Скрытном проникновении на территорию или внутрь объекта через окна, двери и другие уязвимые места здания.
Угрозе с оружием через доступные проемы с внешней стороны здания или внутри него в особо охраняемых зонах
Возможности осуществления взрыва, поджога объекта
так и от непреднамеренных или халатных действий, которые могут повлечь за собой возникновение или создание условий для возникновения ситуаций, создающих угрозу для жизни или здоровья человека, а также возможных материальных потерь.
Для обоснованного и грамотного выбора средств технической безопасности объекта необходимо классифицировать объект как с точки зрения деятельности, которая проводится на объекте (торговый комплекс, занимающийся коммерческой деятельностью и работающий с товарами широкого спектра), так и с точки зрения принадлежности - подчиненности помещений и территорий (несколько крупных арендаторов, имеющих свои службы безопасности, подчиняющиеся внутренним корпоративным стандартам и использующим для обеспечения безопасности своих помещений ранее утвержденный и принятый спектр технических средств охраны, а также мелкие арендаторы не имеющие таких своих служб и возлагающих функции обеспечения безопасности своих помещений на администрацию комплекса; кроме того, администрация комплекса, осуществляющая помимо функций охраны помещений мелких арендаторов, общую охрану объекта, включая зоны общего пользования и прилегающую территорию).
Внутри объекта возможно выделить 4 условных возможных рубежа охраны в зависимости от функций и видов деятельности, осуществляемой на этих рубежах:
Территория вокруг здания торгового комплекса с расположенными здесь техническими зданиями и сооружениями, а также автомобильными стоянками для персонала и посетителей комплекса
Здание комплекса с точки зрения проникновения через окна, двери и другие внешние уязвимые места здания, включая технические коммуникации, т.е его наружный периметр
Помещения или группы помещений (зоны) внутри здания, требующие повышенного внимания при охране объекта. К таким зонам могут относиться вестибюли и холлы в зонах общего пользования, торговые помещения (залы) арендаторов, не обеспеченных собственными службами безопасности, технические помещения (щитовые, венткамеры, склады), общие для всех арендаторов зоны погрузки-разгрузки товара, запасные лестницы и пр.
Помещения или группы помещений (зоны), а также локальные объекты внутри помещений, требующие специальных мер по обеспечению безопасности. К таким в первую очередь относятся объекты и помещения для обработки и хранения денежных знаков, пути их транспортировки внутри комплекса, отделы продаж драгоценностей и ювелирных изделий, банкоматы, игровые автоматы, секции и отделы продаж другого дорогостоящего оборудования
Технические системы, планируемые для установки с целью обеспечения безопасности объекта в целом, не должны и не будут, очевидно, дифференцированы строго по вышеназванным рубежам охраны, а, имея различные ветви, подчиняющиеся своим, выработанным на этапе проектирования алгоритмам, на различных рубежах, будут интегрироваться в единый комплекс безопасности на уровне программно-аппаратных средств.
1.2 Построение модели злоумышленника и анализ уязвимостей
Информационная безопасность всегда была и остается затратной частью бюджета компании. Трудно, а иногда и совсем невозможно оценить возврат на инвестиции в безопасность. Руководство, при планировании бюджета, хочет получить от начальников ИТ-подразделений ясное обоснование затрат на внедрение новых технологий и средств защиты. Зачем покупать новые межсетевые экраны? Зачем модернизировать систему VPN? Что это даст? Насколько повысится общая защищенность ресурсов компании? Как это оценить? Не всегда начальникам ИТ-подразделений удается подобрать необходимую аргументацию и зарезервировать в бюджете статьи на информационную безопасность. Таким образом, создание и модернизация системы обеспечения информационной безопасности компании становится проблемой, лежащей исключительно в финансовой плоскости.
Построение модели злоумышленника - это процесс классификации потенциальных нарушителей по следующим параметрам:
Тип злоумышленника (конкурент, клиент, разработчик, сотрудник компании и т.д.);
Положение злоумышленника по отношению к объектам защиты (внутренний, внешний);
Уровень знаний об объектах защиты и окружении (высокий, средний, низкий);
Уровень возможностей по доступу к объектам защиты (максимальные, средние, минимальные);
Время действия (постоянно, в определенные временные интервалы);
Место действия (предполагаемое месторасположение злоумышленника во время реализации атаки).
Присвоив перечисленным параметрам модели злоумышленника качественные значения можно определить потенциал злоумышленника (интегральную характеристику возможностей злоумышленника по реализации угроз).
