарушители с<br /> базовым (низ-<br /> ким) потенци-<br /> алом<br /> Внешние субъ-<br /> екты (физические<br /> лица),<br /> лица, обеспечи-<br /> вающие функци-<br /> онирование ин-<br /> формационных<br /> систем или об-<br /> служивающих<br /> инфраструктуру<br /> оператора,<br /> пользователи<br /> информационной<br /> системы,<br /> бывшие работ-<br /> ники,<br /> лица, привлека-<br /> емые для уста-<br /> новки, наладки,<br /> монтажа, пуско-<br /> наладочных и<br /> иных работ<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> понент информационной системы,<br /> опубликованную в общедоступных ис-<br /> точниках.<br /> Имеют возможность получить инфор-<br /> мацию о методах и средствах реализа-<br /> ции угроз безопасности информации<br /> (компьютерных атак), опубликованных<br /> в общедоступных источниках, и (или)<br /> самостоятельно осуществляет создание<br /> методов и средств реализации атак и<br /> реализацию атак на информационную<br /> систему<br /> 2 Нарушители с<br /> базовым по-<br /> вышенным<br /> (средним) по-<br /> тенциалом<br /> Террористиче-<br /> ские, экстремист-<br /> ские группиров-<br /> ки,<br /> преступные<br /> группы (крими-<br /> нальные структу-<br /> Обладают всеми возможностями<br /> нарушителей с базовым потенциалом.<br /> Имеют осведомленность о мерах за-<br /> щиты информации, применяемых в ин-<br /> формационной системе данного типа.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях отдельных ком-<br /> 16<br /> ры),<br /> конкурирующие<br /> организации,<br /> разработчики,<br /> производители,<br /> поставщики про-<br /> граммных, техни-<br /> ческих и про-<br /> граммно-<br /> технических<br /> средств,<br /> администраторы<br /> информационной<br /> системы и адми-<br /> нистраторы без-<br /> опасности<br /> понент информационной системы пу-<br /> тем проведения, с использованием<br /> имеющихся в свободном доступе про-<br /> граммных средств, анализа кода при-<br /> кладного программного обеспечения и<br /> отдельных программных компонент<br /> общесистемного программного обеспе-<br /> чения.<br /> Имеют доступ к сведениям о струк-<br /> турно-функциональных характеристи-<br /> ках и особенностях функционирования<br /> информационной системы<br /> 3 Нарушители с<br /> высоким по-<br /> тенциалом<br /> Специальные<br /> службы ино-<br /> странных госу-<br /> дарств (блоков<br /> государств)<br /> Обладают всеми возможностями<br /> нарушителей с базовым и базовым по-<br /> вышенным потенциалами.<br /> Имеют возможность осуществлять не-<br /> санкционированный доступ из выде-<br /> ленных (ведомственных, корпоратив-<br /> ных) сетей связи, к которым возможен<br /> физический доступ (незащищенных ор-<br /> ганизационными мерами).<br /> Имеют возможность получить доступ<br /> к программному обеспечению чипсетов<br /> (микропрограммам), системному и при-<br /> кладному программному обеспечению,<br /> телекоммуникационному оборудова-<br /> нию и другим программно-техническим<br /> средствам информационной системы<br /> для преднамеренного внесения в них<br /> уязвимостей или программных закла-<br /> док.<br /> Имеют хорошую осведомленность о<br /> мерах защиты информации, применяе-<br /> мых в информационной системе, об ал-<br /> горитмах, аппаратных и программных<br /> средствах, используемых в информаци-<br /> онной системе.<br /> Имеют возможность получить инфор-<br /> мацию об уязвимостях путем проведе-<br /> ния специальных исследований (в том<br /> числе с привлечением специализиро-<br /> 17<br /> ванных научных организаций) и приме-<br /> нения специально разработанных<br /> средств для анализа программного<br /> обеспечения.<br /> Имеют возможность создания методов<br /> и средств реализации угроз безопасно-<br /> сти информации с привлечением специ-<br /> ализированных научных организаций и<br /> реализации угроз с применением специ-<br /> ально разработанных средств, в том<br /> числе обеспечивающих скрытное про-<br /> никновение в информационную систе-<br /> му и воздействие на нее.<br /> Имеют возможность создания и при-<br /> менения специальных технических<br /> средств для добывания информации<br /> (воздействия на информацию или тех-<br /> нические средства), распространяю-<br /> щейся в виде физических полей или яв-<br /> лений<br /> в) возможные способы реализации угроз безопасности информации<br /> Целью определения возможных способов реализации угроз безопасности<br /> информации является формирование предположений о возможных сценариях<br /> реализации угроз безопасности информации, описывающих последовательность<br /> (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и<br /> применяемые ими методы и средства для реализации угроз безопасности инфор-<br /> мации.<br /> Возможные способы реализации угроз безопасности информации зависят<br /> от структурно-функциональных характеристик и особенностей функционирова-<br /> ния информационной системы.<br /> Угрозы безопасности информации могут быть реализованы нарушителями<br /> за счет:<br /> несанкционированного доступа и (или) воздействия на объекты на аппа-<br /> ратном уровне (программы (микропрограммы), «прошитые» в аппаратных ком-<br /> понентах (чипсетах));<br /> несанкционированного доступа и (или) воздействия на объекты на обще-<br /> системном уровне (базовые системы ввода-вывода, гипервизоры, операционные<br /> системы);<br /> несанкционированного доступа и (или) воздействия на объекты на при-<br /> кладном уровне (системы управления базами данных, браузеры, web-<br /> приложения, иные прикладные программы общего и специального назначения);<br /> несанкционированного доступа и (или) воздействия на объекты на сетевом<br /> уровне (сетевое оборудование, сетевые приложения, сервисы);<br /> 18<br /> несанкционированного физического доступа и (или) воздействия на линии,<br /> (каналы) связи, технические средства, машинные носители информации;<br /> воздействия на пользователей, администраторов безопасности, админи-<br /> страторов информационной системы или обслуживающий персонал (социальная<br /> инженерия).<br /> Действия нарушителя в зависимости от его потенциала при реализации<br /> угроз безопасности информации предусматривают идентификацию и использо-<br /> вание уязвимостей в микропрограммном, общесистемном и прикладном про-<br /> граммном обеспечении, сетевом оборудовании, применяемых в информацион-<br /> ной системе, а также в организации работ по защите информации и конфигура-<br /> ции информационной системы.<br /> При определении способа реализации угроз безопасности информации<br /> необходимо учитывать то, что угрозы безопасности информации могут быть ре-<br /> ализованы непосредственно за счет доступа к компонентам информационной си-<br /> стемы и (или) информации или опосредовано (косвенно) за счет создания усло-<br /> вий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или<br /> воздействия на обслуживающую инфраструктуру, за которую оператор не отве-<br /> чает. При этом локальной целью нарушителя, не имеющего доступа (прав досту-<br /> па) к компонентам информационной системы и (или) информации, как правило,<br /> является получение доступа к информационной системе (в том числе через<br /> внешние сети связи общего пользования) и получение максимально возможных<br /> прав и привилегий при таком доступе.<br /> Нарушители могут совершать действия, следствием которых является<br /> нарушение безопасности информации, преднамеренно (преднамеренные грозы<br /> безопасности информации) или случайно (непреднамеренные грозы безопасно-<br /> сти информации).<br /> Преднамеренные действия нарушителей могут заключаться в реализации<br /> целенаправленных или нецеленаправленных угроз безопасности информации.<br /> Целенаправленная угроза безопасности информации направлена на инте-<br /> ресующую нарушителя информационную систему с заранее известными ему<br /> структурно-функциональными характеристиками и особенностями функциони-<br /> рования. Целенаправленная угроза безопасности информации адаптирована к<br /> структурно-функциональным характеристикам информационной системы. При<br /> подготовке и реализации целенаправленных угроз безопасности информации<br /> нарушитель может использовать методы социальной инженерии, которые позво-<br /> ляют ему изучить поведение пользователей и их реакцию на поступающие к ним<br /> внешние данные.