Идентификация и оценка информационных активов банка. Классификация активов, связанных с информационными системами

Активы (ресурсы) – это все, что имеет ценность или находит полезное применение для организации, ее деловых операций и обеспечения их непрерывности. Поэтому активы нуждаются в защите для того, чтобы обеспечить корректность деловых операций и непрерывность бизнеса. Надлежащее управление и учет активов должны являться одной из основных обязанностей руководителей всех уровней.

Важные активы внутри области действия СУИБ должны быть четко идентифицированы и должным образом оценены, а реестры, описывающие различные виды активов, должны быть взаимоувязаны и поддерживаться в актуальном состоянии. Для того чтобы быть уверенным в том, что ни один из активов не был пропущен или забыт, должна быть определена область действия СУИБ в терминах характеристик бизнеса, организации, ее расположения, ресурсов и технологий.

________________________________________

Идентификация активов:

формирование модели бизнес-процессов;

инвентаризация активов;

формирование реестров активов;

определение взаимосвязей между реестрами активов;

построение модели активов;

определение владельцев активов и их обязанностей;

делегирование обязанностей по обеспечению безопасности активов;

определение правил допустимого использования активов.

_________________________________________

Важно идентифицировать не только информационные активы, но другие активы, с которыми они связаны. Взаимосвязи между активами описываются моделью активов. Активы надо структурировать, категорировать и классифицировать по уровню конфиденциальности, критичности и другим признакам. Группирование похожих или связанных активов позволяет упростить процесс оценки рисков.

Нельзя обеспечить адекватный уровень информационной безопасности без установления подотчетности за активы. Для каждого из идентифицированных активов или группы активов должен быть определен владелец, на которого возлагается ответственность за осуществление контроля производства, разработки, сопровождения, использования и безопасности этих активов. Обязанности по внедрению механизмов безопасности могут быть делегированы, однако ответственность должна оставаться за назначенным владельцем актива.

Владелец актива должен нести ответственность за определение соответствующей классификации и прав доступа к этому активу, согласование и документирование этих решений, а также поддержание соответствующих механизмов контроля. В обязанности владельца актива также входит периодический пересмотр прав доступа и классификаций безопасности. Кроме того, следует определить, документировать и внедрить правила допустимого использования активов, описывающие разрешенные и запрещенные действия при повседневном использовании активов. Лица, использующие активы, должны быть осведомлены об этих правилах.

Идентификация и оценка информационных активов

Идентифицируем информационные активы организации. Для этого сначала приведем понятие информационного актива.

Информационный актив – это любая информация, независимо от вида её представления, имеющая ценность для организации и находящаяся в её распоряжении. У каждой организации свой набор активов, относящихся к тому или иному типу.

Рассмотрим информационные активы организации. Для более удобного рассмотрения активов сгруппируем их согласно типам.

1. Информация/данные.

Данные о разработках;

Данные по продукции.

2. Аппаратные средства.

8 серверов;

374 компьютера;

36 принтеров;

22 сканера.

3. Программное обеспечение.

1C: Предприятие;

MS Windows XP/7

4. Документы.

Контракты с вендорами;

Контракты с клиентами;

Бухгалтерская отчетность;

Рассмотрим выделенные активы более подробно, т.е. приведем форму представления, владельца актива, критерии определения стоимости и осуществим оценку активов.

В таблице 1.1. представлена информация по выделенным активам организации.

Таблица 1.1.

