4.1.9 Требования к защите информации от несанкционированного доступа
В системе должна быть реализована защита информации от несанкционированного доступа с помощью ввода пароля или с помощью стандартной процедуры проверки регистрации учетных записей средствами операционной системы.
4.1.10 Требования к сохранности информации при авариях
При возникновении аварий, отказов технических средств, отключение электропитания и т.п. необходимо обеспечить сохранность информации. Для предотвращения утраты информации при возникновении нештатных ситуаций в случаях, когда должна быть обеспечена сохранность информации в системе, необходимо предусмотреть: систему резервного копирования базы данных с сохранением информации на оптические или внешние накопители.
4.2 Требования к функциям (задачам), выполняемым системой
В АИС «Справочник угроз безопасности информации» реализовать следующие функции:
Проведение проверки введенного пароля;
Обеспечение удобного ввода и редактирования данных в базе данных;
Проведение поиска информации в базе данных по критериям, определенным пользователем;
Обеспечение просмотра информации, хранящейся в базе данных и результатов поиска;
Проведение диагностики ошибок пользователя.
4.3 Требования к видам обеспечения
4.3.1 Математическое обеспечение
Реализовать расчет информационных рисков по информационным ресурсам.
Алгоритм расчета.
Критичность ресурса
(
,
руб.) определяет степень значимости
ресурса и отражает влияние реализации
угрозы на работу автоматизированной
информационной системы.
Критичность
реализации угрозы (
,
%) выражает степень влияния реализации
угрозы на ресурс.
Вероятность
реализации угрозы через данную уязвимость
в течение года (
,
%) определяет степень возможности
реализации угрозы через данную уязвимость
определенных условиях.
Критерий критичности ( , руб.) включает стоимость ПЭВМ и конфиденциальной информации в зависимости от ресурса.
Вероятности реализации угроз через уязвимость в течении года ( , %) и критичности реализации угрозы ( , %) определяется пользователем, исходя из актуальности угроз безопасности информации.
Значение уровня
угрозы по определённой уязвимости (
)
определяется:
(1)
где - вероятность реализации угрозы через уязвимость, %;
- критичность реализации угрозы, %;
- номер уязвимости.
Уровни угрозы по
соответствующим уязвимостям (
)
в совокупности вычисляются по формуле:
(2)
где - уровень угрозы по определённой уязвимости;
- номер угрозы;
- номер уязвимости.
Общий уровень
угрозы по ресурсу (
)
определяется:
(3)
где - уровень угрозы по всем уязвимостям;
- номер угрозы.
Риск по ресурсу
(
,
руб.) определяется по формуле:
(4)
где – общий уровень угрозы по ресурсу;
D – критичность ресурса, руб.
Общий риск по всем
ресурсам (
,
руб.) при возникновении угроз составляет:
(5)
где - риск по ресурсу , руб.;
- номер ресурса.
4.3.2 Информационное обеспечение
Создать базу данных, для хранения угроз безопасности данных. Концептуальная модель данных на приведена на рисунке 1.
Рисунок 1 – Модель данных
Описание таблиц приведено в таблице 1.
Таблица 1 – Описание таблиц
Имя таблицы |
Определение |
Вид деструктивного воздействия |
Для отображения видов деструктивного воздействия |
Вид нарушения |
Для отображения видов нарушений |
Вид объекта воздействия |
Для отображения видов объектов воздействия |
Вид фактора возникновения |
Для отображения видов факторов возникновения угроз |
Способ реализации |
Для отображения способов реализации угроз |
Угрозы безопасности данных |
Для отображения угроз безопасности информации |
Физическая модель данных должна хранить данные из нормативно-методических документов:
ГОСТ Р 51275—99 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения».
РД «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных».