режим 1 – обеспечивает доступ ко всему перечню сведений конфиденциального характера. Устанавливается руководящему составу предприятия;
режим 2 – обеспечивает доступ к сведениям при выполнении конкретных видов деятельности (финансовая, производственная, кадры, безопасность и т. п.). Устанавливается для руководящего состава отделов и служб;
режим 3 – обеспечивает доступ к определенному перечню сведений при выполнении конкретных видов деятельности. Устанавливается для сотрудников - специалистов конкретного отдела (службы) в соответствии с должностными обязанностями
.
Размещение персонала.
Рис 1. Размещение персонала
Перечень сведений конфиденциального характера:
1. Сведения о применяемых методах управления предприятием.
2. Сведения о подготовке, принятии и исполнении решений руководства предприятия по производственным, научным, коммерческим, организационным и прочим вопросам.
3. Сведения о размере и составе имущества предприятия.
4. Сведения об оригинальных методах решения научно-технических задач: высокоэффективные методы и методики анализа, проектирования и испытаний современных и перспективных устройств и систем.
5. Методы реализации технологических процессов.
6. Конструктивные, схемные и прочие научно-технические решения.
7. Экспериментальные и расчетные результаты.
8. Сведения о конъюнктуре рынка научно-технических исследований и разработок.
9. Сведения о целях, результатах, фактах проведения совещаний и заседаний, принятых решениях, сотрудниках, участвующих в их подготовке и работе.
10. Сведения об определенных финансовых операциях предприятия и о доходах по этим операциям.
11. Сведения о планируемых инвестициях, закупках и продажах.
12. Сведения о бизнес-планах предприятия, планах развития отдельных подразделений.
13. Сведения о целях, задачах и тактике переговоров с партнерами.
14. Сведения о результатах проведения переговоров с партнерами.
15. Сведения о применяемых методах изучения рынка.
16. Сведения о направлениях маркетинговых исследований.
17. Сведения о рыночной стратегии предприятия.
18. Сведения о методах осуществления продаж.
19. Сведения об эффективности коммерческой деятельности предприятия.
20. Сведения о местах сбыта готовой продукции.
21. Сведения о клиентуре.
22. Сведения о партнерах.
23. Сведения об организации защиты коммерческой тайны.
24. Сведения об организации охраны, пропускного режима, системы сигнализации.
25. Персональные данные сотрудников предприятия.
26. Персональные данные руководителя предприятия.
Таблица 3. Категорирование сведений конфиденциального характера
Категория
Информация | 1.1 | 1.2 | 2.1 | 2.2 | 3.1 | 3.2 |
1-3 | + | |||||
4-8 | + | |||||
9 | + | |||||
10 | + | |||||
11-12 | + | |||||
13-14 | + | |||||
15-22 | + | + | ||||
23,26 | + | + | ||||
24-25 | + |
Таблица 4. Категорирование выделенных помещений
№ п/п | Наименование помещения | Категория |
1 | Генеральный директор | 1 |
2 | Секретарь | 2 |
3 | Директор по научной работе | 3 |
4 | Коммерческий директор | 2 |
5 | Главный бухгалтер | 2 |
6 | Бухгалтер | 3 |
7 | Технический директор | 2 |
8 | АХО | 3 |
9 | Отдел кадров | 3 |
10 | Экономический отдел | 2 |
11 | Финансовый отдел | 1 |
12 | Юридический отдел | 2 |
13 | Системный администратор | 1 |
14 | Маркетинговый отдел | 3 |
15 | Главный конструктор | 1 |
16 | Отдел перспективных разработок | 2 |
ВЕРОЯТНАЯ МОДЕЛЬ УГРОЗ И НАРУШИТЕЛЯ БЕЗОПАСНОСТИ КОНФИДЕНЦИАЛЬНЫХ ДАННЫХ
1. Описание подхода к моделированию угроз безопасности КД
Современная система обеспечения информационной безопасности должна строиться на основе комплексирования разнообразных мер защиты и опираться на современные методы прогнозирования, анализа и моделирования возможных угроз безопасности информации и последствий их реализации.