<br /> Нецеленаправленная («веерная») угроза безопасности информации не ори-<br /> ентирована на конкретную информационную систему. Целями такой угрозы мо-<br /> гут являться несанкционированный доступ, перехват управления или воздей-<br /> ствие на как можно большее количество информационных систем. В данном<br /> случае нарушителю заранее не известны структурно-функциональные характе-<br /> ристики и условия функционирования информационной системы.<br /> Реализация преднамеренных угроз безопасности информации, как прави-<br /> ло, включает:<br /> 19<br /> сбор информации об информационной системе, ее структурно-<br /> функциональных характеристиках, условиях функционирования;<br /> выбор (разработка, приобретение) методов и средств, используемых для<br /> реализации угроз безопасности информации в информационной системе с задан-<br /> ными структурно-функциональными характеристиками и условиями функцио-<br /> нирования;<br /> непосредственная реализация угроз безопасности информации в информа-<br /> ционной системе (проникновение в информационную систему, закрепление в<br /> информационной системе, реализация неправомерных действий);<br /> устранение признаков и следов неправомерных действий в информацион-<br /> ной системе.<br /> В зависимости от целей и потенциала нарушителя на каждом из этапов мо-<br /> гут эксплуатироваться одна или несколько уязвимостей информационной систе-<br /> мы.<br /> При определении возможных способов реализации угроз безопасности<br /> информации необходимо исходить из следующих условий:<br /> нарушитель может действовать один или в составе группы нарушителей;<br /> в отношении информационной системы внешний нарушитель может дей-<br /> ствовать совместно с внутренним нарушителем;<br /> угрозы могут быть реализованы в любое время и в любой точке информа-<br /> ционной системы (на любом узле или хосте);<br /> для достижения своей цели нарушитель выбирает наиболее слабое звено<br /> информационной системы.<br /> Возможные способы реализации угроз безопасности информации, опреде-<br /> ленные на основе настоящего раздела, включаются в модель угроз безопасности<br /> информации.<br /> 20<br /> = ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ =<br /> Угроза безопасности информации является актуальной (УБИj<br /> А<br /> ), если для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и особенностями функционирования существует вероятность реали-<br /> зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и<br /> ее реализация приведет к неприемлемым негативным последствиям (ущербу) от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> В качестве показателя актуальности угрозы безопасности информации<br /> (УБИj<br /> А<br /> ) принимается двухкомпонентный вектор, первый компонент которого<br /> характеризует вероятность реализации угрозы (Рj), а второй – степень возможно-<br /> го ущерба в случае ее реализации (Хj)<br /> УБИj<br /> А<br /> = [вероятность реализации угрозы (Рj); степень ущерба (Хj)],<br /> где Рj определятся на основе анализа статистических данных о частоте ре-<br /> ализации угроз безопасности информации (возникновении инцидентов безопас-<br /> ности) в информационной системе и (или) однотипных информационных систе-<br /> мах, а Хj определяется на основе оценок степени последствий от нарушения<br /> конфиденциальности, целостности или доступности информации.<br /> При отсутствии статистических данных о реализации угроз безопасности<br /> информации (возникновении инцидентов безопасности) в информационной си-<br /> стеме и (или) однотипных информационных системах, актуальность угрозы без-<br /> опасности информации определяется на основе оценки возможности реализации<br /> угрозы безопасности информации (Yj)<br /> УБИj<br /> А<br /> = [возможность реализации угрозы (Yj); степень ущерба (Хj)],<br /> где Yj определятся на основе оценки уровня защищенности информацион-<br /> ной системы и потенциала нарушителя, требуемого для реализации угрозы без-<br /> опасности. Хj также определяется на основе оценок степени последствий от<br /> нарушения конфиденциальности, целостности или доступности информации.<br /> Актуальность угроз безопасности информации определяется в отношении<br /> угроз, для которых экспертным методом определено, что:<br /> возможности (потенциал) нарушителя достаточны для реализации угрозы<br /> безопасности информации;<br /> в информационной системе могут иметься потенциальные уязвимости, ко-<br /> торые могут быть использованы при реализации j-ой угрозы безопасности ин-<br /> формации;<br /> структурно-функциональные характеристики и особенности функциони-<br /> рования информационной системы не исключают возможности применения спо-<br /> собов, необходимых для реализации j-ой угрозы безопасности информации (су-<br /> ществует сценарий реализации угрозы безопасности);<br /> 21<br /> реализация угрозы безопасности информации приведет к нарушению кон-<br /> фиденциальности, целостности или доступности информации, в результате ко-<br /> торого возможно возникновение неприемлемых негативных последствий (ущер-<br /> ба).<br /> В качестве исходных данных об угрозах безопасности информации и их<br /> характеристиках используется банк данных угроз безопасности информации,<br /> сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые<br /> модели угроз безопасности информации, разрабатываемые ФСТЭК России для<br /> различных классов и типов информационных систем.<br /> Для определения угроз безопасности информации могут использоваться<br /> иные источники, в том числе опубликованные в общедоступных источниках<br /> данные об уязвимостях, компьютерных атаках, вредоносном программном<br /> обеспечении, а также результаты специально проведенных исследований по вы-<br /> явлению угроз безопасности информации. В этом случае потенциал нарушителя,<br /> возможные уязвимости, способы реализации угрозы безопасности информации и<br /> последствия от ее реализации определяются для каждой угрозы безопасности<br /> информации.<br /> а) оценка вероятности (возможности) реализации угрозы безопасности<br /> информации<br /> Под вероятностью реализации угрозы безопасности информации понима-<br /> ется определяемый экспертным путем показатель, характеризующий, насколько<br /> вероятным является реализация j-ой угрозы безопасности информации в инфор-<br /> мационной системе с заданными структурно-функциональными характеристи-<br /> ками и особенностями функционирования. Вводятся три вербальные градации<br /> этого показателя:<br /> низкая вероятность – отсутствуют объективные предпосылки к реализации<br /> j-ой угрозы безопасности информации, отсутствует требуемая статистика по<br /> фактам реализации j-ой угрозы безопасности информации (возникновения инци-<br /> дентов безопасности), отсутствует мотивация для реализации j-ой угрозы, воз-<br /> можная частота реализации j-ой угрозы не превышает 1 раза в 5 лет;<br /> средняя вероятность – существуют предпосылки к реализации j-ой угрозы<br /> безопасности информации, зафиксированы случаи реализации j-ой угрозы без-<br /> опасности информации (возникновения инцидентов безопасности) или имеется<br /> иная информация, указывающая на возможность реализации j-ой угрозы без-<br /> опасности информации, существуют признаки наличия у нарушителя мотивации<br /> для реализации такой угрозы, возможная частота реализации j-ой угрозы не пре-<br /> вышает 1 раза в год;<br /> высокая вероятность – существуют объективные предпосылки к реализа-<br /> ции j-ой угрозы безопасности информации, существует достоверная статистика<br /> реализации j-ой угрозы безопасности информации (возникновения инцидентов<br /> безопасности) или имеется иная информация, указывающая на высокую возмож-<br /> ность реализации j-ой угрозы безопасности информации, у нарушителя имеются<br /> 22<br /> мотивы для реализации j-ой угрозы, частота реализации j-ой угрозы – чаще 1 ра-<br /> за в год.