Модель угроз (1209874), страница 7
Текст из файла (страница 7)
Степень негативных последствий от нарушения конфиденциальности, целостности или доступности информации определяется для каждого вида ущерба, зависит от целей и задач, решаемых информационной системой, и может иметь разные значения для разных обладателей информации и операторов. В качестве единой шкалы измерения степени негативных последствий принимаются значения «незначительные», «умеренные» и «существенные» негативные последствия, в свою очередь степень ущерба определяется как «высокая», «средняя» или «низкая» в зависимости от показателей степени негативных последствий.
Результат определения степени возможного ущерба от реализации угроз безопасности информации в Учебной ИСОП представлены в таблице 7.1.2.1.
Таблица 7.1.2.1 – Степень возможного ущерба от реализации угроз безопасности информации в Учебной ИСОП
| Идентификатор угрозы | Название угрозы | Общедоступная информация | Итоговая степень ущерба |
| УБИ.014 | Угроза длительного удержания вычислительных ресурсов пользователями | Низкая | Низкая |
| УБИ.015 | Угроза доступа к защищаемым файлам с использованием обходного пути | Низкая | Низкая |
| УБИ.022 | Угроза избыточного выделения оперативной памяти | Низкая | Низкая |
| УБИ.023 | Угроза изменения компонентов системы | Низкая | Низкая |
| УБИ.049 | Угроза нарушения целостности данных кеша | Низкая | Низкая |
| УБИ.074 | Угроза несанкционированного доступа к аутентификационной информации | Низкая | Низкая |
| УБИ.086 | Угроза несанкционированного изменения аутентификационной информации | Низкая | Низкая |
| УБИ.089 | Угроза несанкционированного редактирования реестра | Низкая | Низкая |
| УБИ.090 | Угроза несанкционированного создания учётной записи пользователя | Низкая | Низкая |
| УБИ.091 | Угроза несанкционированного удаления защищаемой информации | Низкая | Низкая |
| УБИ.093 | Угроза несанкционированного управления буфером | Низкая | Низкая |
| УБИ.100 | Угроза обхода некорректно настроенных механизмов аутентификации | Низкая | Низкая |
| УБИ.113 | Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники | Низкая | Низкая |
| УБИ.121 | Угроза повреждения системного реестра | Низкая | Низкая |
| УБИ.124 | Угроза подделки записей журнала регистрации событий | Низкая | Низкая |
| УБИ.152 | Угроза удаления аутентификационной информации | Низкая | Низкая |
| УБИ.155 | Угроза утраты вычислительных ресурсов | Низкая | Низкая |
| УБИ.158 | Угроза форматирования носителей информации | Низкая | Низкая |
| УБИ.170 | Угроза неправомерного шифрования информации | Низкая | Низкая |
| УБИ.178 | Угроза несанкционированного использования системных и сетевых утилит | Низкая | Низкая |
| УБИ.185 | Угроза несанкционированного изменения параметров настройки средств защиты информации | Низкая | Низкая |
| УБИ.191 | Угроза внедрения вредоносного кода в дистрибутив программного обеспечения | Низкая | Низкая |
| УБИ.192 | Угроза использования уязвимых версий программного обеспечения | Низкая | Низкая |
| УБИ.027 | Угроза искажения вводимой и выводимой на периферийные устройства информации | Низкая | Низкая |
| УБИ.017 | Угроза доступа/перехвата/изменения HTTP cookies | Низкая | Низкая |
| УБИ.012 | Угроза деструктивного изменения конфигурации/среды окружения программ | Низкая | Низкая |
| УБИ.030 | Угроза использования информации идентификации/аутентификации, заданной по умолчанию | Низкая | Низкая |
| УБИ.031 | Угроза использования механизмов авторизации для повышения привилегий | Низкая | Низкая |
| УБИ.167 | Угроза заражения компьютера при посещении неблагонадёжных сайтов | Низкая | Низкая |
| УБИ.171 | Угроза скрытного включения вычислительного устройства в состав бот-сети | Низкая | Низкая |
| УБИ.028 | Угроза использования альтернативных путей доступа к ресурсам | Низкая | Низкая |
-
Актуальность угроз безопасности информации, реализуемых за счет НСД к информации, обрабатываемой в Учебной ИСОП
Решение об актуальности угрозы безопасности информации относительно информационной системы с заданными структурно-функциональными характеристиками и условиями функционирования принимается в соответствии с таблицей 7.1.3.1.
Таблица 7.1.3.1. – Определение актуальности угроз безопасности информации.
| Вероятность реализации угрозы (Yj) | Степень возможного ущерба (Хj) | ||
| Низкая | Средняя | Высокая | |
| Низкая | неактуальная | неактуальная | актуальная |
| Средняя | неактуальная | актуальная | актуальная |
| Высокая | актуальная | актуальная | актуальная |
Результат определения актуальности угроз безопасности информации для Учебная ИСОП представлена в таблице 7.1.3.2.