Результаты анализа и моделирования угроз предназначены для выбора адекватных оптимальных мер и методов парирования угроз.
На этапе обследования проведено изучение и анализ существующей обстановки и выявлены актуальные угрозы безопасности КД в составе автоматизированных систем конфиденциальных данных (далее – АСКД).
2. Классификация угроз безопасности КД
Состав и содержание угроз безопасности КД определяется совокупностью условий и факторов, создающих опасность несанкционированного, в том числе случайного доступа к КД.
Совокупность таких условий и факторов формируется с учетом характеристик АСКД, свойств среды (пути) распространения информативных сигналов, содержащих защищаемую информацию, и возможностей источников угроз.
К характеристикам АСКД, обуславливающим возникновение угроз безопасности КД, можно отнести:
- категорию и объем обрабатываемых в АСКД конфиденциальных данных;
- структуру АСКД;
- наличие подключений АСКД к сетям связи общего пользования и (или) сетям международного информационного обмена, включая сеть Интернет;
- характеристики подсистемы безопасности КД, обрабатываемых в АСКД;
- режимы обработки КД;
- режимы разграничения прав доступа пользователей АСКД;
- местонахождение и условия размещения технических средств АСКД.
АСКД представляет собой совокупность информационных и программно-аппаратных элементов. Основными элементами АСКД являются:
- конфиденциальные данные, содержащиеся в базах данных АСКД;
- информационные технологии, как совокупность приемов, способов и методов применения средств вычислительной техники при обработке КД;
- технические средства, осуществляющие обработку КД;
- программные средства (операционные системы, системы управления базами данных и т. п.);
- средства защиты информации;
- вспомогательные технические средства и системы.
Свойства среды (пути) распространения информативных сигналов, содержащих защищаемую информацию, характеризуются видом физической среды, в которой распространяются КД, и определяются при оценке возможности реализации канала угроз безопасности КД.
Возможности источников угроз безопасности КД обусловлены совокупностью методов и способов несанкционированного и (или) случайного доступа к КД, в результате которого возможно нарушение конфиденциальности (копирование, неправомерное распространение), целостности (уничтожение, изменение) и доступности (блокирование) КД.
Угроза безопасности КД реализуется в результате образования канала реализации угроз безопасности КД между источником угрозы и носителем (источником) КД, что создает условия для нарушения безопасности КД (несанкционированный или случайный доступ).
Основными элементами канала реализации угроз безопасности КД являются:
- источник угроз безопасности КД ‑ субъект, материальный объект или физическое явление, создающие угрозы безопасности КД;
- среда (путь) распространения КД или воздействий, в которой физическое поле, сигнал, данные или программы могут распространяться и воздействовать на защищаемые свойства (конфиденциальность, целостность, доступность) КД;
- носитель КД ‑ физическое лицо или материальный объект, в том числе физическое поле, в котором КД находят свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.
Носители КД могут содержать информацию, представленную в следующих видах:
- акустическая (речевая) информация, содержащаяся непосредственно в произносимой речи пользователя, а также содержащаяся в электромагнитных полях и электрических сигналах, которые возникают за счет преобразований акустической информации;
- видовая информация, представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео - и буквенно-цифровой информации, входящих в состав АСКД;
- информация, обрабатываемая (циркулирующая) на ОИ, в виде электрических, электромагнитных, оптических сигналов;
- информация, обрабатываемая в АСКД, представленная в виде бит, байт, IP-протоколов, файлов и других логических структур.
В целях формирования систематизированного перечня угроз безопасности КД при их обработке в АСКД угрозы классифицируются в соответствии со следующими признаками:
1) по видам возможных источников угроз безопасности КД:
- угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющими доступ к АСКД, включая пользователей АСКД, реализующие угрозы непосредственно в АСКД (внутренний нарушитель);
- угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к АСКД, реализующими угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (внешний нарушитель).
2) по структуре АСКД, на которую направлена реализация угроз безопасности КД:
- угрозы безопасности КД, обрабатываемых в АСКД на базе автоматизированного рабочего места;
- угрозы безопасности КД, обрабатываемых в АСКД на базе локальных информационных систем;
- угрозы безопасности КД, обрабатываемых в АСКД на базе распределенных информационных систем.