<br /> В случае отсутствия требуемых данных для оценки вероятности реализа-<br /> ции угрозы безопасности информации или наличия сомнений в объективности<br /> экспертных оценок при определении вербальных градаций вероятности реализа-<br /> ции угроз безопасности информации, актуальность j-ой угрозы безопасности<br /> информации определяется на основе оценки возможности ее реализации (Yj).<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) оце-<br /> нивается исходя из уровня защищенности информационной системы (Y1) и по-<br /> тенциала нарушителя (Y2), необходимого для реализации этой угрозы безопас-<br /> ности информации в информационной системе с заданными структурно-<br /> функциональными характеристиками и особенностями функционирования:<br /> Yj = [уровень защищенности (Y1); потенциал нарушителя (Y2)].<br /> При определении угроз безопасности информации на этапе создания ин-<br /> формационной системы в случае, когда меры защиты информации не реализова-<br /> ны или не проведена оценка их достаточности и эффективности, оценка возмож-<br /> ности реализации j-ой угрозы безопасности информации (Yj) проводится относи-<br /> тельно уровня проектной защищенности информационной системы (Y1П):<br /> Yj = [уровень проектной защищенности (Y1П); потенциал нарушителя (Y2)].<br /> Под уровнем проектной защищенности (Y1П) понимается исходная защи-<br /> щенность информационной системы, обусловленная заданными при проектиро-<br /> вании структурно-функциональными характеристиками и условиями ее функци-<br /> онирования. Уровень проектной защищенности (Y1П) определяется на основе<br /> анализа проектных структурно-функциональных характеристик, приведенных в<br /> таблице 3.<br /> Показатели, характеризующие проектную<br /> защищенность информационной системы<br /> Таблица 3<br /> Структурно-функциональные характе-<br /> ристики информационной системы,<br /> условия ее эксплуатации<br /> Уровень проектной защищенности ин-<br /> формационной системы (Y1П)<br /> Высокий Средний Низкий<br /> 1. По структуре информационной си-<br /> стемы:<br /> автономное автоматизированное рабо-<br /> чее место;<br /> локальная информационная система;<br /> распределенная информационная си-<br /> стема<br /> +<br /> +<br /> +<br /> 2. По используемым информационным<br /> технологиям:<br /> 23<br /> системы на основе виртуализации;<br /> системы, реализующие «облачные<br /> вычисления»;<br /> системы с мобильными устройства-<br /> ми;<br /> системы с технологиями беспровод-<br /> ного доступа;<br /> грид<br /> -системы;<br /> суперкомпьютерные системы<br /> +<br /> +++++<br /> 3<br /> . По архитектуре информационной<br /> системы<br /> :<br /> системы на основе «тонкого клиен-<br /> та»;<br /> системы на основе одноранговой<br /> се-<br /> ти<br /> ;<br /> файл<br /> -серверные системы<br /> ;<br /> центры обработки данных;<br /> системы с уд<br /> аленным доступом<br /> пользователей;<br /> использование разных типов опера-<br /> ционных систем (гетерогенность сре-<br /> ды)<br /> ;<br /> использование прикладных про-<br /> грамм, независимых от операционных<br /> систем<br /> ;<br /> использование выделенных каналов<br /> связи<br /> +<br /> ++++<br /> +++<br /> 4<br /> . По наличию (отсутствию) взаимо-<br /> связей с иными информационными си-<br /> стемами<br /> :<br /> взаимодействующая с системами<br /> ;<br /> невзаимодействующая с системами<br /> +<br /> +<br /> 5<br /> . По наличию (отсутствию) взаимо-<br /> связей (подключений)<br /> к сетям связи<br /> общего пользования<br /> :<br /> подключенная<br /> ;<br /> подключенная через выделенную<br /> инфраструктуру (gov<br /> .ru или иную);<br /> неподключенной<br /> +<br /> +<br /> +<br /> 6<br /> . По размещению технических<br /> средств:<br /> расположенные в пределах одной<br /> контролируемой зоны;<br /> расположенные в пределах несколь-<br /> ких контролируемых зон;<br /> +<br /> +<br /> 24<br /> расположенные вне контролируемой<br /> зоны<br /> +<br /> 7. По режимам обработки информации<br /> в информационной системе:<br /> многопользовательский;<br /> однопользовательский +<br /> +<br /> 8. По режимам разграничения прав до-<br /> ступа:<br /> без разграничения;<br /> с разграничением +<br /> +<br /> 9. По режимам разделения функций по<br /> управлению информационной системой:<br /> без разделения;<br /> выделение рабочих мест для адми-<br /> нистрирования в отдельный домен;<br /> использование различных сетевых<br /> адресов;<br /> использование выделенных каналов<br /> для администрирования<br /> +<br /> +<br /> +<br /> +<br /> 10. По подходам к сегментированию<br /> информационной системы:<br /> без сегментирования;<br /> с сегментированием +<br /> +<br /> В ходе создания информационной системы уровень ее проектной защи-<br /> щенности (Y1П) определяется следующим образом:<br /> а) информационная система имеет высокий уровень проектной защищен-<br /> ности (Y1П), если не менее 80% характеристик информационной системы соот-<br /> ветствуют уровню «высокий» (суммируются положительные решения по второ-<br /> му столбцу, соответствующему высокому уровню защищенности), а остальные -<br /> среднему уровню защищенности (положительные решения по третьему столб-<br /> цу);<br /> б) информационная система имеет средний уровень проектной защищен-<br /> ности (Y1П), если не выполняются условия по пункту а) и не менее 90% характе-<br /> ристик информационной системы соответствуют уровню не ниже «средний»<br /> (берется отношение суммы положительных решений по третьему столбцу, соот-<br /> ветствующему среднему уровню защищенности, к общему количеству решений),<br /> а остальные - низкому уровню защищенности;<br /> в) информационная система имеет низкий уровень проектной защищенно-<br /> сти (Y1П), если не выполняются условия по пунктам а) и б).<br /> В соответствии с требованиями о защите информации, не составляющей<br /> государственную тайну, содержащейся в государственных информационных си-<br /> стемах, до ввода в эксплуатацию информационной системы должны быть реали-<br /> зованы меры защиты информации, направленные на блокирование (нейтрализа-<br /> 25<br /> цию) актуальных угроз безопасности информации. Таким образом, ввод в экс-<br /> плуатацию информационной системы осуществляется при условии достижения<br /> высокого уровня исходной защищенности информационной системы от нару-<br /> шителя с заданным потенциалом.<br /> Вместе с тем, в ходе эксплуатации информационной системы возможно<br /> появление новых уязвимостей, повышение потенциала нарушителя, изменение<br /> структурно-функциональных характеристик, значимости обрабатываемой ин-<br /> формации, особенностей функционирования информационной системы и других<br /> условий, приводящих к возникновению новых угроз безопасности информации,<br /> которые могут существенно снизить уровень проектной защищенности инфор-<br /> мационной системы. В этом случае для поддержания уровня защищенности ин-<br /> формационной системы в ходе эксплуатации должен проводиться регулярный<br /> анализ изменения угроз безопасности информации, а актуальные угрозы без-<br /> опасности информации подлежат периодической переоценке.<br /> В ходе эксплуатации информационной системы уровень ее защищенности<br /> (Y1) определяется следующим образом:<br /> а) в информационной системе обеспечивается высокий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы не появились<br /> дополнительные угрозы безопасности информации или в отношении появив-<br /> шихся дополнительных угроз безопасности информации с высокой оперативно-<br /> стью («за минуты») могут быть приняты меры защиты информации, нейтрали-<br /> зующие эти угрозы;<br /> б) в информационной системе обеспечивается средний уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них оперативно<br /> («за часы») могут быть приняты меры защиты информации, нейтрализующие эти<br /> угрозы;<br /> в) в информационной системе обеспечивается низкий уровень защищен-<br /> ности (Y1), если в ходе эксплуатации информационной системы появились до-<br /> полнительные угрозы безопасности информации и в отношении них не могут<br /> быть с высокой оперативностью или оперативно приняты меры защиты инфор-<br /> мации, нейтрализующие эти угрозы.