Глава 2. Моделирование угроз безопасности информации
2.1. Грифы секретности
При организации режима защиты информации, коммерческая фирма руководствуется законом «О коммерческой тайне», согласно которому и назначает грифы секретности конфиденциальной информации (смотри таблица 1).[5, с. 270]
Таблица 1. Грифы секретности конфиденциальной информации
Гриф секретности |
Описание грифа секретности |
||
Сокращение |
Полное название |
||
ДСП |
Для служебного пользования |
Имеет наименьшую секретность, назначается в основном внутренним документам. |
|
К |
Конфиденциально |
Назначается всем документам, содержащим сведения, полученные от клиентов в рамках аудита и наиболее важным внутренним документам |
|
СК |
Строго конфиденциально |
Имеет наивысшую секретность, назначается документам, содержащим выводы и результаты проделанных аудиторских операций. Разглашение документов с этим грифом может иметь самые тяжкие последствия, вплоть до банкротства фирмы. |
|
2.2. Расчет цены защищаемой информации
Для определения стоимости защищаемой информации используются два подхода. Первый состоит в оценке стоимости информации по стоимости ущерба, который будет причинен в случае потери или разглашения защищаемой информации. В этом случае цена информации назначается методом экспертной оценки. Второй подход состоит в вычислении стоимости информации, исходя из её объема и стоимости единицы информации (1 килобайт, 1страница и др.).[6, с. 81]
Согласно первому подходу, следующие элементы информации после проведения экспертной оценки получили заявленную стоимость (смотри таблица 2).
Таблица 2. Стоимость информации организации
Наименование элемента информации |
Цена элемента информации (руб.) |
Примечание |
Сведения о кредитно-инвестиционной деятельности клиентов |
500 000 |
Равна ущербу от потери заключенного контракта на проведение аудита |
Финансовая документация клиентов |
500 000 |
Равна ущербу от потери заключенного контракта на проведение аудита |
Сведения об организационной структуре клиентов |
500 000 |
Равна ущербу от потери заключенного контракта на проведение аудита |
Наименование элемента информации |
Цена элемента информации (руб.) |
Примечание |
Иная информация, предоставленная клиентами в рамках аудита |
500 000 |
Равна ущербу от потери заключенного контракта на проведение аудита |
Иная информация о клиентах, полученная из неафишируемых источников |
50 000 |
Равна стоимостной доли (до 10%) информации, получаемой из этих источников |
Промежуточные и предварительные результат аудиторских проверок клиента |
500 000 |
Равна ущербу от потери заключенного контракта на проведение аудита |
Итоговые результаты аудиторской проверки клиентов, подготовленные для них |
500 000 |
Равна ущербу от потери заключенного контракта на проведение аудита |
Результаты аудиторской проверки клиента, для внутреннего пользования |
200 000 |
Равна себестоимости работ по проведению аудиторской проверки |
Сведения о не афишируемых источниках информации, задействованных в рамках ведения аудиторской деятельности |
50 000 |
Равна потере информации от этих источников, до 10% от общего объема информации |
Наименование элемента информации |
Цена элемента информации (руб.) |
Примечание |
Разработанные методические указания по методам проведения аудита |
200 000 |
Равна себестоимости работ по проведению аудиторской проверки |
Исходные коды и работающие версии ПО, разработанного для проведения аудита |
200 000 |
Равна себестоимости работ по проведению аудиторской проверки |
В рамках второго подхода стоимость информации вычисляется по общему объему информации V, по стоимости единицы информации C0 и коэффициенту информативности К. Коэффициент информативности означает долю полезной информации в общем объеме информации, например для документов, широко распространенной программы MSWord К=20%, именно столько занимает сам текст, оставшиеся 80% - служебная информация программы.
Эмпирическим путем определены коэффициенты информативности для наиболее распространенных объектов, содержащих информацию (смотри таблица 3).[7, с. 47]
Таблица 3. Коэффициент информативности для объектов, содержащих информацию
Объект, содержащий информацию |
К |
Примечание |
Текст договора, соглашения или иного официального документа |
25% |
На 75% приходится повторяющаяся информация, общие фразы и формулировки |
Объект, содержащий информацию |
К |
Примечание |
Схема, таблица, чертеж, технический рисунок |
90% |
Что подтверждает «лучше один раз увидеть, чем сто раз услышать» |
Электронный документ, подготовленный в текстовом процессоре |
20% |
Например, MS Word, OpenOffice и др. |
Электронная база данных различного ПО |
85% |
Форматы специально разработанные для хранения значительных объемов данных, например DBF, MDB и др. |
Исходный код ПОв виде листинга (распечатки) |
90% |
10% - комментарии |
Речь человека |
30% |
Без учета эмоциональной составляющей |
Согласно второму подходу эти элементы информации были оценены (смотри таблица 4).
