Организация предпринимательской деятельности - 199 стр.

UptoLike

ВУЗ: 

РЭУ им. Плеханова | Омск

Составители: 

Рубрика: 

199
При формировании модели нарушителя и оценке риска от действий персонала
необходимо дифференцировать всех сотрудников по возможности доступа к системе и,
следовательно, по потенциальному ущербу от каждой категории пользователей. Например,
оператор или программист автоматизированной банковской системы может нанести
несравненно больший ущерб, чем обычный пользователь, тем более непрофессионал.
При формировании модели нарушителя
следует уделять особое внимание личности
нарушителя. Это поможет разобраться в побудительных мотивах и принять
соответствующие меры для уменьшения вероятности совершения нарушений.
По технической оснащенности и используемым методам и средствам нарушители
подразделяются:
- на применяющих пассивные средства (средства перехвата без модификации
компонентов системы);
- на использующих только штатные средства и недостатки системы
защиты для ее
преодоления (несанкционированные действия с использованием разрешенных средств);
- на применяющих методы и средства активного воздействия (модификация и
подключение дополнительных технических средств, подключение к каналам передачи
данных, внедрение программных закладок и использование специальных инструментальных
и технологических программ).
Приведенная классификация предусматривает постоянное обновление информации о
характеристиках технических и программных средств
ведения разведки и обеспечения
доступа к информации. Незаконные действия нарушитель может осуществлять в разное
время (в процессе функционирования, во время работы компонентов системы, во время
плановых перерывов в работе, в нерабочее время, в перерывы для обслуживания и ремонта и
т. п.); с разных мест (из-за пределов контролируемой зоны; внутри контролируемой
зоны, но
без доступа в выделенные для размещения компонентов помещения; внутри выделенных
помещений, но без доступа к техническим средствам; с доступом к техническим средствам и
с рабочих мест конечных пользователей; с доступом в зону данных, архивов и т. п.; с
доступом в зону управления средствами обеспечения безопасности).
Учет места и
времени действий злоумышленника также позволит конкретизировать
его возможности и учесть их для повышения качества системы защиты информации.
Определение значений возможных потерь (возможного ущерба) должно быть
количественно. Для оценки потерь могут быть использованы как точные методы
современной математики, так и методы экспертных оценок, которые весьма широко
используются при решении подобных задач.
Оценивая
тяжесть ущерба, необходимо иметь в виду: непосредственные расходы на
замену оборудования, анализ и исследование причин и величины ущерба, восстановление
информации и функций АС по ее обработке; косвенные потери, связанные со снижением
банковского доверия, потерей клиентуры, подрывом репутации, ослаблением позиций на
рынке.
Естественно, информационные потери требуют расходов на их восстановление, что
приводит к временным задержкам, вызывающим соответствующие претензии пользователей,
потерю интересов, а иногда и финансовые санкции.
Для оценки потерь необходимо описать сценарий действий трех сторон: нарушителя –
по использованию добытой информации, службы информационной безопасности – по
предотвращению последствий и восстановлению нормального функционирования системы и
третьей стороны.
Оценив потери по каждой из вероятных угроз, необходимо
определить стратегию
управления рисками. При этом возможно несколько подходов:
- уменьшение риска (многие риски могут быть существенно уменьшены путем
использования весьма простых и дешевых контрмер);

Страницы