<br /> Потенциал, требуемый нарушителю для реализации j-ой угрозы безопас-<br /> ности информации, может быть базовым (низким), базовым повышенным (сред-<br /> ним) или высоким. Значение потенциала нарушителя (Y2) для j-ой угрозы без-<br /> опасности информации определяется на основе данных, приведенных в банке<br /> данных угроз безопасности информации ФСТЭК России, а также в базовых и<br /> типовых моделях угроз безопасности информации, разрабатываемых ФСТЭК<br /> России для информационных систем различных классов и типов. В случае отсут-<br /> ствия информации о потенциале нарушителя для реализации j-ой угрозы без-<br /> опасности значение потенциала (Y2) определяется в соответствии с приложением<br /> № 3 к настоящей Методике.<br /> Возможность реализации j-ой угрозы безопасности информации (Yj) в за-<br /> висимости от уровня защищенности информационной системы (Y1/Y1П) и потен-<br /> 26<br /> циала нарушителя (Y2) определяется как высокая, средняя или низкая в соответ-<br /> ствии с таблицей 4.<br /> Возможность<br /> реализации угрозы безопасности информации<br /> Таблица 4<br /> Уровень защищенности (Y1/Y1П)<br /> Потенциал нарушителя (Y2)<br /> Высокий Средний Низкий<br /> Базовый (низкий) Низкая Средняя Высокая<br /> Базовый повышенный (средний) Средняя Высокая Высокая<br /> Высокий Высокая Высокая Высокая<br /> б) оценка степени возможного ущерба от реализации угрозы безопас-<br /> ности информации<br /> Для оценки степени возможного ущерба от реализации угрозы безопасно-<br /> сти информации определяются возможный результат реализации угрозы без-<br /> опасности информации в информационной системе, вид ущерба, к которому мо-<br /> жет привести реализация угрозы безопасности информации, степень послед-<br /> ствий от реализации угрозы безопасности информации для каждого вида ущер-<br /> ба.<br /> В качестве результата реализации угрозы безопасности информации рас-<br /> сматриваются непосредственное или опосредованное воздействие на конфиден-<br /> циальность, целостность, доступность информации, содержащейся в информа-<br /> ционной системе.<br /> Непосредственное воздействие на конфиденциальность, целостность, до-<br /> ступность информации возможно в результате реализации прямой угрозы без-<br /> опасности информации. В этом случае объектами воздействия угрозы являются<br /> непосредственно информация и (или) иные объекты защиты информационной<br /> системы или обеспечивающей инфраструктуры, которые обеспечивают получе-<br /> ние, обработку, хранение, передачу, уничтожение информации в информацион-<br /> ной системе, в результате доступа к которым или воздействия на которые воз-<br /> можно воздействие на конфиденциальность, целостность или доступность ин-<br /> формации.<br /> Опосредованное воздействие на конфиденциальность, целостность, до-<br /> ступность информации рассматривается в результате реализации косвенных<br /> угроз безопасности информации. Реализация косвенных угроз безопасности ин-<br /> формации не приводит непосредственно к воздействию на конфиденциальность,<br /> целостность, доступность информации, но создает условия для реализации од-<br /> ной или нескольких прямых угроз безопасности информации, позволяющих реа-<br /> лизовать такое воздействие. В этом случае в качестве результата реализации<br /> косвенной угрозы необходимо рассматривать результаты реализации всех пря-<br /> 27<br /> мых угроз безопасности информации, которые возможно реализовать в случае<br /> реализации данной косвенной угрозы.<br /> Результат реализации угрозы безопасности информации определяется воз-<br /> действием угрозы на каждое свойство безопасности информации (конфиденци-<br /> альность, целостность, доступность) в отдельности в соответствии с таблицей 5.<br /> При обработке в информационной системе двух и более видов информации<br /> (служебная тайна, персональные данные, налоговая тайна, иные установленные<br /> законодательством Российской Федерации виды информации) воздействие на<br /> конфиденциальность, целостность, доступность определяется отдельно для каж-<br /> дого вида информации (k, …, m), содержащейся в информационной системе.<br /> Таблица 5<br /> Свойство<br /> безопасности<br /> информации<br /> Результат реализации<br /> угрозы безопасности информации<br /> Не оказывает воздействия Оказывает воздействие<br /> Конфиденциаль-<br /> ность<br /> К Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность неправомерного досту-<br /> па, копирования, предостав-<br /> ления или распространения<br /> информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможны не-<br /> правомерный доступ, ко-<br /> пирование, предоставле-<br /> ние или распространение<br /> информации<br /> Целостность<br /> Ц Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность уничтожения или мо-<br /> дифицирования информации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно уни-<br /> чтожение или модифици-<br /> рование информации<br /> Доступность<br /> Д Xk1<br /> В результате реализации<br /> угрозы безопасности инфор-<br /> мации отсутствует возмож-<br /> ность блокирования инфор-<br /> мации<br /> В результате реализации<br /> угрозы безопасности ин-<br /> формации возможно бло-<br /> кирование информации<br /> При определении степени возможного ущерба необходимо исходить из то-<br /> го, что в зависимости от целей и задач, решаемых информационной системой,<br /> видов обрабатываемой информации, воздействие на конфиденциальность, це-<br /> лостность или доступность каждого вида информации, содержащейся в инфор-<br /> мационной системе, может привести к различным видам ущерба. При этом для<br /> разных обладателей информации и операторов будут характерны разные виды<br /> ущерба.<br /> Основные виды ущерба и возможные негативные последствия, к которым<br /> может привести нарушение конфиденциальности, целостности, доступности ин-<br /> формации, приведены в таблице 6.<br /> 28<br /> Таблица 6<br /> Вид<br /> ущерба<br /> Возможные негативнее<br /> последствия от нарушения конфиденциальности, целост-<br /> ности, доступности информации<br /> Экономический<br /> (финансовый)<br /> Снижение, как минимум, одного экономического показа-<br /> теля.<br /> Потеря (кража) финансовых средств.<br /> Недополучение ожидаемой (прогнозируемой) прибыли.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на выплаты штрафов (неустоек) или компенсаций.<br /> Необходимость дополнительных (незапланированных)<br /> затрат на закупку товаров, работ или услуг (в том числе<br /> закупка программного обеспечения, технических средств,<br /> вышедших из строя, замена, настройка, ремонт указанных<br /> средств).<br /> Необходимость дополнительных (незапланированных)<br /> затрат на восстановление деятельности.<br /> Потеря клиентов, поставщиков.<br /> Потеря конкурентного преимущества.<br /> Невозможность заключения договоров, соглашений.<br /> Другие прямые или косвенные финансовые потери<br /> Социальный Создание предпосылок для нанесения вреда здоровью<br /> граждан.<br /> Возможность нарушения функционирования объектов<br /> обеспечения жизнедеятельности граждан.<br /> Организация пикетов, забастовок, митингов и других ак-<br /> ций.<br /> Увольнения.<br /> Увеличение количества жалоб в органы государственной<br /> власти или органы местного самоуправления.<br /> Появление негативных публикаций в общедоступных ис-<br /> точниках.<br /> Невозможность (прерывание) предоставления социаль-<br /> ных услуг (сервисов).<br /> Другие последствия, приводящие к нарастанию социаль-<br /> ной напряженности в обществе<br /> Политический Создание предпосылок к обострению отношений в меж-<br /> дународных отношениях.