1.2 Классификация активов информационно-телекоммуникационной системы и анализ уязвимостей и вероятности угроз

Следующим шагом для оценки рисков является классификация и оценка активов информационно-телекоммуникационной системы банка. Здесь необходимо, главным образом, ранжировать данные, документы и системы относительно их важности для успешного функционирования банка и потенциального ущерба от неверного (либо отсутствия) способа защиты/хранения важной информации. Ранжирование и оценку документов можно делать совместно с персоналом банка, который непосредственно работает с этими документами и знает о реальных и потенциальных потерях, которые банк может понести от неверного управления важной документацией.⁶ Также необходимую информацию можно получить от внутреннего и внешнего аудита. Полученные значения по активам информационно-телекоммуникационной системы должны быть в корреляции с расходами на покупку и обслуживание активов и потенциального вреда от потери конфиденциальности, целостности и доступности этих активов. Банк должен разработать свою собственную шкалу важности для активов информационно-телекоммуникационной системы, которая покажет потери банка от нарушенной конфиденциальности, целостности и доступности информации. Пример такой шкалы: очень низко, низко, средне, высоко и очень высоко. В случае, когда нет никакой сортировки по важности активов и информации, все активы и всю информацию нужно считать очень важными, и все они должны быть подчинены надлежащему контролю безопасности.

В итоге выполнения этого шага информационно-аппаратная книга должна быть обновлена классификацией и оценкой каждого актива, относительно каждого критерия – конфиденциальность, целостность, доступность.⁷

Анализ уязвимостей и вероятности угроз. Эту задачу можно разбить на две подзадачи: идентификация угроз и уязвимостей, анализ вероятности угроз и возможных последствий для банка.

Идентификация угроз и уязвимостей.

Уязвомости могут иметь:

• физическую природу – недостаточность физической безопасности;

• административную природу – нехватка должным образом обученного персонала, неправильность/недостаточность рабочих процедур;

• техническую природу – неправильная техническая конфигурация.

Определять уязвимости удобно в соответствии с идентифицированными активами. Ниже – пример типичного анализа уязвимостей.

Помещение:

• стихийные бедствия/антропогенная катастрофа;

• недостаточная защита площадок/зданий/помещений от несанкционированного доступа и утечки информации;

• отсутствие/нестабильность электропитания;

• отсутствие/нестабильность работы систем кондиционирования воздуха;

• недостаточный мониторинг работы оборудования инженерной инфраструктуры;

• отсутствие технического обслуживания инженерной инфраструктуры;

• недостаточные меры предупреждения пожара;

• доступность топологии линий связи;

• доступность топологии сети.

Информация:

• открытый доступ к информации;

• отсутствие политики «чистого стола»;

• неверная классификация активов;

• отсутствие проверки целостности информации;

• неправильное управление базами данных;

• недостаточная защита носителя данных от механических повреждений;

• недостаточный контроль над своевременным уничтожением данных;

• доступность резервных/архивных данных;

• некорректная, несвоевременная и неполная обработка данных;

• уязвимости операционных систем;

• недостаточный контроль над резервированием данных.

• Линии связи и сети, включая доступ к ресурсам Интернет:

• отсутствие резервных линий связи;

• не контролированное соединение по телефонной линии;

• недостаточная защита трафика (для информации с ограниченным доступом);

• недостаточная защита от публичного доступа к внутренней сети;

• незащищенная точка доступа в сеть Интернет;

• неправильное управление сетью и доступом к критическим ресурсам;

• неадекватная пропускная способность сети;

• некорректные методы аутентификации пользователей сети;

• передача/хранение паролей в незащищенном виде;

• незащищенный удаленный доступ к ресурсам сети;

• неверное подтверждение отправки/получения сообщений;

• использование неэкранированных кабелей сети, что может привести к утечке информации по техническим каналам.⁸

Прикладные программно-технические комплексы:

• повреждение/ухудшение параметров работы компьютерной техники, которая используется для программно-технических комплексов;

• размещение компьютерной техники, которое создает условия утечки информации визуальными, акустическими или электромагнитными путями;

• подключение неавторизованного оборудования;

• не контролированное использование программного обеспечения;

• нарушение правила «двух рук» при работе с электронными платежными документами;

• отсутствие/неточность синхронизации времени;

• неверное предоставление прав доступа и недостаточный контроль доступа;

• не контролированная замена пользователей;

• неправильное/недостаточное тестирование;

• неправильный/сложный интерфейс пользователя;

• недостаточная система защиты для управления паролями, ключами, сертификатами;

• неправильная политика безопасности или ее отсутствие;

• отсутствие документации с обязательными записями при внесении изменений в программное обеспечение или его конфигурацию;

• повторное использование носителей информации при отсутствии процедур контролированного уничтожения записанной ранее информации;

• использование криптографических алгоритмов с низкой криптостойкостью;

• отсутствие защиты от вирусов и вредоносных кодов;

• неправильное управление на различных стадиях жизненного цикла проекта программно-технического комплекса;

• неправильное обслуживание приложений и баз данных;

• использование нелицензированного программного обеспечения.

