Курсовая работа: Анализ угроз и разработка предложений по обеспечению информационной безопасности Российской Федерации в правоохранительной и судебной сферах
Курсовая работа: Анализ угроз и разработка предложений по обеспечению информационной безопасности Российской Федерации в правоохранительной и судебной сферах
Федеральное агентство по образованию РФ
Государственное
образовательное учреждение высшего профессионального образования
ПЕНЗЕНСКИЙ
ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ
Кафедра
«Информационная безопасность систем и технологий»
ОТЧЕТ
О курсовой работЕ
АНАЛИЗ УГРОЗ И РАЗРАБОТКА ПРЕДЛОЖЕНИЙ ПО ОБЕСПЕЧЕНИЮ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ РОССИЙСКОЙ ФЕДЕРАЦИИ В ПРАВООХРАНИТЕЛЬНОЙ И СУДЕБНОЙ
СФЕРАХ
Руководитель КР
Исполнитель ПЗ
Нормоконтролер
ПЕНЗА,
2006
РЕФЕРАТ
Пояснительная
записка содержит 52 с., 1 прил., 15 табл., 2 источника.
ИНФОРМАЦИОННАЯ
БЕЗОПАСНОСТЬ, СФЕРА ОБОРОНЫ РОССИЙСКОЙ ФЕДЕРАЦИИ, УГРОЗА ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ, РИСК ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ, МЕРЫ ОБСПЕЧЕНИЯ, ОЦЕНКА РИСКА
ОТ РЕАЛИЗАЦИИ УГРОЗ, РЕКОМЕНДАЦИИ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Объектом
исследования является модель обеспечения информационной безопасности в сфере
обороны Российской Федерации.
Целью
выполнения данной работы является оценка состояния систем защиты информации в
данной сфере, анализ угроз информационной безопасности, проведение оценки
рисков от реализации возможных угроз и выработка рекомендаций по обеспечению
информационной безопасности в сфере обороны.
В результате
проделанной работы необходимо выявить и идентифицировать все элементы модели
угроз, описанной в ГОСТ Р ИСО/МЭК 15408, и предложить модель обеспечения
информационной безопасности в сфере обороны.
СОДЕРЖАНИЕ
Реферат............................................................................................................ 2
Задание на курсовое проектирование............................................................ 4
Нормативные ссылки...................................................................................... 6
Термины и определения.................................................................................. 7
Обозначения и сокращения............................................................................ 9
Введение......................................................................................................... 10
1. Идентификация угроз, источников угроз объектов
обеспечения и мер обеспечения информационной безопасности Российской Федерации............................. 11
2. Определение отношений элементов модели
информационной безопасности Российской Федерации...................................................................................................... 15
3. Оценка рисков реализации угроз информационной
безопасности Российской Федерации...................................................................................................... 22
4. Разработка полного описания угроз на основе
модели ГОСТ Р ИСО/МЭК 15408 36
Заключение.................................................................................................... 48
Список использованных источников............................................................ 49
Приложение А............................................................................................... 50
УТВЕРЖДАЮ
Заведующий
кафедрой ИБСТ доцент,
. "___"_____________________2006
г.
ЗАДАНИЕ
на
курсовую работу
по теме Особенности обеспечения
информационной безопасности Российской Федерации в различных сферах
общественной жизни
1
Дисциплина — Основы информационной безопасности
2 Вариант
задания — сфера обороны
3 Студент . группа
4 Исходные
данные на курсовой проект:
– должны
быть идентифицированы угрозы, источники угроз, уязвимости, нападения, объекты
обеспечения ИБ и меры по обеспечению для сферы обороны РФ на основании Доктрины
информационной безопасности (ИБ) РФ;
– должны
быть построены матрица отношений «источники угроз» - «угрозы»; «угрозы» -
«нападения»; «нападения» - «уязвимости»; «уязвимости» - «объекты защиты»; «меры
обеспечения ИБ» - «угрозы»;
– должны быть заполнены матрица
сочетаний вероятностей реализации угроз и возможного ущерба и таблица оценки
рисков;
–
должно быть разработаны полные описания угроз по модели ГОСТ Р ИСО/МЭК 15408;
– должен
быть разработан граф модели ИБ РФ в заданной сфере общественной жизни.
5 Структура проекта
5.1 Содержание работы:
– анализ и
структурирование угроз, объектов обеспечения и основных направлений обеспечения
информационной безопасности в сфере обороны;
–
разработка методики оценки риска реализации угроз ИБ РФ;
–
разработка описаний угроз и графа модели ИБ РФ в сфере обороны.
5.2 Графическая
часть
граф
модели обеспечения ИБ РФ в сфере обороны.
6 Календарный
план выполнения проекта
6.1 Срок
выполнения по разделам:
утверждение
ТЗ 10.03.06
г.;
разработка
матрицы отношений 31.03.06 г.;
оценка
рисков, разработка описаний угроз и графа 21.04.06 г.;
оформление
и проверка пояснительной записки 12.05.06 г.;
защита
курсовой работы
26.05.06 г.
Дата
защиты проекта " " мая 2006 г.
Руководитель
проекта В. М. Алексеев
Задание
получил " " февраля 2006 г
Студент .
Нормоконтролер
НОРМАТИВНЫЕ ССЫЛКИ
В настоящем
пояснительной записке использованы ссылки на следующие стандарты:
ГОСТ Р
ИСО/МЭК 15408 – 2002 Критерии оценки безопасности информационных технологий.
ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
В настоящем
пояснительной записке применяют следующие термины с соответствующими
определениями:
информационная
безопасность Российской Федерации - состояние
защищенности ее национальных интересов в информационной сфере, определяющихся
совокупностью сбалансированных интересов личности, общества и государства
(Доктрина информационной безопасности Российской Федерации).
информационная
сфера - совокупность информации, информационной
инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и
использование информации, а также системы регулирования возникающих при этом
общественных отношений (Доктрина информационной безопасности Российской
Федерации).
угроза - это потенциальная возможность
нанесения ущерба.
защита
информации -
деятельность, направленная на предотвращение утечки защищаемой информации,
несанкционированных и непреднамеренных воздействий на защищаемую информацию (ГОСТ Р 50-922).
ущерб: Нанесение физического повреждения
или другого вреда здоровью людей, или вреда имуществу, или окружающей среде
(ГОСТ Р 51-898).
риск - сочетание вероятности нанесения
ущерба и тяжести этого ущерба (ГОСТ Р 51-898).
несанкционированный
доступ к информации - получение защищаемой
информации заинтересованным субъектом с нарушением правовых документов или
собственником владельцем информационных прав или правил доступа к защищаемой
информации (ГОСТ Р 51-898).
целостность информации - свойство
информации и АС сохранять неизменность или обнаруживать факт изменения
информации с обеспечением неотказуемости источника информации и неотказуемости
получателя информации.
безопасность - отсутствие недопустимого риска
(ГОСТ Р 51-898).
ОБОЗНАЧЕНИЯ И
СОКРАЩЕНИЯ
|
РФ
|
– |
Российская Федерация |
|
ИБ
|
– |
информационная безопасность |
|
ВС РФ
|
– |
Вооруженные силы Российской Федерации |
|
АС
|
– |
автоматизированная система; |
|
ИС
|
– |
Информационная система |
|
ИТКС
|
– |
Информационно-телекоммуникационная система |
ВВЕДЕНИЕ
В настоящее
время человек живет в информационном обществе и активно участвует в
информационных процессах. Вся жизнь человеческого общества зависит от
информации. И нет ничего удивительного, что на безопасность информации может
кто-то покушаться. Таким образом, перед обществом встает задача обеспечения
информационной безопасности.
Органом,
занимающимся безопасностью государства в целом в Российской Федерации является
Совет безопасности РФ. В него входит Межведомственная комиссия по
информационной безопасности. В её штат входят специалисты по информационной
безопасности, аналитики, занимающиеся разработкой теоретических и практических
рекомендаций, соблюдение которых поможет обеспечить информационную безопасность
жизнедеятельности государства.
