енні до каналів передачі інформації;
· за рахунок порушення встановлених правил доступу (злом).
II. Загрози, реалізовані за допомогою різних технічних засобів, використовуваних в організації:
· неперевірені технічні засоби обробки інформації (вони можуть містити закладки);
· неліцензійні програмні засоби обробки інформації (можуть містити діри, через які можливий доступ до інформації, що захищається);
· допоміжні засоби (засоби охорони, сигналізації);
· засоби зв'язку;
· мереж комунікації (енергопостачання, каналізації, водопостачання).
Види загроз:
. Знищення або модифікація (підміна)
· ПЗ, ОС, СУБД;
· конфіденційної інформації;
· інформації при передачі по каналах зв'язку і телекомунікацій.
2. Порушення нормальної працездатності
· порушення працездатності системи обробки інформації;
· порушення працездатності зв'язку та телекомунікацій;
· порушення працездатності програмних засобів обробки інформації;
III. Загрози, які не піддаються прогнозуванню і тому заходи захисту повинні застосовуватися завжди.
Потенційну загрозу складають наступні стихійні джерела:
· пожежі;
· повені;
· інші стихійні лиха.
Наслідками загроз є зникнення або знищення:
· технічних засобів обробки інформації;
· носіїв інформації;
· інформації при передачі по телекомунікаційних каналах;
· ПЗ, ОС, СУБД.
Під витоком інформації будемо розуміти безконтрольний вихід конфіденційної інформації за межі організації або кола осіб, яким вона була довірена.
Канал витоку - шлях від джерела конфіденційної інформації до зловмисника, за допомогою якого останній може отримати доступ до неї.
Канали витоку:
. Електромагнітні
· радіоканали
· низькочастотний канал
· мережевий (наведення)
· заземлення
· лінійні (канал зв'язку)
2. Акустичний
. Візуальний
. Інформаційний
· канал комутованих ліній зв'язку
· канал виділеної лінії зв'язку
· канал локальної мережі
· канал термінальних і периферійних пристроїв.
· канал магнітних носіїв інформації
Основні причини витоку інформації:
· недотримання персоналом норм і вимог
· помилки проектування та реалізації систем зв'язку
· ведення противником технічної та агентурної розвідки
2.4 Аналіз ризиків
Розробляється технологія захисту інформації повинна відображати уразливості організації до різних типів інцидентів з безпекою і робити пріоритетними інвестиції в області найбільшої вразливості.
Наявність загрози необов'язково означає, що вона завдасть шкоди. Щоб стати ризиком, загроза повинна використовувати вразливе місце в засобах забезпечення безпеки системи.
Є два чинники, що визначають величину уразливості.
Перший фактор - можливий збиток - наслідки порушення безпеки того чи іншого елемента інформації. Усунення наслідків порушення безпеки може зажадати значних фінансових вкладень, навіть якщо постраждали не критичні сервіси. Тим не менш, засоби переносу ризику (страхування або пункти в договорах) можуть гарантувати, що навіть фінансові втрати не приведуть до кризи організації. Необхідно також враховувати політичні чи організаційні наслідки реалізації загроз безпеці.
Другий фактор - ймовірність атаки чи реальність виникнення загрози - пов'язаний з частотою реалізації тієї чи іншої загрози і визначається на підставі досвіду атак на ЛВС організації, а також аналізу слабких місць технічної та організаційної захисту.
Для розробки ефективної і недорогий системи захисту нижче виконаний аналіз ризиків, який визначить необхідні витрати на засоби забезпечення безпеки для виконання вимог політики безпеки.
Розрахунок ризику відбувається за такою схемою:
