Объект нападения – информация
Тип потери – целостность, правильность передачи
Масштаб ущерба – высокий
Источник угроз – постороннее лицо
опыт – высокий уровень
знания – нужны
доступные ресурсы – информационные и программные
возможная мотивация действий – умысел
Проникновение в коммуникации
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – вероятная, уязвимость – незащищенность коммуникаций, методы нападения – с помощью программных и аппаратных средств (жучки, прослушка).
Объект нападения – информация, данные
Тип потери – конфиденциальность
Масштаб ущерба – средний
Источник угроз – посторонние лица (шпионы)
опыт – высокий
знания – необходимы
доступные ресурсы – информационные
возможная мотивация действий – умысел.
Ошибочная маршрутизация сообщений
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – вероятная, уязвимость – неисправность работы маршрутизатора, устарелость, методы нападения – ошибочная адресация.
Объект нападения – информация, данные
Тип потери – доступность, конфиденциальность, целостность, затруднения в деятельности
Масштаб ущерба – средний
Источник угроз – периферийное устройство (маршрутизатор)
Повторная маршрутизация сообщений
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – вероятная, уязвимость – неисправность работы маршрутизатора, методы нападения– повторная адресация.
Объект нападения – информация, данные
Тип потери – затруднение в деятельности
Масштаб ущерба – средний
Источник угроз – маршрутизатор
Отрицание
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – маловероятная, уязвимость – отсутствие средств добиться отказуемости, методы нападения – отказ в признании пересылаемого.
Объект нападения – информация
Тип потери – затруднение в деятельности
Масштаб ущерба – низкий
Источник угроз – внешнее / внутреннее лицо
опыт – отсутствие
знания – не обязательны
доступные ресурсы – информационные
возможная мотивация действий – злоумышленность.
Неисправность услуг связи (т.е. услуг сети)
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – высоковероятная, уязвимость – отсутствие должного контроля за работоспособностью сети, методы нападения – неисправная работа сети.
Объект нападения – работоспособность связи
Тип потери – затруднение в деятельности
Масштаб ущерба – низкий
Источник угроз – внешнее воздействие, ПО.
Ошибки пользователя
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – вероятная, уязвимость – некомпетентность, методы – случайное удаление сведений.
Объект нападения – БД.
Тип потери – информационный
Масштаб ущерба – высокий
Источник угроз – рабочий персонал
знания – не обязательны
доступные ресурсы – вычислительные, информационные
возможная мотивация действий – небрежность, недобросовестность
Неправильное использование ресурсов
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – вероятная, уязвимость – неквалифицированный персонал, методы – использование не по назначению.
Объект нападения – программное обеспечение.
Тип потери – временные
Масштаб ущерба – низкий
Источник угроз – неквалифицированный персонал
опыт – начальный уровень
знания – минимальные
доступные ресурсы – информационные
возможная мотивация действий – отсутствие опыта работы, знаний в данной области.
Дефицит персонала
Нападения пригодные для реализации угрозы (уязвимость, методы, возможность). Возможность – маловероятная, уязвимость – накопление работы, методы – массовое увольнение.
Объект нападения – работники отделения.
Тип потери – потеря производительности (работа будет выполняться не вовремя)
Масштаб ущерба – средний
Источник угроз – руководитель
опыт – необязателен
знания – присутствуют
доступные ресурсы – любые
возможная мотивация действий – некомпетентность, жесткие условия труда.
Главным объектом нападения будет чувствительная информация, а опасными угрозами – преднамеренное незаконное действие (постороннее лицо, злоумышленник), вредоносное программного обеспечения и ошибки работников отделения. В результате основными потерями являются информационные ресурсы, их конфиденциальность, денежные потери и затруднения в деятельности.
3. Квалификация угроз актуальных для информационной системы
Точный прогноз актуальных угроз позволяет снизить риск нарушения ИБ при минимизации затрат ресурсов организации. В процессе анализа возможных и выявления актуальных для активов организации угроз должен оцениваться риск, возникающий вследствие потенциального воздействия определенной угрозы. После оценивания риска должно быть принято решение, является ли он допустимым. Если риск является недопустимым, уровень риска подлежит снижению до допустимого путем принятия защитных мер.