Обеспечение
информационной безопасности в различных сферах жизнедеятельности общества имеет
свои особенности , связанные со спецификой объектов обеспечения. «Доктрина
информационной безопасности РФ» - основной нормативный документ, содержащий
рекомендации по обеспечению ИБ РФ. В нем описаны угрозы и объекты обеспечения
ИБ во всех выделенных сферах и общие положения по обеспечению ИБ.
Выполнение курсовой
работы, вызвано необходимостью пересмотра, корректировки и дополнения
существующих данных, приведённых в «Доктрине информационной безопасности
Российской Федерации».
1.
ИДЕНТИФИКАЦИЯ УГРОЗ, ИСТОЧНИКОВ УГРОЗ, ОБЪЕКТОВ ОБЕСПЕЧЕНИЯ И МЕР ОБЕСПЕЧЕНИЯ
ИБ РОССИЙСКОЙ ФЕДЕРАЦИИ В СФЕРЕ ОБОРОНЫ
Информационная
безопасность РФ, являясь одной из составляющих национальной безопасности в
целом, стала одной из важнейших задач государства в свете все более и более
возрастающей роли информации в обществе. Также, несомненно, информационная
безопасность страны оказывает существенное влияние на степень защищенности
национальных интересов России на мировой арене и в различных сферах
общественной жизни самой страны.
Обеспечение
информационной безопасности в различных сферах общественной жизни имеет свои
особенности, связанные с особенностями объектов обеспечения. В каждой сфере для
обеспечения информационной безопасности используются различные методы е
обеспечения, в большей или меньшей степени эффективные. Перед специалистами по
обеспечению ИБ стоит задача оценить эффективность методов защиты, разработать
ряд рекомендаций по улучшению защитных мер. Таким образом проводится анализ
угроз и оценка риска ИБ РФ в отдельно взятой сфере общественной жизни.
Процесс
анализа начинается с определения основных угроз, их источников, объектов и
методов обеспечения ИБ. На основе текста «Доктрины…» в сфере обороны выделены
следующие угрозы ИБ (Таблица 1) и их источники (Таблица 2).
Таблица 1
Перечень угроз ИБ
| № угрозы |
Угроза |
| 1 |
все виды разведывательной
деятельности зарубежных государств |
| 2 |
информационно-технические
воздействия (в том числе радиоэлектронная борьба, проникновение в
компьютерные сети) со стороны вероятных противников |
| 3 |
диверсионно-подрывная
деятельность специальных служб иностранных государств, осуществляемая
методами информационно-психологического воздействия |
| 4 |
деятельность иностранных
политических, экономических и военных структур, направленная против
интересов Российской Федерации в сфере обороны |
| 5 |
нарушение установленного
регламента сбора, обработки, хранения и передачи информации, находящейся в
штабах и учреждениях Министерства обороны Российской Федерации, на
предприятиях оборонного комплекса |
| 6 |
преднамеренные действия, а также
ошибки персонала информационных и телекоммуникационных систем специального
назначения |
| 7 |
ненадежное функционирование
информационных и телекоммуникационных систем специального назначения |
| 8 |
возможная
информационно-пропагандистская деятельность, подрывающая престиж
Вооруженных Сил Российской Федерации и их боеготовность |
| 9 |
нерешенность вопросов защиты
интеллектуальной собственности предприятий оборонного комплекса, приводящая
к утечке за рубеж ценнейших государственных информационных ресурсов |
|
Таблица 2
Перечень источников угроз ИБ
| № источника |
Источник угроз |
| 1 |
Специальные службы иностранных государств |
| 2 |
Некоторые террористические и радикально настроенные
организации или политические структуры |
| 3 |
Персонал информационных и телекоммуникационных
систем спец назначения |
| 4 |
Информационные и телекоммуникационные системы спец
назначения |
| 5 |
Некоторые средства массовой информации и
общественные организации, осуществляющие отрицательную пропаганду ВС РФ |
На основе
идентифицированных угроз и их источников были составлены таблицы нападений,
возможных в данной сфере, и уязвимостей, которыми эти нападения могут воспользоваться.
Они приведены в таблицах 3 и 4
Таблица 3
Перечень нападений
| № нападения |
Нападение |
| 1 |
Несанкционированный доступ к информационным
ресурсам, нарушение конфиденциальности и целостности |
| 2 |
Пропаганда отрицательного отношения к процессу
постоянного планового вооружения и Вооруженным Силам РФ вообще и попытка
принудительного отказа от вооружения |
| 3 |
Появление большого числа террористических и
радикальных организаций |
| 4 |
Некорректная работа с конфиденциальной информацией
информационных баз специального назначения и компонентами системы |
Таблица 4
Перечень уязвимостей
| № уязвимости |
Уязвимость объекта обеспечения |
| 1 |
Возможность несанкционированного доступа к
информационным ресурсам систем специального назначения |
| 2 |
Возможность психологического воздействия на
общественность, формирования определенного мнения о ВС РФ |
| 3 |
Отказ, выход из строя информационных и
телекоммуникационных систем специального назначения |
| 4 |
Недостаточное финансирование |
| 5 |
Отставание отечественного оборонного комплекса,
низкий уровень развития средств повышения защищенности систем специального
назначения |
Прежде всего
уязвимости присущи каким-либо объектам обеспечения ИБ. Объекты обеспечения в
сфере обороны уже выделены в «Доктрине…» и приведены в таблице 5.
Таблица 5
Перечень объектов обеспечения ИБ
| № объекта |
Объект |
| 1 |
информационная инфраструктура центральных органов
военного управления и органов военного управления видов Вооруженных Сил
Российской Федерации и родов войск, объединений, соединений, воинских частей
и организаций, входящих в Вооруженные Силы Российской Федерации,
научно-исследовательских учреждений Министерства обороны Российской Федерации |
| 2 |
информационные ресурсы предприятий оборонного
комплекса и научно-исследовательских учреждений, выполняющих государственные
оборонные заказы либо занимающихся оборонной проблематикой |
| 3 |
программно-технические средства автоматизированных и
автоматических систем управления войсками и оружием, вооружения и военной
техники, оснащенных средствами информатизации |
| 4 |
информационные ресурсы, системы связи и
информационная инфраструктура других войск, воинских формирований и органов |
Таким же
образом в «Доктрине…» выделены меры обеспечения информационной безопасности РФ
в сфере обороны. Насколько они эффективны и на какие угрозы направлены, мы рассмотрим
позднее. Перечень мер обеспечения ИБ приведены в таблице 6.
Таблица 6
Перечень мер обеспечения ИБ
| № меры |
Мера обеспечения ИБ в сфере обороны |
| 1 |
систематическое выявление угроз и их источников,
структуризация целей обеспечения информационной безопасности в сфере обороны
и определение соответствующих практических задач |
| 2 |
проведение сертификации общего и специального
программного обеспечения, пакетов прикладных программ и средств защиты
информации в существующих и создаваемых автоматизированных системах
управления военного назначения и системах связи, имеющих в своем составе
элементы вычислительной техники |
| 3 |
постоянное совершенствование средств защиты
информации от несанкционированного доступа, развитие защищенных систем связи
и управления войсками и оружием, повышение надежности специального
программного обеспечения |
| 4 |
совершенствование структуры функциональных органов
системы обеспечения информационной безопасности в сфере обороны и координация
их взаимодействия |
| 5 |
совершенствование приемов и способов стратегической
и оперативной маскировки, разведки и радиоэлектронной борьбы, методов и
средств активного противодействия информационно-пропагандистским и
психологическим операциям вероятного противника |
| 6 |
подготовка специалистов в области обеспечения
информационной безопасности в сфере обороны |
Таким
образом, на первом этапе выполнения анализа угроз нами были идентифицированы
все элементы множеств угроз, источников, объектов и мер обеспечения ИБ РФ в
сфере обороны.
2.
ОПРЕДЕЛЕНИЕ ОТНОШЕНИЯ ЭЛЕМЕНТОВ МОДЕЛИ ИБ РФ В СФЕРЕ ОБОРОНЫ
В
"Доктрине" не определяются отношения между различными элементами,
хотя именно взаимодействие различных факторов, влияющих на безопасность, имеет
существенное значение для оценки их конечной значимости и, соответственно, для
определения наиболее целесообразных и эффективных мер и средств повышения
уровня безопасности.