<br /> Срыв двусторонних (многосторонних) контактов с зару-<br /> бежными партнерами.<br /> Неспособность выполнения международных (двусторон-<br /> них) договорных обязательств.<br /> 29<br /> Невозможность заключения международных (двусторон-<br /> них) договоров, соглашений.<br /> Создание предпосылок к внутриполитическому кризису.<br /> Нарушение выборного процесса.<br /> Другие последствия во внутриполитической и внешнепо-<br /> литической областях деятельности<br /> Репутационный Нарушение законодательных и подзаконных актов.<br /> Нарушение деловой репутации.<br /> Снижение престижа.<br /> Дискредитация работников.<br /> Утрата доверия.<br /> Неспособность выполнения договорных обязательств.<br /> Другие последствия, приводящие к нарушению репута-<br /> ции<br /> Ущерб в области<br /> обороны, безопас-<br /> ности и правопо-<br /> рядка<br /> Создание предпосылок к наступлению негативных по-<br /> следствий для обороны, безопасности и правопорядка.<br /> Нарушение общественного правопорядка.<br /> Неблагоприятное влияние на обеспечение общественного<br /> правопорядка.<br /> Возможность потери или снижения уровня контроля за<br /> общественным правопорядком.<br /> Отсутствие возможности оперативного оповещения<br /> населения о чрезвычайной ситуации.<br /> Другие последствия, приводящие к ущербу в области<br /> обороны, безопасности и правопорядка<br /> Ущерб субъекту<br /> персональных дан-<br /> ных<br /> Создание угрозы личной безопасности.<br /> Финансовые или иные материальные потери физического<br /> лица.<br /> Вторжение в частную жизнь.<br /> Создание угрозы здоровью.<br /> Моральный вред.<br /> Утрата репутации.<br /> Другие последствия, приводящие к нарушению прав<br /> субъекта персональных данных<br /> Технологический Невозможность решения задач (реализации функций)<br /> или снижение эффективности решения задач (реализации<br /> функций).<br /> Необходимость изменения (перестроения) внутренних<br /> процедур для достижения целей, решения задач (реализа-<br /> ции функций).<br /> Принятие неправильных решений.<br /> Простой информационной системы или сегмента инфор-<br /> мационной системы<br /> Другие последствия, приводящие к нарушению техноло-<br /> гии обработки информации<br /> 30<br /> Указанные виды ущерба могут дополняться другими видами в зависимо-<br /> сти от целей и задач, решаемых информационной системой, а также вида обра-<br /> батываемой в ней информации.<br /> Степень возможного ущерба от реализации угрозы безопасности инфор-<br /> мации определяется степенью негативных последствий от нарушения конфиден-<br /> циальности, целостности или доступности каждого вида информации, содержа-<br /> щейся в информационной системе.<br /> Степень негативных последствий от нарушения конфиденциальности, це-<br /> лостности или доступности информации определяется для каждого вида ущерба,<br /> зависит от целей и задач, решаемых информационной системой, и может иметь<br /> разные значения для разных обладателей информации и операторов. В качестве<br /> единой шкалы измерения степени негативных последствий принимаются значе-<br /> ния «незначительные», «умеренные» и «существенные» негативные послед-<br /> ствия. Каждым оператором определяется в указанной единой шкале измерений<br /> степень негативных последствий от нарушения конфиденциальности, целостно-<br /> сти или доступности информации применительно ко всем целям и задачам, ре-<br /> шаемым информационной системой.<br /> Степень возможного ущерба определяется экспертным методом в соответ-<br /> ствии с таблицей 7.<br /> Таблица 7<br /> Степень<br /> ущерба<br /> Характеристика степени ущерба<br /> Высокая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны существенные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять возложенные на них<br /> функции<br /> Средняя В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны умеренные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) не могут выполнять хотя бы одну из возложен-<br /> ных на них функций<br /> Низкая В результате нарушения одного из свойств безопасности<br /> информации (конфиденциальности, целостности, доступно-<br /> сти) возможны незначительные негативные последствия.<br /> Информационная система и (или) оператор (обладатель<br /> информации) могут выполнять возложенные на них функции<br /> с недостаточной эффективностью или выполнение функций<br /> возможно только с привлечением дополнительных сил и<br /> средств<br /> 31<br /> При обработке в информационной системе двух и более видов информа-<br /> ции (служебная тайна, персональные данные, налоговая тайна и иные установ-<br /> ленные законодательством Российской Федерации виды информации) степень<br /> возможного ущерба определяется отдельно для каждого вида информации<br /> (k, …, m), обрабатываемой в информационной системе, применительно к каждо-<br /> му виду ущерба. Итоговая степень возможного ущерба устанавливается по<br /> наивысшим значениям степени возможного ущерба, определенным для конфи-<br /> денциальности, целостности, доступности информации каждого вида информа-<br /> ции применительно к каждому виду ущерба.<br /> X max(Х ); i К,Ц, Д.<br /> i<br /> k<br /> i<br /> k  <br /> в) определение актуальности угрозы безопасности информации<br /> Решение об актуальности угрозы безопасности информации УБИj<br /> А<br /> для<br /> информационной системы с заданными структурно-функциональными характе-<br /> ристиками и условиями функционирования принимается в соответствии с таб-<br /> лицей 8.<br /> Таблица 8<br /> Вероятность (воз-<br /> можность) реали-<br /> зации угрозы (Yj)<br /> Степень возможного ущерба (Хj)<br /> Низкая Средняя Высокая<br /> Низкая неактуальная неактуальная актуальная<br /> Средняя неактуальная актуальная актуальная<br /> Высокая актуальная актуальная актуальная<br /> 32<br /> Приложение № 1 к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Рекомендации по формированию<br /> экспертной группы и проведению экспертной оценки при<br /> определении угроз безопасности информации<br /> Качественное формирование экспертной группы способствует снижению<br /> субъективных факторов при оценке угроз безопасности информации. Занижение<br /> (ослабление) экспертами прогнозов и предположений при определении угроз<br /> может повлечь наступление непрогнозируемого (неожиданного) ущерба в ре-<br /> зультате реализации угрозы безопасности информации. Завышение экспертами<br /> прогнозов и предположений при определении угроз может повлечь за собой не-<br /> оправданные расходы на нейтрализацию угроз, являющихся неактуальными.<br /> Независимо от результата формирования экспертной группы при оценке<br /> угроз безопасности информации существуют субъективные факторы, связанные<br /> с психологией принятия решений человеком. Это также может приводить как к<br /> занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов<br /> и предположений при определении угроз безопасности информации, что в свою<br /> очередь может привести к пропуску отдельных угроз безопасности информации<br /> или к неоправданным затратам на нейтрализацию неактуальных угроз.<br /> Любое решение, принимаемое экспертами при определении угроз безопас-<br /> ности информации, должно исходить из правил, при которых нарушитель нахо-<br /> дится в наилучших условиях для реализации угрозы безопасности (принципа<br /> «гарантированности»).<br /> а) формирование экспертной группы<br /> В состав экспертной группы для определения угроз безопасности инфор-<br /> мации рекомендуется включать экспертов (независимо от того, реализуются ли<br /> функции обладателя информации, заказчика и оператора в рамках одной или не-<br /> скольких организаций):<br /> от подразделений обладателей информации, содержащейся в информаци-<br /> онной системе;<br /> от подразделений оператора информационной системы;<br /> от подразделения по защите информации;<br /> от лиц, предоставляющих услуги по обработке информации;<br /> от разработчика информационной системы;<br /> от операторов взаимодействующих внешних информационных систем (по<br /> согласованию).