Персонал:

• отсутствие/недостаток персонала;

• недостаточный контроль во время приема новых сотрудников;

• предоставление излишних полномочий/функций управления;

• отсутствие достаточной квалификации;

• отсутствие механизмов мониторинга/контроля;

• отсутствие правил/стандартов/процедур;

• отсутствие персональных обязательств сотрудников;

• отсутствие процедур делегирования/передачи/распределения полномочий;

• отсутствие отмены прав доступа при увольнении/переводе сотрудника;

• наличие условий для появления «обиженных» сотрудников;

• угроза от средств массовой информации (неадекватные интервью);

• угроза от конкурентов;

• несоответствие рабочего времени.

Для каждой определенной банком уязвимости существует определенный риск реализации угроз информации в информационно-телекоммуникационной системе банка.

Проведем оценку активов компании торговая сеть «Монетка», результаты представим в таблице 1.

Таблица 1- Идентификация активов торговая сеть «Монетка»

Вид деятельности		Наименование актива	Форма представления	Владелец актива	Критерии определения стоимости	Размерность оценки
						Количественная оценка (ед.изм)	Качественная
Информационные активы
Заказ услуги	Данные о клиенте		Электронная форма	Отдел ИТ	Утрата конфиденциальности	200 тыс.	высокая
Предоставление услуг	Персональные данные о сотрудниках		Электронная форма	БД по счетам клиентов	Утрата конфиденциальности	200 тыс.	высокая
Предоставление услуг	Договор на оказание услуг		Бумажный документ	БД по счетам клиентов	Репутация фирмы	100 тыс.	малая
Продажа услуги	Отчеты о продажах услуг		Бумажный документ	Бухгалтерия	Утрата конфиденциальности	200 тыс.	высокая
Автоматизированная обработка заказов клиентов	База данных информационной системы компании закодированном виде		Электронная форма	Отдел ИТ	Имидж компании	100 тыс.	малая
Заказ услуг	Сведения о провайдерах		Электронная форма	Отдел ИТ	Утрата конфиденциальности	100 тыс.	высокая
Заключение договора на банковское обслуживание	Персональные данные о клиентах		Электронная форма	Операционный отдел банка	Утрата конфиденциальности	100 тыс.	высокая
Работа с банком по интернет соединению	Персональные данные о клиентах		Электронная форма	БД по счетам клиентов	Утрата конфиденциальности	100 тыс.	высокая
Активы программного обеспечения
Предоставление услуг		Развернутое программное обеспечение	Электронная форма	Отдел ИТ	Утрата конфиденциальности	100 тыс.	высокая
Физические активы
Заказ и продажа услуг		Оборудование передачи информации	Оборудование	Отдел информационной безопасности	первоначальная стоимость актива	100 тыс.	Малая
Заказ и продажа услуг		Сервер компании	Оборудование	Отдел информационной безопасности	первоначальная стоимость актива	100 тыс.	Средняя

Перечень информационных активов, обязательное ограничение доступа, к которым регламентируется действующим законодательством РФ, представлен в таблице 2.

Таблица 2 – Перечень сведений конфиденциального характера торговая сеть «Монетка»⁹

№ п/п	Наименование сведений	Гриф конфиденциальности	Нормативный документ, реквизиты, №№ статей
1.	Сведения, раскрывающие характеристики средств защиты информации ЛВС предприятия от несанкционированного доступа.	конфиденциально	Руководство по защите конфиденциальной информации предприятия.
2.	Требования по обеспечению сохранения служебной тайны сотрудниками предприятия.	Конфиденциально	Статья 139 ГК РФ
3.	Персональные данные сотрудников	конфиденциально	Федеральный закон № 152

Результат ранжирования активов представлен таблице 3.

Таблица 3 - Результаты ранжирования активов

Наименование актива	Ценность актива (ранг)
Данные о клиенте	1
Персональные данные о сотрудниках	1
Сведения о провайдерах	1
Отчеты об оказанных услугах банком	1
Сервер компании	2
Договор на предоставление услуг	3
База данных информационной системы компании в закодированном виде	3
Оборудование передачи информации	3

Среди активов, имеющих наибольшую ценность необходимо назвать

1. Данные о клиенте

2. Персональные данные о сотрудниках

3. Сведения о провайдерах

4. Отчеты об оказанных услугах банка

5. Сервер компании