Поэтому на
данном этапе работы необходимо экспертным методом установить отношения между
следующими видами элементов:
«источники
угроз» - «угрозы», т.е. установить какой источник какие угрозы порождает;
«угрозы» -
«нападения», т.е. установить какая угроза через какие нападения реализуется;
«нападения» -
«уязвимости», т.е. установить какое нападение какие уязвимости использует;
«уязвимости»
- «объекты защиты», т.е. установить какая уязвимость какому объекту защиты
принадлежит;
«меры
обеспечения ИБ» - «угрозы», т.е. установить какая защитная мера какой угрозе
противостоит.
Результаты
такого анализа представлены в матричной форме на основе предположения, что
между элементами множества можно установить некое бинарное отношение «является
причиной». В таблице 7 приведена матрица отношений «источники угроз – угрозы».
«1» соответствует предположение, что данный источник порождает данную угрозы
«0» - отсутствие отношений между этими элементами множеств. Порядковые номера
элементов приведены выше в таблицах 1 и 2.
Таблица 7
Матрица отношений «источники угроз»-«угрозы»
|
|
|
Угрозы |
|
|
|
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
9 |
| Источники угроз |
1 |
1 |
1 |
1 |
0 |
0 |
0 |
0 |
0 |
0 |
| 2 |
0 |
0 |
0 |
1 |
0 |
0 |
0 |
0 |
1 |
| 3 |
0 |
0 |
0 |
0 |
1 |
1 |
1 |
0 |
0 |
| 4 |
0 |
0 |
0 |
0 |
0 |
0 |
1 |
0 |
0 |
| 5 |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
1 |
0 |
На данном
этапе необходимо пояснить, каким образом осуществляется анализ определения
отношений между элементами данных множеств. Источник угроз 1 – специальные
службы иностранных государств – независимо от отношений с РФ имеют прямую
заинтересованность как в получении конфиденциальной информации о разработках
оборонного комплекса РФ, так и в воздействии на неё, приводящем к затруднению
деятельности по дальнейшим разработкам и исследованиям в данной сфере. Таким
образом, источник 1 имеет отношения с первыми тремя угрозами, соответственно,
разведывательной деятельностью иностранных спецслужб, информационно
техническими и информационно-психологическими воздействиями со стороны
вероятных (возможно неявных) противников. Источник угроз 2 – некоторое
террористические и радикально настроенные политические и общественные
организации – несомненно осуществляют некоторую деятельность по отношению к РФ,
возможно через какие-либо иностранные политические и военные структуры – угроза
2. Также общественные политические организации, возможно, непреднамеренно
игнорируют решение вопросов защиты интеллектуальной собственности, что приводит
к утечке разработок и ценных информационных ресурсов за рубеж, что порождает
угрозу 9. Источник угроз 3 порождает угрозы 5, 6 и 7 потому, что персонал и
пользователи информационных и телекоммуникационных систем специального
назначения, взаимодействуя с ними, случайно или преднамеренно нарушают
установленные порядок сбора, обработки, хранения и передачи информации,
вызывают отказы и сбои систем. Вообще говоря, ошибки пользователей и персонала
в 80% случаев являются причинами нарушения таких свойств информации как
целостность, доступность и, иногда, конфиденциальность. Источником угроз также являются
и сами ИТКС специального назначения. Их сбои и отказы могут быть вызваны и их
недостаточной надежностью и просто какими-то субъективными факторами. Поэтому
источник угроз 4 связан с угрозой 7.
И наконец,
источник угроз 5 порождает угрозы 8 и 9. Некоторые средства массовой информации
и общественные организации внутри страны осуществляют пропагандистскую
деятельность, понижающую авторитет ВС РФ.
В таблице 8
приведена матрица отношений угроз и нападений. Для удобства расположения
матрица переориентирована. Номера элементов множеств взяты из таблиц 1 и 3
Таблица 8
Матрица отношений «угрозы»–«нападения»
|
|
|
Угрозы |
|
|
|
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
9 |
| Нападения |
1 |
1 |
1 |
0 |
0 |
0 |
1 |
0 |
0 |
0 |
| 2 |
0 |
0 |
1 |
1 |
0 |
0 |
0 |
1 |
1 |
| 3 |
0 |
1 |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
| 4 |
0 |
0 |
0 |
0 |
1 |
1 |
1 |
0 |
0 |
Рассмотрим
данную матрицу. Через нападение 1 – несанкционированный доступ к информационным
ресурсам и нарушение их целостности – реализуются угрозы 1, 2 и 6. Угроза
разведывательной деятельности со стороны иностранных спецслужб реализуется в
несанкционированный доступ, который может осуществляться как удаленным
противником, находящимся вне контролируемой зоны, так и непосредственно
противником, находящимся в контролируемой зоне, например, агентом или с помощью
закладок. Также вполне возможно уничтожение части информации или всей информации
методом информационно-технических воздействий. Также преднамеренные действия
персонала, целью которых может быть либо самоутверждение, либо злой умысел,
могут привести к несанкционированному доступу и нарушению целостности.
Нападение 2 имеет отношение с угрозами 3,4,8 и 9. Это можно обосновать
следующим образом: совершенно очевидно, что диверсионно-подрывная деятельность
иностранных государств и деятельность иностранных политических и военных
структур направлена на принудительный отказ от вооружения и понижение
авторитета ВС РФ на мировой арене. Угроза возможной пропагандистской
деятельности, понижающей престиж ВС РФ и нерешенность вопросов защиты
интеллектуальной собственности, приводящая к утечке информационных ресурсов за
рубеж реализуется через пропаганду отрицательного отношения к процессу
постоянного вооружения, что подрывает боеготовность ВС РФ.
Через
нападение 3 – появление большого числа террористических и радикальных
организаций – реализуется угроза информационно-технических воздействий, осуществляемых
различными методами и с различными целями. Нападение 4 имеет отношение с
угрозами 5, 6 и 7 потому, что все эти угрозы связанны с некорректной работой с
информационными ресурсами специальных ИТКС или их компонентами. Случайные или
преднамеренные действия, нарушение установленного регламента взаимодействия с
информацией и, как итог, ненадежное функционирование компонентов системы
реализуется через это нападение.
В таблице 9
приведена матрица отношений «нападения»–«уязвимости», иллюстрирующая результаты
анализа, какое нападение, какую уязвимость использует. Номера элементов
множества взяты из таблиц 3 и 4.
Таблица 9
Матрица отношений «нападения»–«уязвимости»
|
|
|
Уязвимости |
|
|
|
1 |
2 |
3 |
4 |
5 |
| Нападения |
1 |
1 |
0 |
0 |
0 |
1 |
| 2 |
0 |
1 |
0 |
1 |
0 |
| 3 |
0 |
1 |
0 |
0 |
0 |
| 4 |
1 |
0 |
1 |
0 |
1 |
Рассмотрим
теперь данную матрицу. Анализ отношения нападений и уязвимостей особенно важен,
потому как иллюстрирует отношения объекта обеспечения с враждебной средой,
показывая, какие недостатки – уязвимости, могут использовать реализации угроз.
Нападение 1 – несанкционированный доступ к информационным ресурсам специальных
ИТКС и нарушение их целостности – использует уязвимости 1 и 5. Сама возможность
несанкционированного доступа к ресурсам порождает риск несанкционированного
доступа. Также отставание отечественного оборонного комплекса и низкий уровень
развития средств повышения защищенности позволяют нарушителю или вероятному
противнику прилагать меньше усилий для осуществления несанкционированного
доступа. Нападение 2 имеет отношения с уязвимостями 2 и 4, так как пропаганда
отрицательного отношения к ВС РФ не может осуществляться безосновательно.
Возможность влияния на общественное мнение и формирования определенного
отношения является уязвимостью, которой могут воспользоваться при осуществлении
пропагандистской деятельности. Также недостаточное финансирование оборонного
комплекса страны понижает его престиж в глазах общественности и может стать
поводом для пропаганды. Уязвимостью 2 пользуется и нападение 3 – появление
большого числа террористических и радикальных организаций. Целью действия
террористических организаций является именно влияние на общественное мнение и
на общество вообще. Возможность такого влияния является «лазейкой», которой
легко воспользоваться. Нападение 4 использует уязвимости 1,3 и 5. Некорректная,
или преднамеренно неправильная работа с конфиденциальной информацией имеет
возможность осуществляться из-за возможности несанкционированного доступа или
отказов и сбоев в работе компонентов ИТКС. В некоторых случаях подобное
нападение возможно из-за низкого уровня развития защитных средств в системах.