<br /> В качестве экспертов рекомендуется привлекать специалистов, деятель-<br /> ность которых связана с обработкой информации в информационной системе, а <br /> 33<br /> также специалистов, имеющие квалификацию и опыт работы в области приме-<br /> нения информационных технологий и (или) в области защиты информации.<br /> При привлечении в качестве экспертов специалистов от подразделений по<br /> защите информации рекомендуется привлекать лиц, имеющих высшее образова-<br /> ние или прошедших переподготовку (повышение квалификации) по направле-<br /> нию подготовки «Информационная безопасность», или имеющих не менее трех<br /> лет стажа практической работы в своей сфере деятельности.<br /> Эксперты должны обладать независимостью, основанной на отсутствии<br /> коммерческого и финансового интереса или другого давления, которое может<br /> оказать влияние на принимаемые решения. Не рекомендуется формировать экс-<br /> пертную группу из участников, находящихся в прямом подчинении, так как это<br /> может негативным образом повлиять на результат определения угроз безопасно-<br /> сти информации.<br /> Состав экспертной группы зависит от целей и задач информационной си-<br /> стемы, но не должен быть меньше трех экспертов.<br /> б) проведение экспертной оценки<br /> При проведении экспертной оценки принимаются меры, направленные на<br /> снижение уровня субъективности и неопределенности при определении каждой<br /> из угроз безопасности информации.<br /> Экспертную оценку рекомендуется проводить в отношении, как минимум,<br /> следующих параметров:<br /> цели реализации угроз безопасности информации (мотивация нарушите-<br /> лей);<br /> типы и виды нарушителей;<br /> уязвимости, которые могут быть использованы для реализации угроз без-<br /> опасности информации;<br /> способы реализации угроз безопасности информации;<br /> степень воздействия угрозы безопасности информации на каждое из<br /> свойств безопасности информации;<br /> последствия от реализации угроз безопасности информации;<br /> вероятность реализации угроз безопасности информации;<br /> уровень защищенности информационной системы;<br /> потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации (в случае отсутствия потенциала в банке данных угроз безопасно-<br /> сти информации).<br /> Оценку параметров рекомендуется проводить опросным методом с состав-<br /> лением анкеты, в которой указываются вопросы и возможные варианты ответа в<br /> единой принятой шкале измерений («низкий», «средний», «высокий» или «да»,<br /> «нет» или иные шкалы). При этом вопросы должны быть четкими и однозначно<br /> трактуемыми, предполагать однозначные ответы.<br /> Опрос экспертов включает следующие этапы:<br /> каждый эксперт проводит оценку оцениваемого параметра (рекомендуется<br /> не мене двух раундов оценки), результаты которой заносятся в таблицу 1.1;<br /> 34<br /> после оценки каждым из экспертов отбрасываются минимальные и макси-<br /> мальные значения;<br /> определяется среднее значение оцениваемого параметра в каждом раунде;<br /> определяется итоговое среднее значение оцениваемого параметра.<br /> Пример таблицы результатов оценки параметров<br /> Таблица 1.1<br /> Эксперты Значение оцениваемого<br /> параметра (раунд 1)<br /> Значение оцениваемого<br /> параметра (раунд 2)<br /> Эксперт 1<br /> Эксперт 2<br /> Эксперт n<br /> Итоговое значение<br /> 35<br /> Приложение № 2 к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Структура модели угроз безопасности информации<br /> Модель угроз безопасности информации содержит следующие разделы:<br /> 1. Общие положения.<br /> 2. Описание информационной системы и особенностей ее функционирова-<br /> ния.<br /> 2.1. Цель и задачи, решаемые информационной системой.<br /> 2.2. Описание структурно-функциональных характеристик информацион-<br /> ной системы.<br /> 2.3. Описание технологии обработки информации.<br /> 3. Возможности нарушителей (модель нарушителя).<br /> 3.1. Типы и виды нарушителей.<br /> 3.2. Возможные цели и потенциал нарушителей.<br /> 3.3. Возможные способы реализации угроз безопасности информации.<br /> 4. Актуальные угрозы безопасности информации.<br /> Приложения (при необходимости).<br /> Раздел «Общие положения» содержит назначение и область действия до-<br /> кумента, информацию о полном наименовании информационной системы, для<br /> которой разработана модель угроз безопасности информации, а также информа-<br /> цию об использованных для разработки модели угроз безопасности информации<br /> нормативных и методических документах, национальных стандартах. В данный<br /> раздел также включается информация об используемых данных и источниках, на<br /> основе которых определяются угрозы безопасности информации (документация,<br /> исходные тексты программ, опросы персонала, журналы регистрации средств<br /> защиты, отчеты об аудите и иные источники).<br /> Раздел «Описание информационной системы и особенностей ее функцио-<br /> нирования» содержит общую характеристику информационной системы, описа-<br /> ние структурно-функциональных характеристик информационной системы, опи-<br /> сание взаимосвязей между сегментами информационной системы, описание вза-<br /> имосвязей с другими информационными системами и информационно-<br /> телекоммуникационными сетями, описание технологии обработки информации.<br /> Также в данном разделе приводятся предположения, касающиеся информацион-<br /> ной системы и особенностей ее функционирования (в частности предположения<br /> об отсутствии неучтенных беспроводных каналов доступа или динамичность<br /> выделения адресов узлам информационной системы, иные предположения). В<br /> раздел включаются любые ограничения, касающиеся информационной системы<br /> и особенностей ее функционирования.<br /> Раздел «Возможности нарушителей (модель нарушителя)» содержит опи-<br /> сание типов, видов, потенциала и мотивации нарушителей, от которых необхо-<br /> димо обеспечить защиту информации в информационной системе, способов реа-<br /> 36<br /> лизации угроз безопасности информации. В данный раздел также включаются<br /> предположения, касающиеся нарушителей (в частности предположение об от-<br /> сутствии у нарушителя возможности доступа к оборудованию, сделанному на<br /> заказ и применяемому при реализации угрозы, предположение о наличии (отсут-<br /> ствии) сговора между внешними и внутренними нарушителями или иные пред-<br /> положения). В раздел включаются любые ограничения, касающиеся определения<br /> нарушителей (в частности исключение администраторов информационной си-<br /> стемы или администраторов безопасности из числа потенциальных нарушителей<br /> или иные предположения).<br /> Раздел «Актуальные угрозы безопасности информации» содержит описа-<br /> ние актуальных угроз безопасности, включающее наименование угрозы безопас-<br /> ности информации, возможности нарушителя по реализации угрозы, используе-<br /> мые уязвимости информационной системы, описание способов реализации угро-<br /> зы безопасности информации, объекты воздействия, возможные результат и по-<br /> следствия от реализации угрозы безопасности информации.<br /> 37<br /> Приложение № 3 к<br /> Методике определения угроз безопасности<br /> информации в информационных системах<br /> Определение<br /> потенциала нарушителя, необходимого для реализации угрозы без-<br /> опасности информации в информационной системе<br /> Настоящее приложение применяется для определения потенциала, необхо-<br /> димого для реализации угрозы безопасности информации, данные по которой<br /> отсутствуют в банке данных угроз безопасности информации, и характеристики<br /> которых определяются на основе иных источников или результатов исследова-<br /> ний.<br /> Приведенный подход к оценке потенциала нарушителя направлен на сни-<br /> жение уровня субъективности и неопределенности при оценке потенциала<br /> нарушителя, который требуется для реализации угрозы безопасности информа-<br /> ции в информационной системе с заданными структурно-функциональными ха-<br /> рактеристиками и особенностями функционирования.