Оценка информационных активов предприятия

Вид деятельности	Наименование актива	Форма представления	Владелец актива	Критерии определения стоимости	Размерность оценки
Количественная оценка	Качественная
Информационные активы
Кадровое обеспечение		Электронная	Специалист по кадрам	Стоимость воссоздания	170 тыс. руб.	Средняя
Реализация продукции	Данные по продукции	Электронная	Бухгалтер	Стоимость воссоздания	500 тыс. руб.	Критическая
Активы аппаратного обеспечения
Обработка информации	Сервера	Материальная	Системный администратор	Первоначальная стоимость	300 тыс. руб.	Критическая
Обработка информации	Компьютеры	Материальная	Системный администратор	Первоначальная стоимость	100 тыс. руб.	Средняя
Обработка информации	Принтеры	Материальная	Системный администратор	Первоначальная стоимость	25 тыс. руб.	Малая
Обработка информации	Сканера	Материальная	Системный администратор	Первоначальная стоимость	15 тыс. руб.	Малая
Активы программного обеспечения
Обработка информации	Microsoft Windows	Электронная	Системный администратор	Стоимость воссоздания	15 тыс. руб.	Малая
Обработка информации	Microsoft Office	Электронная	Системный администратор	Стоимость воссоздания	17 тыс. руб.	Малая
Обработка информации	1C: Предприятие	Электронная	Системный администратор	Стоимость воссоздания	120 тыс. руб.	Средняя
Обработка информации	SAP WMS	Электронная	Системный администратор	Стоимость воссоздания	400 тыс. руб.	Критическая
Физические активы
Реализация продукции	Документация по разработкам	Бумажная		Стоимость воссоздания	55 тыс. руб.	Малая
Реализация продукции	Контракты с клиентами	Бумажная	Менеджер по работе с клиентами	Стоимость воссоздания	82 тыс. руб.	Малая
Бухгалтерия	Бухгалтерская отчетность	Бумажная	Бухгалтер	Стоимость воссоздания	75 тыс. руб.	Малая

Рассмотрим перечень информационных активов, обязательное ограничение доступа, к которым регламентируется законодательством РФ. Данный перечень представлен в таблице 1.2.

Таблица 1.2.

Перечень сведений конфиденциального характера

Подведем итоги ранжирования выделенных активов. Результаты ранжирования представлены в таблице 1.3.

Таблица 1.3.

Результаты ранжирования активов.

Наименование актива	Ценность актива (ранг)
Данные контрагентов
Данные по продажам
8 серверов
Персональные данные сотрудников
Данные по продукции
1C: Предприятие
Компьютеры
Microsoft Windows
SAP WMS
Microsoft Office
Принтеры
Сканеры
Контракты с клиентами
Бухгалтерская отчетность

Итак, подводя итог можно сказать, что активы имеющие наибольшую ценность:

Данные контрагентов;

Данные по продажам;

Сервера;

Компьютеры;

Персональные данные сотрудников;

Данные по продукции;

1C: Предприятие;

Контракты с клиентами;

Бухгалтерская отчетность

Остальные активы представляют минимальную ценность по сравнению с выделенными.

Сгруппируем активы «Принтеры» и «Сканеры» в группу «Принтеры и сканеры», также сгруппируем активы «Microsoft Windows» и «Microsoft Office» в группу «ПО Microsoft», а также все физические активы организации в группу «Документация», поскольку ранги ценности у данных активов одинаковы, а подобная группировка заметно упростит дальнейший анализ.

Оценка уязвимостей активов

Осуществим оценку уязвимостей выделенных активов предприятия. Результаты данной оценки представлены в таблице 1.4.

Таблица 1.4.

Результаты оценки уязвимости активов

Группа уязвимостей	Данные контрагентов	Данные по продажам	Сервера	Персональные данные сотрудников	SAP WMS	1С: Предприятие	Компьютеры	Принтеры и сканеры	ПО Microsoft	Документация
1. Среда и инфраструктура
Ненадежная охрана здания			Низкая				Низкая	Низкая		Низкая
Проблемы с электропитанием	Средняя	Средняя	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая
2. Аппаратное обеспечение
Передача или повторное использование средств хранения информации без надлежащей очистки	Средняя	Средняя		Низкая	Средняя
3. Программное обеспечение
Недостаточное обслуживание носителей данных	Средняя	Средняя		Низкая	Средняя				Низкая
Отсутствие обновления программного обеспечения, используемого для защиты от вредоносного кода	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая		Низкая
4. Коммуникации
Незащищенные соединения с сетями общего пользования	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая
5. Физический доступ
Незащищенное хранение			Низкая				Низкая	Низкая		Низкая
6. Персонал
Неосведомленность в вопросах безопасности	Средняя	Средняя		Средняя	Средняя	Средняя	Средняя		Низкая
7. Общие уязвимые места
Внедрение аппаратных и программных закладок			Высокая		Высокая	Высокая	Высокая