В таблице 10
приведена матрица отношений «уязвимости»–«объекты обеспечения». Номера
элементов множеств соответствуют номерам в таблицах 4 и 5.
Таблица 10
Матрица отношений «уязвимости»–«объекты обеспечения ИБ»
|
|
|
Объект защиты |
|
|
|
1 |
2 |
3 |
4 |
| Уязвимость |
1 |
1 |
1 |
0 |
1 |
| 2 |
1 |
0 |
0 |
0 |
| 3 |
0 |
0 |
1 |
1 |
| 4 |
0 |
0 |
1 |
0 |
| 5 |
|
0 |
1 |
1 |
В данной
матрице определяется, какому объекту принадлежит какая уязвимость. Таким
образом отслеживается, какое нападение на какой объект направленно.
Объекту 1
присущи уязвимости 1 и 2. Информационная инфраструктура центральных органов
военного управления незащищена от несанкционированного доступа к е
информационным ресурсам и от влияния на общественное мнение, которое связано
напрямую с деятельностью органов управления видами и родами войск.
Информационные ресурсы предприятий оборонного комплекса и
научно-исследовательских центров имеют в качестве уязвимостей возможность
несанкционированного доступа к ним. Для объекта 3 – программно-технических
средств и автоматических средств управления войсками и вооружением
уязвимостями являются уязвимости 3,4 и 5. Отказы и сбои в работе систем
специального назначения, недостаток финансирования, и как следствие
отставание отечественного оборонного комплекса и низкий уровень развития
средств защиты приводят к увеличению риска для данного объекта обеспечения ИБ.
И наконец, для объекта 4 характерны уязвимости 1,3 и 5. для информационных
ресурсов и систем связи войск уязвимостью является возможность несанкционированного
доступа к ним, отказ и выходы из строя компонентов ИТКС и отставание
отечественного оборонного комплекса.
Таблица 11
содержит матрицу отношений «меры обеспечения ИБ»–«угрозы». Номера элементов
множеств соответствуют номерам элементов таблиц 1 и 6.
Таблица 11
Матрица отношений «меры обеспечения ИБ»–«угрозы»
|
|
|
Угрозы |
|
|
|
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
9 |
| Мера обеспечения ИБ |
1 |
1 |
1 |
1 |
1 |
1 |
1 |
1 |
1 |
1 |
| 2 |
0 |
0 |
0 |
0 |
0 |
0 |
1 |
0 |
0 |
| 3 |
1 |
1 |
0 |
0 |
0 |
1 |
0 |
0 |
0 |
| 4 |
0 |
0 |
0 |
0 |
0 |
1 |
1 |
0 |
0 |
| 5 |
1 |
1 |
1 |
0 |
0 |
0 |
0 |
1 |
0 |
| 6 |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
1 |
Мера
обеспечения 1 – систематическое выявление угроз и их источников – направлены на
выявление всех возможных опасностей в данной сфере общественной жизни.
Следовательно, она направлена на нейтрализацию всех угроз. Мера обеспечения 2
направлена только на угрозу 7. Проведение сертификации программного и
технического обеспечения направленно на проверку выполнения компонентами систем
возложенных на них задач в определенных условиях, т.е. на проверку и повышение
надежности. Мера обеспечения 3 – постоянное совершенствование средств защиты
информации от несанкционированного доступа – противостоит угрозам 1,2 и 6.
Развитие защищенных систем и повышение уровня средств защиты от
несанкционированного доступа направлены на защиту от всех видов
разведывательной деятельности и информационно-технических воздействии со
стороны вероятных противников. Также постоянное совершенствование в области
защиты от несанкционированного доступа позволяет снизить ущерб от ошибок и
преднамеренных действий персонала и пользователей. Мера обеспечения 4
направлена на нейтрализацию угроз 6 и 7. Совершенствование структуры органов
системы обеспечения информационной безопасности снижает возможность совершения
ошибок пользователей и персонала и повышает надежность ИТКС и её компонентов.
Так как совершенствование приемов и методов противодействия информационным,
диверсионным и психологическим воздействиям противника и разведке
непосредственно направлено на нейтрализацию угроз разведывательной
деятельности, информационно-пропагандистской деятельности вероятного противника
из числа иностранных государств и международных организаций и пропаганды
отрицательного отношения к ВС РФ внутри страны, мера обеспечения ИБ 5 имеет
отношение с угрозами 1,2,3 и 8. И наконец, мера обеспечения 6 – подготовка
квалифицированных специалистов в области обеспечения ИБ в сфере обороны
направлена на решение угрозы 9, связанной с утечкой ценных информационных
ресурсов за рубеж. Подготавливаемые специалисты должны восполнить пробел,
остающийся после такого рода утечки.
3. ОЦЕНКА
РИСКОВ РЕАЛИЗАЦИИ УГРОЗ В СФЕРЕ ОБОРОНЫ
После анализа
отношений между элементами множеств, выделенных в процессе идентификации, была
проведена оценка рисков. Этот процесс позволяет минимизировать затраты ресурсов
на защиту. В процессе анализа возможных и выявления актуальных для активов
организации угроз оценивался риск, возникающий вследствие потенциального
воздействия определенной угрозы.
Известно
множество различных методик анализа и оценки рисков (преимущественно
иностранных). Все они позволяют получить лишь качественную их оценку на основе
экспертных методов. Для данной курсовой работы использовалась методика,
разработанная на основе изложенной в техническом отчете ISO TR 13569 [2].
Она состоит в
следующем. Оценка риска проводится с помощью оценки возможности реализации
угроз безопасности, связанных с уязвимостями, присущими тем или иным объектам
защиты. На основе анализа воздействия угроз, им приписывается высокий, средний
или низкий уровень риска по каждой зоне локализации уязвимостей.
Оценивались
все угрозы, уязвимости и риски для обеспечения уверенности в том, что процесс
оценки рисков в организации является полным. В таблице 12 приведены компоненты
оценки риска.
Таблица 12
Компоненты процесса оценки рисков
| Если кто-либо захочет проследить угрозы |
Через зоны уязвимостей |
То они приведут в результате к какому-нибудь из следующих рисков |
| Все виды разведывательной
деятельности зарубежных государств; информационно-технические воздействия (в
том числе радиоэлектронная борьба, проникновение в компьютерные сети) со
стороны вероятных противников; Диверсионно-подрывная деятельность специальных
служб иностранных государств, осуществляемая методами
информационно-психологического воздействия; Деятельность иностранных политических,
экономических и военных структур, направленная против интересов Российской
Федерации в сфере обороны. Нарушение установленного регламента сбора,
обработки, хранения и передачи информации, находящейся в штабах и учреждениях
Министерства обороны Российской Федерации, на предприятиях оборонного
комплекса; Преднамеренные действия, а также ошибки персонала информационных и
телекоммуникационных систем специального назначения; Ненадежное
функционирование информационных и телекоммуникационных систем специального
назначения; Возможная информационно-пропагандистская деятельность,
подрывающая престиж Вооруженных Сил Российской Федерации и их боеготовность; Нерешенность
вопросов защиты интеллектуальной собственности предприятий оборонного
комплекса, приводящая к утечке за рубеж ценнейших государственных
информационных ресурсов |
Информационная инфраструктура
центральных органов военного управления; Информационные ресурсы предприятий
оборонного комплекса и научно-исследовательских учреждений;
Программно-технические средства автоматизированных и автоматических систем
управления войсками и оружием; Информационные ресурсы, системы связи и
информационная инфраструктура других войск, воинских формирований и органов. |
Денежная потеря. Потеря производительности. Затруднения в деятельности |
При
проведении оценки рисков рассматриваются три основные категории потерь. Они
сами и их описание приведено в таблице 13
Таблица 13
| Категории возможных потерь |
Описание |
| Денежная потеря |
Денежная
потеря определяется как потеря ценностей или увеличение стоимости или
расходов. В сомнительных случаях необходимо классифицировать более высокий
риск денежной потери или более высокое возможное значение потери, более
высокий риск функционирования деятельности. |
| Потеря производительности |
Потеря производительности происходит тогда, когда персонал
не способен продолжать выполнение своих обязанностей или когда необходимо
повторять служебные обязанности. Прерывания работы или дублирование усилия
могут приводить к недоступности рабочих функций или к некорректности
результатов |
| Затруднения деятельности |
Эта категория касается ситуаций, оказывающих влияние на
установление общественного доверия. Следует учитывать также
конфиденциальность, точность и согласованность |
Матрица
оценки рисков разделена на зоны локализации уязвимостей. В рамках каждой
уязвимости перечисляются потенциальные угрозы. Справа от каждой угрозы
приводятся уровни в рамках категорий потерь.