Необходимо оценивать все угрозы, уязвимости и риски для обеспечения уверенности в том, что процесс оценки рисков в организации является полным. В таблице 0 приведены основные компоненты процесса оценки рисков по данной методике.
Таблица 4 - Типичные компоненты процесса оценки рисков
| Если кто-либо захочет проследить угрозы | Через зоны уязвимостей | То они приведут в результате к какому-нибудь из следующих рисков |
| Неавторизованное использование ПО и среды храненияВредоносное ПО, ошибка операционного персонала, электромагнитное излучение, колебание мощностиПодделка идентификатора пользователя, кража, перехват, проникновение в коммуникации, преднамеренное повреждениеПожар, авария источника мощности, авария ПО | Работники отделенияОборудование и аппаратураПриложенияКоммуникацииПрограммное обеспечениеОперационные системыСреда хранения | Денежная потеряПотеря производительностиЗатрудненияПотеря конфиденциальности, доступности и целостности информации |
В таблице 5 описывает действие каждой из четырех высоко-уровневых угроз.
| Угрозы | Описание |
| Неавторизованное использование ПО и среды хранения | Эти угрозы являются случайным или преднамеренным использование информации, места локализации, что ведет к изменениям или разрушениям информации людьми, с осуществлением или без осуществления доступа к рабочему процессу во время выполнения их обычных обязанностей |
| Вредоносное ПО, ошибка пользователя, электромагнитное излучение, колебание мощности | Эти угрозы являются неосторожной, из-за небрежности, или случайной потерей, дополнением, изменением или уничтожением информации. Эта угроза может проистекать вследствие действий или бездействия людей; неправильного функционирования аппаратных средств, программного обеспечения или коммуникаций; и природных бедствий, возможна временная приостановка работы |
| Пожар, авария источника мощности, авария ПО | Эти угрозы являются случайными, незапланированными, ведущие к потери информации, оборудования, снижению производительности, затруднению в деятельности; могут быть вызваны стихией |
| Подделка идентификатора пользователя, кража, перехват, проникновение в коммуникации, преднаме-ренное повреждение | Такие угрозы являются умышленными, способ получения информации несанкционированным доступом, что влечет потерю конфиденциальности, доступности и целостности сведений, их потерю. |
Описание зон локализации уязвимостей приведено в таблице 6.
Таблица 6 – Описание зон локализации уязвимостей
| Зона локализации уязвимостей | Описание |
| Персонал | Уязвимости этой зоны связаны с работниками отделения. Они касаются обученности и осведомленности сотрудников |
| Оборудование и аппаратура (все уровни, особенно физический и сетевой), | Уязвимости этой зоны связаны с физической безопасностью рабочих зон и аппаратуры, а также доступа к ним |
| Приложения (уровни сетевых и функциональных приложений) | Уязвимости этой зоны связаны с методом, с помощью которого информация обрабатывается для функционирования. Приложение включает обработку ввода для получения вывода |
| Коммуникации (физический и сетевой уровни) | Уязвимости этой зоны связаны с электронным движением информации |
| Программное обеспечение, относящееся к среде и операционные системы (в особенности уровни ОС и СУБД) | Уязвимости этой зоны связаны с программным обеспечением операционных систем и подсистем, в рамках которых приложения разрабатываются и исполняются |
При проведении оценки рисков должны рассматриваться три основные категории возможных потерь, описанные в таблице 7 .
Таблица 7 – Категории возможных потерь
| Категории возможных потерь | Описание |
| Денежная потеря | Денежная потеря определяется как потеря ценностей или увеличение стоимости или расходов. В сомнительных случаях необходимо классифицировать более высокий риск денежной потери или более высокое возможное значение потери, более высокий риск функционирования бизнеса. |
| Потеря производительности | Потеря производительности происходит тогда, когда персонал не способен продолжать выполнение своих обязанностей или когда необходимо повторять служебные обязанности. Прерывания работы или дублирование усилия могут приводить к недоступности бизнес-функций или к некорректности результатов |
| Затруднения для организаций | Эта категория касается ситуаций, оказывающих влияние на установление общественного доверия. Следует учитывать также конфиденциальность, точность и согласованность |
Составим матрицу оценки рисков. Уровни риска подразделяются на: высокий (В) - значительный, средний (С) - нормальный, низкий (Н) минимальная возможность потери.