Идентификация, классификация и анализ угроз и уязвимостей позволяют определить пути реализации атак на объекты защиты. Уязвимости - это свойства ресурса или его окружения, используемые злоумышленником для реализации угроз. Перечень уязвимостей программных ресурсов можно найти в сети интернет.Угрозы классифицируются по следующим признакам:
· наименование угрозы;
· тип злоумышленника;
· средства реализации;
· используемые уязвимости;
· совершаемые действия;
· частота реализации.
Основной параметр - частота реализации угрозы. Она зависит от значений параметров "потенциал злоумышленника" и "защищенность ресурса". Значение параметра "защищенность ресурса" определяется путем экспертных оценок. При определении значения параметра принимается во внимание субъективные параметры злоумышленника: мотивация для реализации угрозы и статистика от попыток реализации угроз данного типа (в случае ее наличия). Результатом этапа анализа угроз и уязвимостей является оценка параметра "частота реализации" по каждой из угроз.
На этапе оценки риска определяется потенциальный ущерб от угроз нарушения информационной безопасности для каждого ресурса или группы ресурсов. Качественный показатель ущерба зависит от двух параметров:
Значимость ресурса;
Частота реализации угрозы на этот ресурс.
Исходя из полученных оценок ущерба, обоснованно выбираются адекватные организационные меры и технические средства защиты.
Единственным уязвимым местом в предлагаемой методике оценке риска и соответственно обосновании необходимости внедрения новых или изменения существующих технологий защиты является определение параметра "частота реализации угрозы". Единственный путь получения объективных значений этого параметра - накопление статистики по инцидентам. Накопленная статистика, например, за год позволит определить количество реализаций угроз (определенного типа) на ресурс (определенного типа). Работу по накоплению статистики целесообразно вести в рамках процедуры обработки инцидентов. Процедура обработки инцидентов состоит из следующих процессов:
· идентификация нарушения;
· фиксация нарушения;
· принятие решения об обработке инцидента;
· регистрация инцидента;
· назначение исполнителей;
· сопровождение обработки инцидента;
· фиксация действий и результатов расследования;
· определение ущерба;
· закрытие процесса.
Накопление статистики по инцидентам помимо получения объективных данных, необходимых для обоснования вложений в ИБ, позволяет оценить эффективность функционирования СОИБ. Накопленная за определенный временной интервал статистика позволяет отследить общую тенденцию в сторону уменьшения или увеличения количества инцидентов.
1.3 Актуальность пожарной безопасности наряду с КСЗИ
В последние несколько лет, несмотря на прогресс технологий, становится все более актуальна проблема пожарной безопасности. Пожаротушение неслучайно вызывает такой интерес к себе – любое возгорание приносит ущерб, прежде всего – материальный. А в некоторых случаях, когда, к примеру, загорается произведение искусства, урон просто не поддается денежной оценке.
Однозначного ответа на этот вопрос почему возникают разнообразные возгорания нет. Но можно сказать, что наиболее частой причиной пожаров является несоблюдение определенных правил (иногда они просто-напросто игнорируются), недостаточное обучение мерам пожарной безопасности; не стоит также забывать и о пожарах которые могут быть спланированы конкурентами организации, а также сотрудниками предприятия в определенных целях (при подкупе сотрудника, при условии личных «обид», или сокрытием определенных обстоятельств). Это приводит к порче оборудования, помещений, приносит колоссальный материальный ущерб при потере информации, которая могла бы составлять государственную, коммерческую или иную информацию, к примеру личные данные сотрудников предприятия, накопленную на протяжении всего срока работы, а иногда и уносит жизни людей. Это слишком высокая цена. Для того чтобы начался пожар, необходимо наличие в одном месте трех элементов: горючего материала, тепла и кислорода. Сочетание этих трех элементов в огне вызывает неуправляемую цепную реакцию. Поскольку для горения необходимы все три элемента, удалив один из них, можно предотвратить возгорание или погасить огонь.
От вида горючего материала зависит класс пожара, который определяет способы и средства тушения. В нормативных документах ряда стран пожары разделяются на четыре класса:
A – возгорание обычных горючих материалов, таких, как древесина, бумага и пластмассы;
B – возгорание легковоспламеняющихся или горючих жидкостей, газов и смазочных материалов;
C – возгорание электропроводки;
D – возгорание горючих металлов.
Степень пожароопасности зависит от вида и количества горючего материала в рассматриваемой пожароопасной зоне.