Матрица
заполняется приданием уровня риска– высокого (В), среднего (С) или низкого (Н)
чтобы показывать зависимость каждой угрозы от каждой из зон
локализации уязвимости с учетом заполнения ранее матрицы «угрозы» - «объект
обеспечения ИБ».
Описание
уровней риска:
Высокий: значительная денежная потеря, потеря производительности или
затруднения, являющиеся результатом угрозы, вследствие соответствующей
уязвимости.
Средний: номинальная денежная потеря, потеря производительности или
случающиеся затруднения.
Низкий: либо минимальная возможность денежной потери, потери производительности,
либо затруднения, либо вообще ничего.
Матрица
оценки рисков приведена в таблице 14.
Таблица 14
Матрица оценки рисков
|
ЗОНА УЯЗВИМОСТИ информационная инфраструктура
центральных органов военного управления…
|
Риск денежной потери |
Риск потери производительности |
Риск затруднения деятельности |
| все виды разведывательной деятельности зарубежных
государств |
|
|
Н |
|
С |
|
В |
|
|
| информационно-технические воздействия со стороны
вероятных противников |
|
С |
|
В |
|
|
|
|
Н |
| диверсионно-подрывная деятельность специальных служб
иностранных государств |
|
С |
|
|
|
Н |
В |
|
|
| деятельность иностранных структур против интересов
Российской Федерации |
|
|
Н |
|
|
Н |
|
С |
|
| нарушение установленного регламента работы с
информацией на предприятиях оборонного комплекса |
|
С |
|
В |
|
|
|
С |
|
| преднамеренные действия, а также ошибки персонала |
|
С |
|
В |
|
|
В |
|
|
| ненадежное функционирование систем специального
назначения |
|
С |
|
В |
|
|
|
|
Н |
| возможная информационно-пропагандистская
деятельность, подрывающая престиж ВСРФ |
|
|
С |
|
С |
|
В |
|
|
| …утечка за рубеж ценнейших государственных информационных
ресурсов |
В |
|
|
|
С |
|
|
|
Н |
| все виды разведывательной деятельности зарубежных
государств |
|
|
Н |
В |
|
|
|
С |
|
| информационно-технические воздействия со стороны
вероятных противников |
|
|
Н |
|
С |
|
|
С |
|
| нарушение установленного регламента работы с
информацией на предприятиях оборонного комплекса |
|
С |
|
В |
|
|
|
С |
|
| преднамеренные действия, а также ошибки персонала |
|
С |
|
В |
|
|
|
С |
|
| ненадежное функционирование систем специального
назначения |
|
С |
|
В |
|
|
В |
|
|
| диверсионно-подрывная деятельность специальных служб
иностранных государств |
|
|
Н |
|
С |
|
В |
|
|
| деятельность иностранных структур против интересов
Российской Федерации |
|
|
Н |
|
|
Н |
|
С |
|
| нарушение установленного регламента работы с
информацией на предприятиях оборонного комплекса |
|
С |
|
В |
|
|
|
|
Н |
| преднамеренные действия, а также ошибки персонала |
|
С |
|
В |
|
|
|
|
Н |
| ненадежное функционирование систем специального
назначения |
В |
|
|
В |
|
|
|
С |
|
| возможная информационно-пропагандистская
деятельность, подрывающая престиж ВСРФ |
|
С |
|
|
|
Н |
В |
|
|
| …утечка за рубеж ценнейших государственных
информационных ресурсов |
В |
|
|
|
С |
|
|
С |
|
| все виды разведывательной деятельности зарубежных
государств |
|
С |
|
|
С |
|
|
|
Н |
| информационно-технические воздействия со стороны
вероятных противников |
|
С |
|
В |
|
|
|
С |
|
| диверсионно-подрывная деятельность специальных служб
иностранных государств |
|
С |
|
|
С |
|
|
С |
|
| деятельность иностранных структур против интересов
Российской Федерации |
|
|
Н |
|
С |
|
|
С |
|
| нарушение установленного регламента работы с
информацией на предприятиях оборонного комплекса |
|
С |
|
|
С |
|
|
С |
|
| преднамеренные действия, а также ошибки персонала |
|
С |
|
В |
|
|
|
С |
|
| ненадежное функционирование систем специального
назначения |
В |
|
|
В |
|
|
|
|
Н |
| возможная информационно-пропагандистская
деятельность, подрывающая престиж ВСРФ |
|
|
Н |
|
С |
|
В |
|
|
| …утечка за рубеж ценнейших государственных
информационных ресурсов |
В |
|
|
|
С |
|
|
С |
|
Для первой
зоны уязвимости – информационная инфраструктура центральных органов военного
управления – выделены все имеющиеся угрозы. Разведывательная деятельность
иностранных государств может привести к высокому риску затруднения
деятельности. Риск потери производительности номинальный, так как зависит от
того, будет ли нарушена целостность и доступность информации. Риск денежной
потери низкий. Информационно-технические воздействия со стороны вероятного
противника могут привести к высокому риску потери производительности, т.к.
могут вывести из строя какие-либо компоненты системы. В связи с этим средним
является риск денежной потери. Риск затруднения деятельности минимален.
Диверсионно-подрывная деятельность иностранных спецслужб методом
информационного воздействия приведет к высокому риску затруднения деятельности.
Риск денежной потери средний, потери производительности – низкий для данной
зоны. Деятельность иностранных структур, направленных против интересов РФ в
сфере обороны приведет к среднему риску затруднения деятельности, т.к.
иностранные военные и политические структуры могут оказывать психологическое
давление на РФ. Риск денежной потери и потери производительности минимален.
Нарушение установленного регламент работы с информацией на предприятиях
оборонного комплекса может привести к высокому риску потери производительности,
т.к. это может привести к блокированию дальнейшей работы с информацией до
выяснения обстоятельств нарушения. Риск денежной потери в этом случае
относителен, также как и риск затруднения деятельности. Преднамеренные действия
и ошибки персонала ИТКС специального назначения могут привести к высокому риску
потери производительности по тем же причинам, что и вышеуказанная угроза, и к
высокому риску затруднения деятельности, так как это может дискредитировать
пользователей и персонал ИТКС. Риск денежной потери средний. Из-за ненадежного
функционирования компонентов систем риск потери производительности также
является высоким. Риск затруднения деятельности низкий и риск денежной потери
средний. Возможная информационно-пропагандистская деятельность, подрывающая
престиж ВС РФ приведет к высокому риску затруднения деятельности. Риск денежной
потери и риск потери производительности средний. И наконец, утечка за рубеж
ценнейших информационных ресурсов приводит к высокому риску денежной потери.
Риск потери производительности средний и риск затруднения деятельности
минимальный.
Для
информационных ресурсов предприятий оборонного комплекса определены пять угроз.
С остальными угрозами данный объект не связан отношениями. К такому выводы мы
пришли после исследования цепочки отношений
«угроза»–«нападения»–«уязвимость»–«объект». Таким образом ко второй зоне
уязвимости относятся пять угроз. Риск разведывательной деятельности иностранных
спецслужб может привести к высокому риску потери производительности, так как
ресурсы, после нарушения конфиденциальности, могут быть уничтожены. Такого рода
неопределенность может быть расценена как средний уровень риска, однако, в
системе оценки риска предусмотрено выбирать худший случай развития событий.
Риск денежной потери низкий и риск затруднения деятельности средний.
