- •1)Анализ предприятия.
- •2)Описание формы собственности
- •3)Описание деятельности
- •Условные обозначения на схеме:
- •Определение границ ближней и дальней зоны при измерениях пэми
- •Расчет рисков по угрозе информационной безопасности
- •Расчет рисков по угрозе информационной безопасности, после принятия контрмер.
Расчет рисков по угрозе информационной безопасности
1. На первом этапе рассчитываем уровень угрозы по уязвимости Th на основе критичности и вероятности реализации угрозы через данную уязвимость. Уровень угрозы показывает, насколько критичным является воздействие данной угрозы на ресурс с учетом вероятности ее реализации.
ER –критичность реализации угрозы,
P(V) - вероятность
Th=ER*P(V)
Чтобы рассчитать уровень угрозы по всем уязвимостям CTh , через которые возможна реализация данной угрозы на ресурсе, просуммируем полученные уровни угроз через конкретные уязвимости по следующей формуле:
CTh=1-П(1-Thi)
Уязвимость |
Угроза |
Критичность ER |
Вероятность P(V) |
Th=ER/100*P(V) |
1) утечка за счет структурного звука в стенах и перекрытиях |
1)съём структурного звука в стенах и перекрытиях |
30 |
10 |
0,03 |
2) отсутствие мер по уничтожению МНИ |
2) съем информации с плохо стертых носителей инф и т. п. |
60 |
10 |
0,06 |
3)свободный доступ посторонних на территорию |
3) программно-аппаратные закладки и ПК |
70 |
30 |
0,21 |
3.1) недовольный персонал |
|
70 |
30 |
0,21 |
ThC |
|
|
|
0,3759 |
4) свободный доступ посторонних на территорию |
4) радиозакладки в стенах и мебели |
30 |
30 |
0,09 |
5) доступ посторонних к системе вентиляции |
5) съем информации по системе вентиляции |
30 |
5 |
0,015 |
6) отуствие виброзашумления на стеклопакетах |
6) лазерный съем акустической информации с окон |
30 |
30 |
0,09 |
7) отсутствие антивируса/актуальных баз |
7) компьютерные вирусы, логические бомбы и т. п. |
50 |
50 |
0,25 |
7.1) Невыполение инструкции пользователя АС. |
|
50 |
40 |
0,2 |
7.2) отсутствие контроля за интернет сессиями сотрудника |
|
50 |
30 |
0,15 |
ThC |
|
|
|
0,49 |
8) незаземленные, неэкранированые СВТ |
8) съем информации за счет наводок и "навязывания" |
30 |
20 |
0,06 |
9) отсутствие штор, жалюзи на окнах |
9) дистанционный съем видеоинформации (оптика) |
30 |
20 |
0,06 |
10) голосовой ввод конфеденцилаьных данных |
10) съем акустической информации с использованием диктофонов |
30 |
40 |
0,12 |
11) отсутствие системы учета МНИ |
11) хищение носителей информации |
80 |
30 |
0,24 |
12) голосовой ввод конфеденцилаьных данных |
12) съем информации направленным микрофоном |
30 |
30 |
0,09 |
13) недовольный персонал |
13) внутренние каналы утечки информации (через обслуживающий персонал) |
60 |
30 |
0,18 |
14) недовольный персонал |
14) несанкционированное копирование |
70 |
30 |
0,21 |
15) неэкранированый терминал |
15) утечка за счет побочного излучения терминала |
60 |
30 |
0,18 |
16) незащищенность телефонной линии |
16) съем информации за счет использования "телефоного уха" |
30 |
5 |
0,015 |
17) наличие клавиатуры |
17) съем информации с клавиатуры по акустическому каналу |
20 |
5 |
0,01 |
18) неэкранированый Монитор СВТ |
18) съем информации с дисплея по электромагнитному каналу |
55 |
30 |
0,165 |
19) неудачное расположение монитора СВТ |
19) визуальный съем информации с дисплея и принтера |
50 |
30 |
0,15 |
20)незащищенность телефонной линии |
20) утечка через линии связи |
30 |
5 |
0,015 |
21) налицие пожарно охранной сигнализации |
21) утечка по охранно-пожарной сигнализации |
30 |
5 |
0,015 |
22) открытый трафик в лвс(не VPN) |
22) утечка по сети |
50 |
50 |
0,25 |
23) отстутствие средств активной защиты информации от утечек по сети электропитания |
23) утечка по сети отопления и электропитания |
30 |
45 |
0,135 |
Аналогично рассчитываем общий уровень угроз по ресурсу CThR (учитывая все угрозы, действующие на ресурс):
CThR=1-П(1-CThi)
CThi – уровень угрозы по всем уязвимостям.
CThR= 0,970541015
Расчитываем риск по ресурсу
R=CThR*D
R[Бд]= 0,970541015*1500000=1455811,522 у.е.
R[п.р.]= 0,970541015*2000000=1941082,03 у.е.
R[т.р.]= 0,970541015*2500000=2426352,537 у.е.
Риск по информационной системе CR рассчитывается по формуле
CR=сумм(Ri)
CR=5823246,09 у.е.
На основе Анализа рисков ИС принимается решение о введении контрмер в ИС.
Принятые контрмеры
Уязвимость |
Контрмера |
1) утечка за счет структурного звука в стенах и перекрытиях |
Шумоизоляция согласно плану |
2) отсутствие мер по уничтожению МНИ |
Журнал учета МНИ, обязательный акт уничтожение МНИ |
3,4)свободный доступ посторонних на территорию |
Ограничение неконтролируемого пребывания посторонних на контролируемой территории. |
5) доступ посторонних к системе вентиляции |
Ограничение неконтролируемого пребывания посторонних на контролируемой территории |
6) отсутствие виброзашумления на стеклопакетах |
Установка виброзашумления |
7) отсутствие антивируса/актуальных баз |
Своевременное обновление баз сигнатур вирусов |
7.1) Невыполнение инструкции пользователя АС. |
Закрепленная документально ответственность пользователей АС выполнения инструкции. |
7.2) отсутствие контроля за интернет сессиями сотрудника |
Контроль за интернет сессеиями |
8) незаземленные, неэкранированые СВТ |
Заземление, экранирование СВТ |
9) отсутствие штор, жалюзи на окнах |
Жалюзи на окнах |
10) голосовой ввод конфиденциальных данных |
Ограничение голосового ввода конфиденциальных данных |
11) отсутствие системы учета МНИ |
Журнал учета МНИ |
12) голосовой ввод конфеденцилаьных данных |
Ограничение голосового ввода конфиденциальных данных |
13,14) недовольный персонал |
Повышение лояльности персонала |
15,18) неэкранированый терминал |
Заземление, экранирование СВТ |
16,20) незащищенность телефонной линии |
- |
17) наличие клавиатуры |
- |
19) неудачное расположение монитора СВТ |
Расположение мониторов тыльной стороной к окнам |
21) наличие пожарно охранной сигнализации |
- |
22) открытый трафик в лвс(не VPN) |
|
23) отсутствие средств активной защиты информации от утечек по сети электропитания |
установка средств активной защиты информации от утечек по сети электропитания |