<br /> Исходными данными для определения потенциала нарушителя являются:<br /> данные об аппаратном, общесистемном и прикладном программном обес-<br /> печении, применяемых информационных технологиях, особенностях функцио-<br /> нирования информационной системы;<br /> данные об уязвимостях в аппаратном, общесистемном и прикладном про-<br /> граммном обеспечении, опубликованные в различных базах данных уязвимо-<br /> стей, полученные в результате исследований (тестировании) или полученные от<br /> уполномоченных федеральных органов исполнительной власти и организаций.<br /> При оценке потенциала нарушителя необходимо исходить из того, что для<br /> успешного достижения целей реализации угроз безопасности информации,<br /> нарушителю необходимо осуществить подготовку к реализации угрозы и непо-<br /> средственно реализацию угрозы безопасности информации. При этом не един-<br /> ственным, но необходимым условием на этапе подготовки к реализации угрозы<br /> безопасности информации является идентификация уязвимостей в информаци-<br /> онной системе, а на этапе реализации угрозы безопасности информации – ис-<br /> пользование уязвимостей информационной системы.<br /> Таким образом, для определения потенциала нарушителя необходимо оце-<br /> нить возможности нарушителя идентифицировать уязвимости и использовать их<br /> в информационной системе в ходе подготовки к реализации и непосредственно в<br /> ходе реализации угрозы безопасности информации. Для проведения указанной<br /> оценки делается предположение о наличии уязвимостей, которые потенциально<br /> содержатся в информационной системе и могут быть использованы для реализа-<br /> ции угрозы безопасности информации.<br /> Потенциальные уязвимости определяются для каждого класса и типа про-<br /> граммного обеспечения и для каждого узла (хоста) информационной системы<br /> исходя из условия, что для реализации угрозы безопасности информации нару-<br /> 38<br /> шителю необходимо идентифицировать и использовать как минимум одну уяз-<br /> вимость на каждом узле и хосте.<br /> В качестве исходных данных для определения потенциальных уязвимостей<br /> используются данные по составу информационной системы и особенностям ее<br /> функционирования, а также данные об уязвимостях в этом программном обеспе-<br /> чении, опубликованные в общедоступных источниках, полученные по результа-<br /> там исследований и (или) полученные от уполномоченных органов и организа-<br /> ций.<br /> Для каждой выявленной потенциальной уязвимости проводится оценка<br /> возможностей ее идентификации и использования в информационной системе<br /> нарушителем, обладающим определенными возможностями и для каждого из<br /> возможных сценариев реализации угрозы безопасности информации.<br /> Оценка возможностей нарушителя по идентификации и использованию<br /> уязвимости в информационной системе проводится по результатам определения<br /> следующих показателей:<br /> время, затрачиваемое нарушителем на идентификацию и использование<br /> уязвимости (затрачиваемое время);<br /> техническая компетентность нарушителя;<br /> знание нарушителем проекта и информационной системы;<br /> оснащенность нарушителя;<br /> возможности нарушителя по доступу к информационной системе.<br /> Во многих случаях указанные показатели являются зависимыми и могут в<br /> различной степени заменять друг друга. В частности, показатели технической<br /> компетентности или оснащенности могут заменяться показателем затрачиваемо-<br /> го времени.<br /> а) определение показателя «затрачиваемое время»<br /> Показатель «затрачиваемое время» характеризует время, непрерывно за-<br /> трачиваемое нарушителем для идентификации и использования уязвимости для<br /> реализации угрозы безопасности информации.<br /> Показатель «затрачиваемое время» может принимать значения «за мину-<br /> ты», «за часы», «за дни» или «за месяцы».<br /> Значение «за минуты» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит менее получаса на идентификацию<br /> и использование уязвимости.<br /> Значение «за часы» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один день на идентификацию и<br /> использование уязвимости.<br /> Значение «за дни» присваивается, если для реализации угрозы безопасно-<br /> сти информации нарушитель затратит менее чем один месяц на идентификацию<br /> и использование уязвимости.<br /> Значение «за месяцы» присваивается, если для реализации угрозы без-<br /> опасности информации нарушитель затратит, как минимум, месяц на идентифи-<br /> кацию и использование уязвимости.<br /> 39<br /> б) определение показателя «техническая компетентность нарушителя»<br /> Показатель «техническая компетентность нарушителя» характеризует, ка-<br /> ким уровнем знаний и подготовкой в области информационных технологий и<br /> защиты информации должен обладать нарушитель, чтобы идентифицировать и<br /> использовать уязвимости для реализации угрозы безопасности информации.<br /> Показатель «техническая компетентность нарушителя» может принимать<br /> значения «специалист», «профессионал» или «непрофессионал».<br /> Значение «профессионал» присваивается, если нарушитель имеет хоро-<br /> шую осведомленность о мерах защиты информации, применяемых в информа-<br /> ционной системе, об алгоритмах, аппаратных и программных средствах, исполь-<br /> зуемых в информационной системе, а также обладает специальными знаниями о<br /> методах и средствах выявления новых уязвимостей и способах реализации угроз<br /> безопасности информации для информационных систем данного типа.<br /> Значение «специалист» присваивается, если нарушитель имеет осведом-<br /> ленность о мерах защиты информации, применяемых в информационной систе-<br /> ме данного типа.<br /> Значение «непрофессионал» присваивается, если нарушитель имеет сла-<br /> бую осведомленность (по сравнению со специалистами или профессионалами) о<br /> мерах защиты информации, применяемых в информационных системах данного<br /> типа, и не обладает специальными знаниями по реализации угроз безопасности<br /> информации.<br /> в) определение показателя «знание нарушителем проекта и информа-<br /> ционной системы»<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> характеризует, какие сведения об информационной системе и условиях ее экс-<br /> плуатации доступны нарушителю, чтобы идентифицировать и использовать уяз-<br /> вимости для реализации угрозы безопасности информации.<br /> Показатель «знание нарушителем проекта и информационной системы»<br /> может принимать значения «отсутствие знаний», «ограниченные знания» или<br /> «знание чувствительной информации».<br /> Значение «отсутствие знаний» присваивается, если в результате принятия<br /> мер по защите информации нарушителю не может стать известно о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информации информационной системы, а также об иной информации по разра-<br /> ботке (проектированию) и эксплуатации информационной системы, включая<br /> сведения из конструкторской, проектной и эксплуатационной документации.<br /> При этом может быть доступна информация о целях и задачах, решаемых ин-<br /> формационной системой. Данный показатель также присваивается, если сведе-<br /> ния об информационной системе отнесены к информации ограниченного досту-<br /> па и не могут быть доступны для неограниченного круга лиц.<br /> 40<br /> Значение «ограниченные знания» присваивается, если нарушителю наряду<br /> с информацией о целях и задачах, решаемых информационной системой, может<br /> стать известна только эксплуатационная документация на информационную си-<br /> стему (в частности руководство пользователя и (или) правила эксплуатации ин-<br /> формационной системы).<br /> Значение «знание чувствительной информации» присваивается, если<br /> нарушителю может стать известны конструкторская (проектная) и эксплуатаци-<br /> онная документация на информационную систему, информация о структурно-<br /> функциональных характеристиках информационной системы, системе защиты<br /> информационной системы.