Информационно-технические воздействия со стороны вероятного противника могут
привести к среднему уровню риска потери производительности из-за возможных
нарушений доступности ресурсов и среднему уровню риска затруднения
деятельности. Уровень денежной потери низкий. Нарушение регламента
взаимодействия с информацией также как и для предыдущей зоны имеет высокий
уровень потери производительности и средние уровни рисков денежной потери и
затруднения деятельности. Преднамеренные или случайные ошибки и действия
персонала могут привести к высокому риску потери производительности для данной
зоны уязвимости, так как может быть нарушена целостность и доступность
информационных ресурсов. Риск затруднения деятельности и денежной потери
средний. Ненадежное функционирование ИТКС специального назначения может
привести к высокому риску потери производительности и затруднения деятельности,
так как низкая надежность систем, отвечающих за нормальное функционирование
оборонного комплекса страны никак не способствует возрастанию общественного
доверия к таким системам. Риск денежной потери номинальный и в принципе
относительный. В данной зоне он определен как средний.
Для
программно-технических средств автоматизированных и автоматических систем
управления войсками определены семь угроз. Диверсионно-подрывная деятельность
со стороны вероятного противника может привести к высокому риску затруднения
деятельности, так как она осуществляется информационно-психологическими
методами. Риск потери производительности в данной зоне средний, так как нет
полной уверенности, что эта деятельность никак не отразиться на
работоспособности программно-технических средств. Риск денежной потери
минимальный. Деятельность иностранных военных и политических структур может
привести к среднему риску затруднения деятельности и низкому риску денежной
потери и потери производительности. Нарушения установленного регламента сбора,
хранения и обработки информации для данной зоны может привести к среднему риску
потери производительности, так как возможна негативная реакция
программно-аппаратных средств систем специального назначения. Однако такой
реакции может и не быть. Риск денежной потери в этом случае также средний. Риск
затруднения деятельности минимален. В случае преднамеренных или случайных
действий персонала ИТКС может возникнуть высокий риск потери
производительности, так как персонал обладает большими правами доступа, чем
пользователь или нарушитель, осуществляющий несанкционированный доступ,
соответственно большими возможностями по реализации того или действия с
программно-аппаратной средой системы. Риск денежной потери средний, риск
затруднения деятельности низкий. В то время как ненадежное функционирование
систем специального назначения может привести к высокому риску денежной потери
и высокому риску потери производительности. Так как программно-технические
средства систем специального назначения имеют важное стратегическое значение,
они не могут долгое время функционировать ненадежно и подлежат немедленной
замене. В наихудшем случае мы предполагаем, что данные программно-аппаратные
средства дорогостоящие и требуют серьезных исследований, поэтому риск денежной
потери высокий. По той же причине стратегического значения данных средств,
использовать их, зная о их низкой надежности, недопустимо. Риск затруднения
деятельности средний. Естественно, что пропагандистская деятельность,
понижающая престиж ВС РФ, приведет к высокому риску затруднения деятельности,
так как снижается общественное доверие к деятельности ВС РФ. Риск денежной
потери средний, риск потери производительности низкий, так как эта деятельность
никак не оказывает влияния на непосредственно производительность. Нерешенность
вопросов защиты интеллектуальной собственности, приводящая к утечке за рубеж
ценнейших ресурсов может привести к высокому риску денежной потери, так как
серьезные и дорогостоящие разработки и исследования могут «уйти» за рубеж,
иногда, беспрепятственно. Риск потери производительности и затруднения деятельности,
соответственно средний.
Наконец, для
систем связи и информационной инфраструктуры других войск выделены все угрозы.
Данному объекту угрожают все возможные в данной сфере потенциальные возможности
нападений. Все виды разведывательной деятельности иностранных спецслужб могут
привести к среднему риску денежной потери, из-за последующей необходимости
совершенствования систем защиты систем связи, как следствие, среднему риску
потери производительности и низкому риску затруднения деятельности. Информационно-технические
воздействия со стороны противника могут привести к высокому риску потери
производительности. Это связано с тем, что техническими воздействиями можно
вывести из строя системы связи, и как итог, существенно понизить
производительность. Риск денежной потери и риск затруднения деятельности в этом
случае средний. Для диверсионно-подрывной деятельности иностранных спецслужб,
которая осуществляется методами информационно-психологического воздействия,
определить уровень рисков в данной зоне достаточно сложно. Психологические
методы не оказывают существенного влияния на системы связи. Однако уровень
риска относителен и может в разных ситуациях проявляться по-разному. Поэтому
уровень риска всех потерь определен как средний. Деятельность иностранных военных
и политических структур может привести к среднему риску потери
производительности и среднему риску затруднения деятельности. Риск денежной
потери для этой зоны минимальный. Нарушение установленного регламента работы с
информацией для систем связи в наихудшем случае может привести к номинальной
денежной потере, аналогичным потере производительности и затруднению
деятельности. Поэтому для данной угрозы все потери имеют средний уровень риска.
Преднамеренные действия и ошибки персонала могут привести к высокому риску
потери производительности, так как работа с системами связи в этом случае может
быть прекращена. Риск денежной потери и затруднения деятельности средний.
Ненадежное функционирование систем связи и элементов информационной
инфраструктуры, также как и в предыдущей зоне уязвимости, может привести к
высокому риску денежной потери и потери производительности. Риск затруднения
деятельности в этом случае минимальный. Также для данного объекта пропаганда,
понижающая престиж ВС РФ может привести к высокому риску затруднения
деятельности. Риск потери производительности средний, так как функционирование
систем и компонентов инфраструктуры может быть нарушено из-за понижения
общественного доверия среди персонала ИТКС специального назначения. И, также
как и для предыдущей зоны, утечка за рубеж ценнейших информационных ресурсов
может привести к высокому риску денежной потери и среднему риску потери
производительности и затруднения деятельности.
После
заполнения матрицы оценки рисков становится ясной картина распределения угроз и
потерь от их возможной реализации по всем объектам обеспечения информационной
безопасности РФ в сфере обороны. Дальнейшим этапом оценки рисков является
своеобразное подведение итога – составление таблицы оценки рисков.
Таблица
оценки рисков заполняется с помощью придания объединенного уровня риска каждой
из зон уязвимости. Объединенный уровень риска следует получать из всех угроз,
предварительно идентифицированных, исходя из матрицы оценки рисков.
Таблица
оценки рисков приведена в таблице 15.
Таблица 15
Таблица оценки рисков
|
|
Категория потерь
|
|
Зона уязвимости
|
Денежная потеря |
Потеря производительности |
Затруднения |
Общий риск
|
|
Информационная инфраструктура
центральных органов военного управления…
|
Средний |
Высокий |
Высокий |
Высокий
|
|
Информационные ресурсы предприятий
оборонного комплекса
|
Средний |
Высокий |
Средний |
Средний
|
|
Программно-технические средства
автоматизированных и автоматических систем управления войсками
|
Средний |
Средний |
Средний |
Средний
|
|
Системы связи и информационная
инфраструктура других войск
|
Средний |
Средний |
Средний |
Средний
|
Таким
образом, исходя из анализа угроз и оценки рисков, становится ясно основное
направление совершенствования обеспечения информационной безопасности в сфере
обороны.
Обеспечение
ИБ РФ в сфере обороны в первую очередь необходимо осуществлять в направлении
совершенствования средств защиты информационных ресурсов предприятий оборонного
комплекса и научно-исследовательских учреждений, выполняющих государственные
оборонные заказы либо занимающихся оборонной проблематикой. Общий уровень риска
здесь наивысший. Это связано вероятно с тем, что информационные ресурсы
обязательная, неотъемлемая и одна из основных единиц любой информационной
системы, ИТКС, системы обеспечения и управления и т. д., а средств реализации
угроз в этом направлении больше всего. Однако, при проведении комплексных
мероприятий по обеспечению информационной безопасности в сфере обороны РФ не
стоит забывать или пренебрегать и остальными объектами обеспечения ИБ. Риск
здесь номинальный, но он может перерасти в высокий, если игнорировать
уязвимость этих объектов для разнообразных информационных воздействий.
Таким
образом, для снижения вероятности реализации угроз ИБ в сфере обороны
необходимо принимать следующие защитные меры.
