1.2.12 Уязвимости безопасности информации, их классификация и ранжирование

1.2.12.1 Классификация уязвимостей

Угрозы, как возможные опасности совершения какого-либо действия, направлен­ного против объекта защиты, про­являются не сами по себе, а через уязвимости (факторы), приводя­щие к нарушению безопасности информации на конкретном объ­екте.

Уязвимости присущи объекту информатизации, неотделимы от него и обусловливаются недостатками процесса функционирования, свойствами архитектуры автомати­зированных систем, протоколами обмена и интерфейсами, применяе­мыми программным обеспечением и аппаратной платформой, услови­ями эксплуатации и расположения.

Источники угроз могут исполь­зовать уязвимости для нарушения безопасности информации, полу­чения незаконной выгоды (нанесе­ния ущерба собственнику, владель­цу, пользователю информации). Кроме того, возможны и незлонаме­ренные действия источников угроз по активизации тех или иных уяз­вимостей, наносящих вред. Каждой угрозе могут быть со­поставлены различные уязвимос­ти. Устранение или существенное ослабление уязвимостей влияет на возможность реализации угроз безопасности информации.

Уязвимости безопасности информации могут быть

(табл. 2.2 – 2.4):

– объективными;

– субъективными;

– случайными.

Объективные уязвимости (табл. 2.2) зави­сят от особенностей построения и технических характеристик обо­рудования, применяемого на за­щищаемом объекте. Полное уст­ранение этих уязвимостей невоз­можно, но они могут существенно ослабляться техническими и инже­нерно-техническими методами па­рирования угроз безопасности ин­формации.

Таблица 2.2 Объективные уязвимости информационной безопасности

Субъективные уязвимости (табл. 2.3) за­висят от действий сотрудников и, в основном, устраняются организа­ционными и программно-аппа­ратными методами.

Таблица 2.3 Субъективные уязвимости информационной безопасности

Случайные уязвимости (табл. 2.4) зависят от особенностей окружающей за­щищаемый объект среды и не­предвиденных обстоятельств. Эти факторы, как правило, мало пред­сказуемы и их устранение возмож­но только при проведении ком­плекса организационных и инже­нерно-технических мероприятий по противодействию угрозам ин­формационной безопасности.

Таблица 2.4 Случайные уязвимости информационной безопасности

Для удобства анализа уязвимос­ти делятся на классы (обознача­ются заглавными буквами), груп­пы (обозначаются римскими цифрами) и подгруппы (обозначаются строчными буквами).

1.2.12.2 Ранжирование уязвимостей

Все уязвимости имеют разную степень опасности К_оу, которую можно количественно оценить, про­ведя их ранжирование. При этом оценка степени опаснос­ти проводится по косвенным пока­зателям. В качестве критериев сравнения (по­казателей) можно выбрать:

– доступность К_д – определяет удобство (возможность) исполь­зования уязвимости источником угроз (массогабаритные разме­ры, сложность, стоимость необ­ходимых средств, возможность использования не специализи­рованной аппаратуры);

– количество К_к – определяет количество элементов объекта, которым характерна та или иная уязвимость;

– фатальность К_ф – определяет степень влияния уязвимости на неустранимость последствий ре­ализации угрозы. Для объектив­ных уязвимостей это информа­тивность – способность уязви­мости полностью (без искаже­ний) передать полезный инфор­мационный сигнал.

Каждый показатель оценивает­ся экспертно-аналитическим ме­тодом по пятибалльной системе. При этом оценка 1 соответствует минимальной степени влияния оцениваемого показателя на опас­ность использования уязвимости, а оценка 5 – максимальной.

Степень опасности для отдельной уязвимос­ти можно определить как отноше­ние произведения вышеприведен­ных показателей к максимальному значению (125):

К_{оу =} (К_{д *} К_{к *} К_ф ) \ 125. ( 2.2)

Для подгруппы уязвимостей К_оу определяется как среднее арифметическое коэффициентов отдельных уязвимостей в под­группе.

Для группы уязвимостей К_оу определяется как среднее арифметическое коэффициентов уязвимостей в ­подгруппах.

Для класса уязвимостей К_оу определяется как среднее арифметическое коэффициентов уязвимостей в ­группах.

Общая уязвимость информационной безопасности определяется как среднее арифметическое коэффициентов уязвимостей в классах.