<br /> г) определение показателя «возможности нарушителя по доступу к<br /> информационной системе»<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» характеризует, как долго по времени нарушитель должен иметь возмож-<br /> ность доступа к информационной системе для идентификации и использования<br /> уязвимостей для реализации угроз безопасности информации.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» может принимать значения «за минуты», «за часы», «за дни» или «за ме-<br /> сяцы».<br /> Значение «за минуты» присваивается, если для идентификации и исполь-<br /> зования уязвимости для реализации угрозы безопасности информации наруши-<br /> телю требуется доступ менее получаса.<br /> Значение «за часы» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного дня.<br /> Значение «за дни» присваивается, если для идентификации и использова-<br /> ния уязвимости для реализации угрозы безопасности информации нарушителю<br /> требуется доступ менее одного месяца.<br /> Значение «за месяцы» присваивается, если для идентификации и использо-<br /> вания уязвимости для реализации угрозы безопасности информации нарушите-<br /> лю требуется доступ более одного месяца.<br /> Показатель «возможности нарушителя по доступу к информационной си-<br /> стеме» взаимосвязан с показателем «затраченное время». Идентификация и ис-<br /> пользование уязвимости при реализации угрозы безопасности информации мо-<br /> гут требовать продолжительного времени по доступу к информационной систе-<br /> ме, что увеличивает возможность обнаружения уязвимости. В отдельных случа-<br /> ях продолжительный доступ к информационной системе не требуется (методы и<br /> средства реализации угроз безопасности разрабатываются автономно), но при<br /> этом требуется кратковременный доступ к информационной системе.<br /> 41<br /> д) определение показателя «оснащенность нарушителя»<br /> Показатель «оснащенность нарушителя» характеризует, какие программ-<br /> ные и (или) программно-технические средства требуются нарушителю для иден-<br /> тификации и использования уязвимостей для реализации угроз безопасности<br /> информации.<br /> Показатель «оснащенность нарушителя» может принимать значения<br /> «стандартное оборудование», «специализированное оборудование» или «обору-<br /> дование, сделанное на заказ».<br /> Значение «стандартное оборудование» присваивается, если для идентифи-<br /> кации или использования уязвимостей при реализации угрозы безопасности ин-<br /> формации требуются программные (программно-технические) средства, легко<br /> доступные для нарушителя. К таким средствам, в первую очередь, относятся<br /> программные средства непосредственно информационной системы (отладчик в<br /> операционной системе, средства разработки и иные), программные средства, ко-<br /> торые могут быть легко получены (программы, имеющиеся в свободном доступе<br /> в сети Интернет) или имеются простые сценарии реализации угроз.<br /> Значение «специализированное оборудование» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые отсутствуют в свободном доступе, но могут быть приобрете-<br /> ны нарушителем без значительных усилий. К таким средствам, в первую оче-<br /> редь, относятся программные (программно-технические) средства, которые<br /> имеются в продаже (анализаторы кода, анализаторы протоколов и иные) или<br /> требуется разработка более сложных программ и сценариев реализации угрозы.<br /> Оборудование может быть закуплено, либо, например, могут быть использованы<br /> компьютеры, объединенные через сеть Интернет (бот-сети).<br /> Значение «оборудование, сделанное на заказ» присваивается, если для<br /> идентификации или использования уязвимостей при реализации угрозы без-<br /> опасности информации требуются программные (программно-технические)<br /> средства, которые недоступны широкому кругу лиц, так как требуется их специ-<br /> альная разработка с привлечением исследовательских организаций, или распро-<br /> странение этих средств контролируется в соответствии с законодательством. К<br /> такому оборудованию также относится дорогостоящие средства или средства,<br /> сведения о которых относятся к информации ограниченного доступа.<br /> С целью вычисления потенциала нарушителя определяются числовые зна-<br /> чения указанных показателей в соответствии с таблицей 3.1.<br /> 42<br /> Таблица 3.1<br /> Показатель возможностей нарушителя<br /> Значения при<br /> идентификации<br /> уязвимости<br /> Значения при<br /> использова-<br /> нии уязвимо-<br /> сти<br /> Затрачиваемое<br /> время<br /> &lt; 0,5 час 0 0<br /> &lt; 1 день 2 3<br /> &lt; 1 месяц 3 5<br /> &gt; 1 месяц 5 8<br /> Техническая ком-<br /> петентность<br /> нарушителя<br /> Непрофессионал 0 0<br /> Специалист 2 3<br /> Профессионал 5 4<br /> Знание проекта и<br /> информационной<br /> системы<br /> Отсутствие знаний 0 0<br /> Ограниченные знания 2 2<br /> Знание чувствительной<br /> информации 5<br /> 4<br /> Возможность до-<br /> ступа к информа-<br /> ционной системе<br /> &lt; 0,5 час или не обна-<br /> руживаемый доступ 0<br /> 0<br /> &lt; 1 день 2 4<br /> &lt; 1 месяц 3 6<br /> &gt; 1 месяц 4 9<br /> Не возможно<br /> Оснащенность<br /> нарушителя<br /> Отсутствует 0 0<br /> Стандартное оборудо-<br /> вание<br /> 1<br /> 2<br /> Специализированное<br /> оборудование 3<br /> 4<br /> Оборудование, сделан-<br /> ное на заказ<br /> 5<br /> 6<br /> Для конкретной потенциальной уязвимости может возникнуть необходи-<br /> мость определять показатели несколько раз для различных способов реализации<br /> угроз безопасности информации (попеременно использовать разные значения<br /> показателей компетентности в сочетании со значениями времени и оборудова-<br /> ния). При этом следует выбирать наибольшее значение, полученное при каждом<br /> расчете показателей.<br /> Полученные на основе таблицы 3.1 значения характеристик потенциала<br /> нарушителя суммируются. Полученная сумма значений характеристик соотно-<br /> сится с диапазонами значений, приведенных в таблице 3.2, в соответствии с ко-<br /> торой определяется потенциал нарушителя, необходимый для реализации угрозы<br /> безопасности информации.<br /> 43<br /> Таблица 3.2<br /> Диапазон<br /> значений<br /> Потенциал<br /> нарушителя<br /> &lt;10 Потенциал недостаточен для реализации<br /> угрозы безопасности<br /> 10-17 Базовый (низкий)<br /> 18-24 Базовый повышенный (средний)<br /> &gt;24 Высокий<br /> Мотивация нарушителя для реализации угроз безопасности информации<br /> может быть базовой или повышенной. Мотивация нарушителя характеризует<br /> уровень устремлений нарушителя к информации, содержащейся в информаци-<br /> онной системе, или информационной системе в целом. При определении потен-<br /> циала нарушителя необходимо исходить, как минимум, из его базовой мотива-<br /> ции.<br /> Потенциал нарушителя, требуемый для реализации угрозы безопасности<br /> информации, переходит на следующий уровень (от низкого к среднего или от<br /> среднего к высокому), если определено, что нарушитель имеет повышенную мо-<br /> тивацию реализации угроз безопасности по отношению к информационной си-<br /> стеме.<br /> Мотивация нарушителя определяется как повышенная, если:<br /> а) имеются сведения (в том числе опубликованные в общедоступных ис-<br /> точниках) об устремлениях нарушителей к конкретной информационной системе<br /> и (или) отдельным ее объектам защиты; например, если информация, обрабаты-<br /> ваемая в информационной системе, является высоко ценной для нарушителя или<br /> для нарушителя является крайне приоритетным нанести ущерб оператору ин-<br /> формационной системы;<br /> б) имеется информация, полученная от уполномоченных федеральных ор-<br /> ганов исполнительной власти, о намерении нарушителя осуществить неправо-<br /> мерные действия в отношении информационной системы и (или) информации,<br /> содержащейся в этой информационной системе.</div>

Hunter po