Для даного приміщення можливим може бути порушник двох типів: внутрішній та зовнішній. Отже, модель порушника може виглядати так:

• Порушник може входити до складу персоналу організації. Який має доступ до даного приміщення; також порушник може бути найманцем конкурентів, тобто зовнішнім, для добування певного роду інформації;

• Порушником може бути добре озброєна й оснащена силова група, що діє ззовні швидко і напролом;

• А також - поодинокий порушник, що не має допуску на об’єкт і намагається діяти потайки;

• Допоміжний персонал об’єкта, що допущений на об’єкт, але не допущений до життєво важливого центру (ЖВЦ) АС;

• Основний персонал, що допущений до ЖВЦ ;

Основні цілі порушника:

• Корисливий інтерес;

• Професійний обов’язок;

• Безвідповідальність (оскільки до списку можливих загроз віднесено «Недбале відношення співробітників до своїх обов’язків»).

Основні засоби моделі порушника

• Знає функціональні особливості системи, основні закономірності формування масивів даних та потоків запитів до них, має навички щодо користування штатними засобами системи;

• Володіє високим рівнем знань та практичними навичками роботи з технічними засобами системи та їх обслуговування;

• Володіє високим рівнем знань у галузі програмування та обчислювальної техніки, проектування та експлуатації автоматизованих інформаційних систем;

• Знає структуру, функції й механізми дії засобів захисту, їх недоліки;

• Знає недоліки та “вади” механізмів захисту, які вбудовані у системне програмне забезпечення та його недокументовані можливості.

Щодо характеру дій порушника за часом дії можемо визначити такі пункти:

• До впровадження АС або її окремих компонентів;

• Під час бездіяльності компонентів системи (в неробочій час, під час планових перерв у роботі, перерв для обслуговування і ремонту і т.д.);

• Під час функціонування АС (або компонентів системи);

• Як у процесі функціонування АС, так і під час призупинки компонентів системи.

Політика безпеки інформації в ас

До даного приміщення складена та використана трьохрівнева політика безпеки. Отже, існує 3 рівні: верхній, середній і нижній.

Мета Політики

Метою Політики є впровадження та ефективне управління системою забезпечення інформаційної безпеки, спрямованої на захист інформаційних активів організації, забезпечення безперервної діяльності організації, мінімізації ризиків інформаційної безпеки, створення позитивної репутації організації та довірчих відносин з клієнтами.

Основним завданням інформаційної безпеки є захист інформаційних активів організації від зовнішніх та внутрішніх навмисних та ненавмисних загроз.

Область застосування

Політика розповсюджується на всі аспекти життєдіяльності організації та застосовується до всіх активів, які можуть справляти матеріальний ефект на кінцевий продукт своєю відсутністю чи псуванням.

Класифікація активів

Як основні об’єкти області діяльності інформаційної безпеки, розглядаються наступні види активів:

• інформаційні активи: інформація та дані у будь-якому вигляді, що отримуються, зберігаються, обробляються, передаються, оголошуються, у т.ч. знання співробітників, партнерів організації, бази даних та файли, документація, посібники користувача, навчальні матеріали, описи процедур, заархівована інформація і т.п.;

• програмне забезпечення: прикладне програмне забезпечення, системне програмне забезпечення, сервісне програмне забезпечення та будь-яке інше програмне забезпечення, незалежно від форми отримання (придбання, власної розробки, таке, що вільно розповсюджується), яке використовується у організації співробітниками та системами для роботи та взаємодії з клієнтами та іншими внутрішніми та зовнішніми системами і т.п.;

• фізичні активи: співробітники, апаратні засоби IT (сервери, робочі станції, міжмережеві екрани, принтери, копіювальні апарати, телекомунікаційне обладнання, обладнання зв’язку, маршрутизатори, АТС, факси, модеми і т.п.), носії даних (стрічки, диски і т.п.), меблі, приміщення, виробниче обладнання, інші технічні засоби і т.п.;

• сервісні активи: обчислювальні та комунікаційні сервіси (Інтернет, електронна пошта, канали зв’язку і т.п.), інші технічні сервіси (опалення, освітлення, енергозбереження, кондиціювання повітря, системи сигналізацій та моніторингу), усі послуги, пов’язані з отриманням, наданням, використанням, передачею та знищенням активів, усі юридичні та фізичні особи, організації, установи та підприємства (а також їх співробітники), послугами яких користується організація для отримання, використання, передачі та знищення активів.