Расчет рисков по угрозе информационной безопасности, после принятия контрмер.
1. На первом этапе рассчитываем уровень угрозы по уязвимости Th на основе критичности и вероятности реализации угрозы через данную уязвимость. Уровень угрозы показывает, насколько критичным является воздействие данной угрозы на ресурс с учетом вероятности ее реализации.
ER –критичность реализации угрозы,
P(V) - вероятность
Th=ER*P(V)
Чтобы рассчитать уровень угрозы по всем уязвимостям CTh , через которые возможна реализация данной угрозы на ресурсе, просуммируем полученные уровни угроз через конкретные уязвимости по следующей формуле:
CTh=1-П(1-Thi)
уязвимость |
угроза внешним |
критичность ER |
вероятность P(V) |
Th=ER/100*P(V) |
1) утечка за счет структурного звука в стенах и перекрытиях |
1)съём структурного звука в стенах и перекрытиях |
30 |
5 |
0,015 |
2) отсутствие мер по уничтожению МНИ |
2) съем информации с плохо стертых носителей инф и т. п. |
60 |
2 |
0,012 |
3)свободный доступ посторонних на территорию |
3) программно-аппаратные закладки и ПК |
70 |
5 |
0,0035 |
3.1)недовольный персонал |
|
70 |
5 |
0,0035 |
ThC |
|
|
|
0,06878 |
4) свободный доступ посторонних на территорию |
4) радиозакладки в стенах и мебели |
30 |
5 |
0,015 |
5) доступ посторонних к системе вентиляции |
5) съем информации по системе вентиляции |
30 |
2 |
0,006 |
6) отуствие виброзашумления на стеклопакетах |
6) лазерный съем акустической информации с окон |
30 |
2 |
0,006 |
7) отсутствие антивируса/актуальных баз |
7) компьютерные вирусы, логические бомбы и т. п. |
50 |
3 |
0,015 |
7.1) Невыполение инструкции пользователя АС. |
|
50 |
10 |
0,05
|
7.2) отсутствие контроля за интернет сессиями сотрудника |
|
50 |
5 |
0,025
|
ThC |
|
|
|
0,08764 |
8) незаземленные, неэкранированые СВТ |
8) съем информации за счет наводок и "навязывания" |
30 |
5 |
0,015 |
9) отсутствие штор, жалюзи на окнах |
9) дистанционный съем видеоинформации (оптика) |
30 |
2 |
0,006 |
10) голосовой ввод конфеденцилаьных данных |
10) съем акустической информации с использованием диктофонов |
30 |
5 |
0,015 |
11) отсутствие системы учета МНИ |
11) хищение носителей информации |
80 |
5 |
0,04 |
12) голосовой ввод конфеденцилаьных данных |
12) съем информации направленным микрофоном |
30 |
5 |
0,015 |
13) недовольный персонал |
13) внутренние каналы утечки информации (через обслуживающий персонал) |
60 |
20 |
0,12 |
14) недовольный персонал |
14) несанкционированное копирование |
70 |
20 |
0,14 |
15) неэкранированый терминал |
15) утечка за счет побочного излучения терминала |
60 |
5 |
0,03 |
16) незащищенность телефонной линии |
16) съем информации за счет использования "телефоного уха" |
30 |
5 |
0,015 |
17) наличие клавиатуры |
17) съем информации с клавиатуры по акустическому каналу |
20 |
5 |
0,01 |
18) неэкранированый Монитор СВТ |
18) съем информации с дисплея по электромагнитному каналу |
55 |
5 |
0,0275 |
19) неудачное расположение монитора СВТ |
19) визуальный съем информации с дисплея и принтера |
50 |
2 |
0,01 |
20)незащищенность телефонной линии |
20) утечка через линии связи |
30 |
5 |
0,015 |
21) налицие пожарно охранной сигнализации |
21) утечка по охранно-пожарной сигнализации |
30 |
5 |
0,015 |
22) открытый трафик в лвс(не VPN) |
22) утечка по сети |
50 |
50 |
0,25 |
23) отстутствие средств активной защиты информации от утечек по сети электропитания |
23) утечка по сети отопления и электропитания |
30 |
5 |
0,015 |
Аналогично рассчитываем общий уровень угроз по ресурсу CThR (учитывая все угрозы, действующие на ресурс):
CThR=1-П(1-CThi)
CThi – уровень угрозы по всем уязвимостям.
CThR= 0,637501175
Расчитываем риск по ресурсу
R=CThR*D
R[Бд]= 0,637501175*1500000=956251,8 у.е.
R[п.р.]= 0,637501175*2000000=1275002 у.е.
R[т.р.]= 0,637501175*2500000=1593753 у.е.
Риск по информационной системе CR рассчитывается по формуле
CR=сумм(Ri)
CR=3825007 у.е.
D – экономическая эффективность
D=CR’-CR=5823246,09-3825007=1998239 у.е.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
13)
Факторы воздействующие на информацию. (ГОСТ Р 51275-99)
Внутренние /внешние
Перечень объективных факторов, воздействующих на защищаемую информацию, в соответствии с
установленным принципом их классификации
Внутренние факторы
Документы необходимые для аттестации защищаемого помещения:
-Приказ об определении контролируемой зоны .
-Приказ о назначении ответственного за защищаемое помещение .
-Технический паспорт на защищаемое помещение.
-Инструкция по обеспечению безопасности информации. при ведении конфиденциальных переговоров (в составе Технический паспорт на защищаемое помещение).
-Эксплуатационная документация на средства защиты информации .
-Сертификаты соответствия требованиям безопасности информации на технические средства защиты информации .
Основные отчетные документы:
- Технический паспорт объекта информатизации
- Программа и методика проведения аттестационных испытаний
- Протоколы аттестационных испытаний
- Заключение по результатам аттестационных испытаний
- Аттестат соответствия
Для Ас строй
Secret Net 6 (автономный вариант с платой аппаратной поддержки secret net card) (6650+1000) – 6 шт.
Security studio endpoint protection (2950/500) – 6 шт.
Аттестация АС(по требования класса 1Г) – 30000 руб за 1 рабочее место.
Всего на Ас строй 246650 рублей.
Для ЗП
Аттестация ЗП – 25 000.
генератора виброакустических помех Октава-ВА (4 вибро/акусто –излучателя 10200+1200) – 2 шт.
1 пк в защищенном исполнении – 60000рублей.
Всего на ЗП 107800.
Всего на мероприятия по ТЗ КИ 354450 рублей.
Потери в случаи реализации угроз - 4836310. Очевидно Что мероприятия по ТЗ КИ целесообразны. Стоимость реализации мероприятий не превышает 10 % от стоимости конфиденциальный информации(523000).