Прежде всего,
это систематическое выявление угроз и их источников, структуризация целей
обеспечения информационной безопасности в сфере обороны и определение
соответствующих практических задач.
Во-вторых,
проведение сертификации общего и специального программного обеспечения, пакетов
прикладных программ и средств защиты информации в существующих и создаваемых
автоматизированных системах управления военного назначения и системах связи,
имеющих в своем составе элементы вычислительной техники.
В-третьих,
необходимо постоянное совершенствование средств защиты информации от
несанкционированного доступа, развитие защищенных систем связи и управления
войсками и оружием, повышение надежности специального программного обеспечения.
В-четвертых,
совершенствование структуры функциональных органов системы обеспечения
информационной безопасности в сфере обороны и координация их взаимодействия.
В-пятых,
совершенствование приемов и способов стратегической и оперативной маскировки,
разведки и радиоэлектронной борьбы, методов и средств активного противодействия
информационно-пропагандистским и психологическим операциям вероятного
противника.
И несомненно,
для минимизации потерь от постоянной утечки специалистов и информационных
ресурсов за рубеж и выполнения и разработки всех защитных мер, подготовка специалистов
в области обеспечения информационной безопасности в сфере обороны.
Выполнение
этих мер является минимальным условием для снижения риска до допустимого
уровня, но даже оно, в условиях современной действительности, является лишь
идеальным. Риск всегда будет присутствовать ввиду далеко не полномасштабной
реализации мер обеспечения ИБ РФ в сфере обороны.
4. РАЗРАБОТКА ПОЛНОГО ОПИСАНИЯ
УГРОЗ НА ОСНОВЕ МОДЕЛИ ГОСТ
Р ИСО/МЭК 15408
На предыдущих
этапах выполнения работы мы полностью идентифицировали угрозы ИБ, их источники,
нападения, которыми они реализуются, уязвимости, которыми пользуются, объекты,
которым присущи эти уязвимости и защитные меры, которые должны эти угрозы
нейтрализовать.
Таким образом
нами были получены вес компоненты модели угроз ГОСТ ИСО/МЭК 15408, которая
включает в себя:
–нападения
пригодные для реализации угрозы (возможность, методы, уязвимости);
–объекты нападений
(объекты защиты);
–тип потери;
–масштаб ущерба;
–источники угрозы.
Для источников угроз – людей модель нарушителя должна включать:
указание их опыта,
указание знаний,
указание доступных ресурсов, необходимых для реализации угрозы,
возможную мотивацию их действий.
Ниже
приведено полное описание всех девяти угроз, выделенных в таблицы 1.
Угроза 1. Все
виды разведывательной деятельности зарубежных государств
Уязвимость: Возможность несанкционированного
доступа к информационным ресурсам систем специального назначения, Отставание
отечественного оборонного комплекса, низкий уровень развития средств повышения
защищенности систем специального назначения.
Источник
угрозы: Специальные
службы иностранных государств.
Метод
нападения: Несанкционированный
доступ к информационным ресурсам, нарушение конфиденциальности и целостности.
Объект
нападения информационная
инфраструктура центральных органов военного управления и органов военного
управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; информационные ресурсы предприятий оборонного
комплекса и научно-исследовательских учреждений, выполняющих государственные
оборонные заказы либо занимающихся оборонной проблематикой; информационные
ресурсы, системы связи и информационная инфраструктура других войск, воинских
формирований и органов.
Потери: затруднение деятельности, потеря
производительности.
Масштаб
ущерба: средний
Знания знание систем обеспечения ИБ, знание
принципов защиты от несанкционированного доступа, высокий уровень знаний об
объекте разведки и методах её ведения.
Опыт: высокий
Доступные
ресурсы: специальная
аппаратура, агентурный метод ведения разведывательной деятельности.
Мотивация: корыстные цели, внешнеполитические
цели.
Угроза 2.
Информационно-технические воздействия (в том числе радиоэлектронная борьба,
проникновение в компьютерные сети) со стороны вероятных противников.
Уязвимость: возможность психологического
воздействия на общественность, возможность несанкционированного доступа.
Источник
угрозы: спецслужбы
иностранных государств.
Метод
нападения: несанкционированный
доступ к информационным ресурсам ИТКС специального назначения, появление
большого числа террористических и радикальных организаций
Объект
нападения:
информационная инфраструктура центральных органов военного управления и органов
военного управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; информационные ресурсы предприятий оборонного
комплекса и научно-исследовательских учреждений, выполняющих государственные оборонные
заказы либо занимающихся оборонной проблематикой; информационные ресурсы,
системы связи и информационная инфраструктура других войск, воинских
формирований и органов.
Потери: потери производительности, денежная
потеря, затруднение деятельности.
Масштаб
ущерба: высокий
Знания: знание методов и средств ведения
радиоэлектронной борьбы, знание принципов обеспечения ИБ объекта воздействия.
Опыт: высокий
Доступные
ресурсы: технические
средства ведения информационных радиоэлектронных воздействий.
Мотивация:
корыстные цели,
внешнеполитические цели.
Угроза 3.
Диверсионно-подрывная деятельность специальных служб иностранных государств,
осуществляемая методами информационно-психологического воздействия.
Уязвимость:
возможность
психологического воздействия на общественность, формирования мнения о ВС РФ,
недостаточное финансирование.
Источник
угрозы: спецслужбы
иностранных государств.
Метод
нападения:
пропаганда отрицательного отношения к процессу постоянного планового вооружения
и Вооруженным Силам РФ вообще и попытка принудительного отказа от вооружения.
Объект
нападения:
информационная инфраструктура центральных органов военного управления и органов
военного управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; программно-технические средства
автоматизированных и автоматических систем управления войсками и оружием, вооружения
и военной техники, оснащенных средствами информатизации; информационные
ресурсы, системы связи и информационная инфраструктура других войск, воинских
формирований и органов.
Потери: затруднение деятельности.
Масштаб
ущерба: высокий.
Знания: знание принципов воздействия на
мнение масс, знание не выявленных и выявленных недостатков объекта.
Опыт: средний
Доступные
ресурсы: средства
ведения пропагандистской деятельности и психологического воздействия.
Мотивация: злой умысел, цели внешней политики.
Угроза 4.
Деятельность иностранных политических, экономических и военных структур,
направленная против интересов Российской Федерации в сфере обороны.
Уязвимость: возможность психологического
воздействия на общественность, формирования мнения о ВС РФ, недостаточное
финансирование.
Источник
угрозы: некоторые
террористические и радикально настроенные организации или политические
структуры.
Метод
нападения:
пропаганда отрицательного отношения к процессу постоянного планового вооружения
и Вооруженным Силам РФ вообще и попытка принудительного отказа от вооружения.
Объект
нападения:
информационная инфраструктура центральных органов военного управления и органов
военного управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; программно-технические средства
автоматизированных и автоматических систем управления войсками и оружием,
вооружения и военной техники, оснащенных средствами информатизации;
информационные ресурсы, системы связи и информационная инфраструктура других
войск, воинских формирований и органов.
Потери: затруднение деятельности.
Масштаб
ущерба: средний.
Знания: нет
Опыт: нет
Доступные
ресурсы: возможность
предать огласке все несовершенства ВС РФ и призвать к публичному осуждению
деятельности ВС РФ. Возможность политическими методами воздействовать на ВС РФ.
Мотивация:
цели внешней
политики.
Угроза 5.
Нарушение установленного регламента сбора, обработки, хранения и передачи
информации, находящейся в штабах и учреждениях Министерства обороны Российской
Федерации, на предприятиях оборонного комплекса.
Уязвимость: возможность несанкционированного
доступа к информационным ресурсам систем специального назначения; отказ, выход
из строя информационных и телекоммуникационных систем специального назначения;
отставание отечественного оборонного комплекса, низкий уровень развития средств
повышения защищенности систем специального назначения.
Источник
угрозы: персонал
информационных и телекоммуникационных систем специального назначения.