Таблица 4. Оценка элементов информации
№ |
Наименование элемента информации |
Расчет цены информации |
|||
С0, руб/Мб. |
V (Мб) |
К |
С=С0∙V∙K |
||
1.1.1 |
Стратегический план развития фирмы |
10 000 |
20 |
20% |
40 000 |
1.1.2 |
Внутренняя кадровая информация |
15 |
500 |
85% |
6500 |
1.1.3 |
Внутренняя финансовая документация |
18 |
1000 |
85% |
15300 |
1.1.4 |
сведения о достигнутых соглашениях и договоренностях |
100 |
300 |
25% |
7500 |
1.1.5 |
планы встреч и поездок руководства |
300 |
100 |
30% |
9 000 |
1.1.6 |
Сведения по внутренней безопасности фирмы |
400 |
500 |
25% |
50 000 |
1.4.4 |
Архив проведенных аудиторских операций |
15 |
10000 |
85% |
127500 |
В итоге, структурная детализированная модель защищаемой информации, представленная в виде таблицы 5, будет иметь следующий вид:
Таблица 5. Структурная детализированная модель защищаемой информации
№ |
Наименование элемента информации |
Гриф конфид. |
Цена информации |
Наименование источника информации |
Местонахождение источника информации |
1.1.1 |
Стратегический план развития фирмы |
К |
40 000 |
Руководство фирмы, бумажные иэлектронные документы |
кабинет руководства, сейф и ПЭВМ в кабинете руководства |
1.1.2 |
Внутренняя кадровая информация |
ДСП |
6 500 |
Бумажные и электронные документы, БД кадрового ПО |
сейф и ПЭВМ в приемной, сейф и ПЭВМ в кабинете руководства |
1.1.3 |
Внутренняя финансовая документация |
ДСП |
15 300 |
Гл.бухгалтер, бумажные и электронные документы, БД бухгалтерского ПО |
Рабочий стол, шкаф, сейф и ПЭВМ гл. бухгалтера |
1.1.4 |
Сведения о достигнутых соглашениях и договоренностях |
К |
7 500 |
Руководство фирмы, бумажные документы. |
Рабочий стол, сейф и ПЭВМ в кабинете руководства |
№ |
Наименование элемента информации |
Гриф конфид. |
Цена информации |
Наименование источника информации |
Местонахождение источника информации |
1.1.5 |
Планы встреч и поездок руководства |
ДСП |
9 000 |
Руководство фирмы, секретарь, бумажные и электронные документы |
Кабинет руководства, приемная, рабочие столы и ПЭВМ руководства и секретаря |
1.1.6 |
Сведения по внутренней безопасности фирмы |
ДСП |
50 000 |
Руководство фирмы, бумажные и электронные документы |
Рабочий стол, сейф и ПЭВМ в кабинете руководства |
1.1.7 |
Сведения о не афишируемых источниках информации, используемых в рамках ведения аудиторской деятельности |
К |
50 000 |
Руководство, сотрудники групп информационного обеспечения, бумажные и электронные документы |
Сейф и ПЭВМ в кабинете руководства и группы информационного обеспечения |
1.2.1 |
Сведения о кредитно-инвестиционной деятельности клиентов, предоставленные ими для проведения аудита |
К |
500 000 |
Сотрудники группы кредитно-инвестиционного аудита, бумажные и электронные документы |
Сейфы в хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете группы кредитно-инвестиционного аудита |
№ |
Наименование элемента информации |
Гриф конфид. |
Цена информации |
Наименование источника информации |
Местонахождение источника информации |
1.2.2 |
Финансовая документация клиентов, предоставленная ими в рамках аудита |
К |
500 000 |
Сотрудники группы финансового аудита, бумажные и электронные документы |
Сейфы в хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете группы финансового аудита |
1.2.3 |
Сведения об организационной структуре клиентов, предоставленные ими для проведения аудиторской проверки |
К |
500 000 |
Сотрудники группы организационного аудита, бумажные и электронные документы |
Сейфы в хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете группы организационного аудита |
1.2.4 |
Иная информация, предоставленная клиентами для проведения аудиторской проверки |
К |
500 000 |
Руководство, сотрудники групп аудита, бумажные и электронные документы |
Сейфы в хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинетах групп аудита и руководства |
№ |
Наименование элемента информации |
Гриф конфид. |
Цена информации |
Наименование источника информации |