3) по виду несанкционированных действий, осуществляемых с КД:
- угрозы, приводящие к нарушению конфиденциальности КД (копированию или несанкционированному распространению), при реализации которых не осуществляется непосредственного воздействия на содержание информации;
- угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение КД или их уничтожение;
- угрозы, приводящие к несанкционированному, в том числе случайному, воздействию на программные или программно-аппаратные элементы АСКД, в результате которого осуществляется блокирование КД.
4) по способам реализации угроз безопасности КД:
- угрозы, реализуемые в АСКД при их подключении к сетям связи общего пользования;
- угрозы, реализуемые в АСКД при их подключении к сетям международного информационного обмена;
- угрозы, реализуемые в АСКД не имеющих подключений к сетям связи общего пользования и сетям международного информационного обмена.
5) по виду каналов, с использованием которых реализуется угроз безопасности КД:
- угрозы, реализуемые через каналы, возникающие за счет использования технических средств съема (добывания) информации, обрабатываемой в технических средствах АСКД или вспомогательные технические средства и системы (далее - ВТСС) (технические каналы утечки информации);
- угрозы, реализуемые за счет несанкционированного доступа (далее – НСД) к КД в АСКД с использованием штатного программного обеспечения АСКД или специально разрабатываемого программного обеспечения.
Реализация одной из угроз безопасности КД перечисленных классов или их совокупности может привести к следующим типам последствий для субъектов КД:
- значительные негативные последствия для субъектов КД;
- негативные последствия для субъектов КД;
- незначительные негативные последствия для субъектов КД.
3. Общее описание угроз безопасности КД обрабатываемых в АСКД
При обработке КД в АСКД, возможна реализация следующих видов угроз безопасности КД:
- угрозы утечки информации по техническим каналам;
- угрозы НСД к КД, обрабатываемым в АСКД.
Основными элементами угроз утечки информации по техническим каналам являются:
- источник угрозы (физические лица, не имеющие доступа к КД, а также спецслужбы или организации (в том числе конкурирующие или террористические), криминальные группировки, осуществляющие перехват (съем) информации с использованием технических средств регистрации, приема или фотографирования информации);
- среда (путь) распространения информативного сигнала (физическая среда, по которой информативный сигнал может распространяться и приниматься (регистрироваться) приемником);
- носитель защищаемой информации, а также технические средства АСКД и вспомогательные технические средства, создающие физические поля, в которых информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.
При обработке КД на ОИ возможно возникновение угроз безопасности КД за счет реализации следующих технических каналов утечки информации:
- угрозы утечки акустической (речевой) информации;
- угрозы утечки видовой информации;
- угрозы утечки информации по каналам ПЭМИН;
- угрозы НСД.
Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи, при обработке КД в АСКД, возможно при наличии функций голосового ввода КД в АСКД или функций воспроизведения КД акустическими средствами АСКД.
Реализация угрозы утечки видовой информации возможна за счет просмотра информации с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и других средств отображения средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео - и буквенно-цифровой информации, входящих в состав АСКД.
Угрозы утечки информации по каналу ПЭМИН возможны из-за наличия электромагнитных излучений, в основном, монитора и системного блока компьютера. Основную опасность представляют угрозы утечки из-за наличия электромагнитных излучений монитора.
Угрозы НСД в АСКД с применением программных и программно-аппаратных средств реализуются при осуществлении несанкционированного, в том числе случайного доступа, в результате которого осуществляется нарушение конфиденциальности (копирование, несанкционированное распространение), целостности (уничтожение, изменение) и доступности (блокирование) КД, и включают в себя:
1) Угрозы доступа (проникновения) в операционную среду компьютера с использованием штатного программного обеспечения.
Угрозы доступа (проникновения) в операционную среду АСКД с использованием штатного программного обеспечения разделяются:
- на угрозы непосредственного доступа, осуществляемые с использованием программных и программно-аппаратных средств ввода/вывода компьютера;
|
Из за большого объема этот материал размещен на нескольких страницах:
1 2 3 |