Таблица 7.1.3.2 – Актуальность угроз безопасности информации для Учебной ИСОП
| № п/п | Идентификатор угрозы | Название угрозы | Актуальность |
| 2 | УБИ.014 | Угроза длительного удержания вычислительных ресурсов пользователями | Актуальная |
| 3 | УБИ.015 | Угроза доступа к защищаемым файлам с использованием обходного пути | Актуальная |
| 4 | УБИ.022 | Угроза избыточного выделения оперативной памяти | Актуальная |
| 5 | УБИ.023 | Угроза изменения компонентов системы | Актуальная |
| 6 | УБИ.049 | Угроза нарушения целостности данных кеша | Актуальная |
| 9 | УБИ.074 | Угроза несанкционированного доступа к аутентификационной информации | Актуальная |
| 10 | УБИ.086 | Угроза несанкционированного изменения аутентификационной информации | Актуальная |
| 11 | УБИ.089 | Угроза несанкционированного редактирования реестра | Актуальная |
| 12 | УБИ.090 | Угроза несанкционированного создания учётной записи пользователя | Актуальная |
| 13 | УБИ.091 | Угроза несанкционированного удаления защищаемой информации | Актуальная |
| 14 | УБИ.093 | Угроза несанкционированного управления буфером | Актуальная |
| 15 | УБИ.100 | Угроза обхода некорректно настроенных механизмов аутентификации | Актуальная |
| 16 | УБИ.113 | Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники | Актуальная |
| 17 | УБИ.121 | Угроза повреждения системного реестра | Актуальная |
| 19 | УБИ.124 | Угроза подделки записей журнала регистрации событий | Актуальная |
| 20 | УБИ.152 | Угроза удаления аутентификационной информации | Актуальная |
| 21 | УБИ.155 | Угроза утраты вычислительных ресурсов | Актуальная |
| 22 | УБИ.158 | Угроза форматирования носителей информации | Актуальная |
| 23 | УБИ.170 | Угроза неправомерного шифрования информации | Актуальная |
| 24 | УБИ.178 | Угроза несанкционированного использования системных и сетевых утилит | Актуальная |
| 25 | УБИ.185 | Угроза несанкционированного изменения параметров настройки средств защиты информации | Актуальная |
| 26 | УБИ.191 | Угроза внедрения вредоносного кода в дистрибутив программного обеспечения | Актуальная |
| 27 | УБИ.192 | Угроза использования уязвимых версий программного обеспечения | Актуальная |
| 28 | УБИ.027 | Угроза искажения вводимой и выводимой на периферийные устройства информации | Актуальная |
| 29 | УБИ.017 | Угроза доступа/перехвата/изменения HTTP cookies | Актуальная |
| 30 | УБИ.012 | Угроза деструктивного изменения конфигурации/среды окружения программ | Актуальная |
| 31 | УБИ.030 | Угроза использования информации идентификации/аутентификации, заданной по умолчанию | Актуальная |
| 32 | УБИ.031 | Угроза использования механизмов авторизации для повышения привилегий | Актуальная |
| 33 | УБИ.167 | Угроза заражения компьютера при посещении неблагонадёжных сайтов | Актуальная |
| 34 | УБИ.171 | Угроза скрытного включения вычислительного устройства в состав бот-сети | Актуальная |
| 35 | УБИ.028 | Угроза использования альтернативных путей доступа к ресурсам | Актуальная |
-
Определение актуальных угроз безопасности информации в случае принятия решения об использовании в информационной системе СКЗИ для обеспечения безопасности конфиденциальной информации
-
Определение актуальности использования СКЗИ для обеспечения безопасности информации
-
В соответствие с Методическими рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, утверждеными руководством 8 Центра ФСБ России 31 марта 2015 г № 149/7/2/6-432 и Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положением ПКЗ-2005), утвержденным приказом ФСБ России № 66 от 9 февраля 2005 г. использование СКЗИ для обеспечения безопасности информации необходимо в следующих случаях:
-
если информация подлежит криптографической защите в соответствии с законодательством Российской Федерации;
-
если в информационной системе существуют угрозы, которые могут быть нейтрализованы только с помощью СКЗИ.
К случаям, когда угрозы могут быть нейтрализованы только с помощью СКЗИ, относятся:
-
передача информации по каналам связи, не защищенным от перехвата нарушителем передаваемой по ним информации или от несанкционированных воздействий на эту информацию (например, при передаче информации по информационно-телекоммуникационным сетям общего пользования);
-
хранение информации на носителях информации, несанкционированный доступ к которым со стороны нарушителя не может быть исключен с помощью некриптографических методов и способов.
Таким образом, в таблице 7.1.1 приведены результаты определения актуальности использования СКЗИ в Учебной ИСОП.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