Метод
нападения:
некорректная работа с конфиденциальной информацией информационных баз
специального назначения и компонентами системы
Объект нападения: информационная инфраструктура
центральных органов военного управления и органов военного управления видов
Вооруженных Сил Российской Федерации и родов войск, объединений, соединений,
воинских частей и организаций, входящих в Вооруженные Силы Российской
Федерации, научно-исследовательских учреждений Министерства обороны Российской
Федерации; информационные ресурсы предприятий оборонного комплекса и
научно-исследовательских учреждений, выполняющих государственные оборонные
заказы либо занимающихся оборонной проблематикой; программно-технические
средства автоматизированных и автоматических систем управления войсками и
оружием, вооружения и военной техники, оснащенных средствами информатизации;
информационные ресурсы, системы связи и информационная инфраструктура других
войск, воинских формирований и органов.
Потери: потеря производительности, денежная
потеря, затруднение деятельности.
Масштаб
ущерба: средний.
Знания: навыки работы с компьютерными
системами и сетями.
Опыт: любой.
Доступные
ресурсы: доступ к
системам специального назначения.
Мотивация:
непреднамеренные
действия.
Угроза 6.
Преднамеренные действия, а также ошибки персонала информационных и
телекоммуникационных систем специального назначения.
Уязвимость: возможность несанкционированного
доступа к информационным ресурсам систем специального назначения; отказ, выход
из строя информационных и телекоммуникационных систем специального назначения;
отставание отечественного оборонного комплекса, низкий уровень развития средств
повышения защищенности систем специального назначения.
Источник
угрозы: персонал
информационных и телекоммуникационных систем специального назначения
Метод
нападения:
некорректная работа с конфиденциальной информацией информационных баз
специального назначения и компонентами системы.
Объект
нападения:
информационная инфраструктура центральных органов военного управления и органов
военного управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; информационные ресурсы предприятий оборонного
комплекса и научно-исследовательских учреждений, выполняющих государственные
оборонные заказы либо занимающихся оборонной проблематикой;
программно-технические средства автоматизированных и автоматических систем
управления войсками и оружием, вооружения и военной техники, оснащенных
средствами информатизации; информационные ресурсы, системы связи и информационная
инфраструктура других войск, воинских формирований и органов.
Потери: потеря производительности,
затруднение деятельности.
Масштаб
ущерба: высокий.
Знания: навыки работы с компьютерными
системами и сетями.
Опыт: любой.
Доступные
ресурсы: доступ к
системам специального назначения.
Мотивация: непреднамеренные действия, корыстный
умысел, самоутверждение.
Угроза 7.
Ненадежное функционирование информационных и телекоммуникационных систем
специального назначения.
Уязвимость: возможность несанкционированного
доступа к информационным ресурсам систем специального назначения; отказ, выход
из строя информационных и телекоммуникационных систем специального назначения;
отставание отечественного оборонного комплекса, низкий уровень развития средств
повышения защищенности систем специального назначения.
Источник
угрозы: персонал
информационных и телекоммуникационных систем специального назначения;
информационные и телекоммуникационные системы специального назначения.
Метод
нападения:
некорректная работа с конфиденциальной информацией информационных баз
специального назначения и компонентами системы.
Объект
нападения:
информационная инфраструктура центральных органов военного управления и органов
военного управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; информационные ресурсы предприятий оборонного
комплекса и научно-исследовательских учреждений, выполняющих государственные
оборонные заказы либо занимающихся оборонной проблематикой;
программно-технические средства автоматизированных и автоматических систем
управления войсками и оружием, вооружения и военной техники, оснащенных
средствами информатизации; информационные ресурсы, системы связи и
информационная инфраструктура других войск, воинских формирований и органов.
Потери: денежная потеря, потеря
производительности.
Масштаб
ущерба: высокий.
Знания: нет.
Опыт: нет.
Доступные
ресурсы: системы
специального назначения, компьютерные сети министерства обороны и предприятий
оборонного комплекса.
Мотивация: нет.
Угроза 8.
Возможная информационно-пропагандистская деятельность, подрывающая престиж
Вооруженных Сил Российской Федерации и их боеготовность.
Уязвимость: возможность психологического
воздействия на общественность, формирования мнения о ВС РФ, недостаточное
финансирование.
Источник
угрозы: некоторые
средства массовой информации и общественные организации, осуществляющие
отрицательную пропаганду ВС РФ
Метод
нападения: пропаганда
отрицательного отношения к процессу постоянного планового вооружения и
Вооруженным Силам РФ вообще и попытка принудительного отказа от вооружения
Объект
нападения: информационная
инфраструктура центральных органов военного управления и органов военного
управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; программно-технические средства
автоматизированных и автоматических систем управления войсками и оружием,
вооружения и военной техники, оснащенных средствами информатизации;
информационные ресурсы, системы связи и информационная инфраструктура других
войск, воинских формирований и органов.
Потери: затруднение деятельности.
Масштаб
ущерба: высокий
Знания: знание приемов и методов влияние на
общественное мнение.
Опыт: любой.
Доступные
ресурсы: возможность
обратиться к обществу, повлиять на массы.
Мотивация:
злой умысел.
Угроза 9.
Нерешенность вопросов защиты интеллектуальной собственности предприятий
оборонного комплекса, приводящая к утечке за рубеж ценнейших государственных
информационных ресурсов
Уязвимость: возможность психологического
воздействия на общественность, формирования мнения о ВС РФ, недостаточное
финансирование.
Источник
угрозы: некоторые
террористические и радикально настроенные организации или политические
структуры.
Метод
нападения: пропаганда
отрицательного отношения к процессу постоянного планового вооружения и
Вооруженным Силам РФ вообще и попытка принудительного отказа от вооружения
Объект
нападения:
информационная инфраструктура центральных органов военного управления и органов
военного управления видов Вооруженных Сил Российской Федерации и родов войск,
объединений, соединений, воинских частей и организаций, входящих в Вооруженные
Силы Российской Федерации, научно-исследовательских учреждений Министерства
обороны Российской Федерации; программно-технические средства
автоматизированных и автоматических систем управления войсками и оружием,
вооружения и военной техники, оснащенных средствами информатизации;
информационные ресурсы, системы связи и информационная инфраструктура других войск,
воинских формирований и органов.
Потери: денежная потеря, затруднение
деятельности.
Масштаб
ущерба: высокий
Знания: нет
Опыт: нет
Доступные
ресурсы: общественное
мнение в данном случае формируется без влияния на него, политические структуры
просто оставляют данную угрозу без внимания.
Мотивация: нет
После этого
все элементы модели ИБ РФ в заданной сфере были взаимоувязаны в единый комплекс
в виде направленного графа из следующих элементов:
–источники угроз;
–угрозы;
–нападения;
–объекты защиты со
своими уязвимостями;
–меры обеспечения
ИБ.
Таким
образом, граф полностью иллюстрирует модель информационной безопасности в сфере
обороны и полностью отражает проведенный анализ.
В приведенном
в приложении А графе использованы следующие сокращения:
И – источник угрозы
У – угроза ИБ
Н – нападение
Ув – уязвимость
М – мера обеспечения ИБ
О – объект обеспечения ИБ
Номера
элементов множеств соответствуют номерам, приведенным в таблице 1 – 6.
ЗАКЛЮЧЕНИЕ
В ходе
выполнения курсовой работы был проведен анализ угроз информационной
безопасности, комплексная оценка рисков и выработан ряд рекомендаций по
обеспечению информационной безопасности РФ в сфере обороны.
В результате
проведенного исследования были рассмотрены и выявлены угрозы ИБ в сфере
обороны, объекты, информационную безопасность которых необходимо обеспечивать,
их уязвимости. Была проведен анализ отношений между угрозами, уязвимостями,
объектами, реализациями угроз и их источниками. Была заполнена таблица
вероятностей рисков от возможной реализации угроз для каждого объекта. Также
были разработаны полные описания всех угроз и граф модели обеспечения ИБ РФ в
сфере экономики.
Таким
образом, задание на курсовую работу выполнено в полном объеме.
СПИСОК
ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
1 Доктрина информационной
безопасности Российской Федерации. ‑
http://www.scrf.gov.ru/Documents/Decree/09-09.html
2 ISO
TR 13569 Banking and related financial services – Information security
guidelines
ПРИЛОЖЕНИЕ А
Граф модели
обеспечения ИБ РФ в сфере обороны