Местонахождение источника информации |
1.2.5 |
Иная информация о клиентах, полученная из неафишируемых источников при проведении аудиторской проверки |
К |
500 000 |
Руководство, начальники групп аудита |
Сейфы в хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинетах руководства и групп аудита |
1.3.2 |
Разработанные методические указания по проведению аудита |
ДСП |
200 000 |
Бумажные и электронные документы в группах аудита |
Шкафы, сейфы и ПЭВМ в кабинетах групп аудита |
1.3.3 |
Исходные коды и работающие версии ПО, разработанного для проведения аудита |
ДСП |
200 000 |
ПЭВМ |
ПЭВМ группы информационного и технического обеспечения, ПЭВМ рабочих групп |
1.4.1 |
Промежуточные и предварительные результаты аудиторских проверок клиента |
СК |
500 000 |
Руководство, начальники групп аудита, бумажные и электронные документы |
Кабинеты руководства и групп аудита, сейфы, рабочие столы и ПЭВМ в кабинетах групп аудита |
№ |
Наименование элемента информации |
Гриф конфид. |
Цена информации |
Наименование источника информации |
Местонахождение источника информации |
1.4.2 |
Итоговые результаты аудиторской проверки клиентов, для клиента |
СК |
500 000 |
Руководство, бумажные и электронные документы |
Кабинет руководства, сейф и ПЭВМ в кабинете руководства |
1.4.3 |
Результаты аудиторской проверки клиента, для внутреннего пользования |
СК |
200 000 |
бумажные и электронные документы |
Сейф и ПЭВМ в кабинете руководства, сейфы в хранилище документов |
1.4.4 |
Архив проведенных аудиторских операций |
СК |
127 500 |
бумажные и электронные документы |
сейфы и шкафы в помещении архива |
Таким образом, было проведена классификация и структурирование информации в соответствии с функциями, задачами и структурой организации, в результате чего защищаемая информация была представлена в виде отдельных элементов информации.
Моделирование угроз безопасности информации ставит целью анализ способов и путей хищения защищаемой информации. Оно включает:
моделирование способов физического проникновения злоумышленника к источникам информации;
моделирование технических каналов утечки информации.
Моделирование технических каналов утечки информации является методом достоверного и полного исследования. При выявлении технических каналов утечки информации необходимо рассматривать всю совокупность элементов защиты, включающую основное оборудование технических средств обработки информации, оконечные устройства, соединительные линии, распределительные и коммутационные устройства, системы электропитания, системы заземления и т.п.[8, с. 95]
Наряду с основными техническими средствами, непосредственно связанными с обработкой и передачей конфиденциальной информации, необходимо учитывать и вспомогательные технические средства и системы, такие, как технические средства открытой телефонной, факсимильной, громкоговорящей связи, системы охранной и пожарной сигнализации, электрификации, радиофикации, электробытовые приборы и др.
В качестве каналов утечки интерес представляют вспомогательные средства, выходящие за пределы контролируемой зоны, а также посторонние провода и кабели, к ним не относящиеся, но проходящие через помещения, где установлены основные и вспомогательные технические средства, металлические трубы систем отопления, водоснабжения и другие токопроводящие металлоконструкции.[9, с. 129]
При моделировании технических каналов утечки, помимо выявления самих каналов, т.е. источника сигнала, пути утечки, определяется оценка реальности канала, величина и ранг угрозы. Оценка реальности угрозы определяется как отношение стоимости информации к стоимости реализации канала утечки, а величина угрозы - как произведение цены информации на вероятность реализации канала.
Согласно приведенной ниже классификации, интерес будут представлять объективные внутренние факторы и субъективные внешние. Рассмотрим общую классификацию и конкретные технические каналы утечки информации на рисунке 2.
Рис. 2. Технические каналы утечки информации