Оценка угроз активам

Угроза (потенциальная возможность неблагоприятного воздействия) обладает способностью наносить ущерб системе информационных технологий и ее активам. Если эта угроза реализуется, она может взаимодействовать с системой и вызвать нежелательные инциденты, оказывающие неблагоприятное воздействие на систему. В основе угроз может лежать как природный, так и человеческий фактор; они могут реализовываться случайно или преднамеренно. Источники как случайных, так и преднамеренных угроз должны быть идентифицированы, а вероятность их реализации - оценена. Важно не упустить из виду ни одной возможной угрозы, так как в результате возможно нарушение функционирования или появление уязвимостей системы обеспечения безопасности информационных технологий.

Оценка угроз безопасности производится экспертным путем в зависимости от текущего уровня информационной безопасности и вероятности реализации угроз.

Выделим угрозы активам организации, а также осуществим их оценку. Результаты данных действий представлены в таблице 1.5.

Таблица 1.5.

Результаты оценки угроз активам

Группа уязвимостей	Данные контрагентов	Данные по продажам	Сервера	Персональные данные сотрудников	SAP WMS	1С: Предприятие	Компьютеры	Принтеры и сканеры	ПО Microsoft	Документация
1. Угрозы обусловленные преднамеренными действиями
Кража документов и других носителей	Низкая	Низкая		Низкая						Низкая
Подмена документов и других носителей	Низкая	Низкая		Низкая						Низкая
	Высокая	Высокая		Высокая						Низкая
Несанкционированное копирование документов и носителей информации	Низкая	Низкая		Низкая	Низкая	Низкая				Низкая
Несанкционированное обращение к данным.	Высокая	Высокая		Высокая	Низкая	Низкая				Высокая
Раскрытие данных путем их выгрузки с носителя данных неуполномоченным лицом	Низкая	Низкая		Низкая	Низкая					Низкая
2. Угрозы, обусловленные случайными действиями
Утечка информации из сети по каналам связи	Низкая	Низкая	Низкая	Низкая	Низкая
Неумышленное раскрытие информации сотрудниками компании	Низкая	Низкая	Низкая	Низкая	Низкая					Низкая
	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая	Высокая
3. Угрозы, обусловленные естественными причинами (природные, техногенные факторы)
Антропогенные катастрофы (взрыв, терроризм, вандализм, другие способы умышленного причинения ущерба)	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая	Низкая

1.2.4. Оценка существующих и планируемых средств защиты

Осуществим анализ уже используемых на предприятии средств защиты информации. Для этого необходимо провести анализ технической и программной архитектуры предприятия.

Под архитектурой компьютерной системы будем понимать концепцию организации информационной системы, ее элементы, а также характер взаимодействия этих элементов.

Целесообразно рассматривать отдельно техническую и программную архитектуру существующей информационной системы.

В компании довольно широко используются компьютерные средства. В техническую архитектуру входит:

Сервера. Используются сервера, обеспечивающие создание и функционирование единой локальной сети.

Рабочие станции. Около 380 рабочих станций, различных марок, производителей и с абсолютно различными техническими характеристиками, т.к. используются в подразделениях с различной направленностью.

Ноутбуки. Используется порядка 20 ноутбуков, также различной производительности.

Коммутаторы. Установлено 10 коммутаторов, необходимых для создания единой локальной сети.

Модем-роутер. Используется для обеспечения всех компьютеров доступом к сети Интернет.

Схема технической архитектуры информационной системы представлена на рисунке 1.2.

Рис. 1.2. Техническое обеспечение предприятия

На рисунке 1.3 представлена схема программного обеспечения предприятия.

Рис. 1.3. Схема программного обеспечения

В компании используются операционные системы Windows 7 и XP от компании Microsoft. Интегрированные офисный пакет Microsoft 2003/2007. Интернет-браузер Google Chrome. Антивирусная защита представлена антивирусом Avast! Business Pro. Также используется информационная система «1С: Бухгалтерия», которая установлена на компьютерах бухгалтерии.

Рассмотрим защиту от физического проникновения. На рисунке 1.4 представлено здание главного офиса и расположение датчиков движения.

Рис. 1.4. Расположение датчиков движение

Исходя из представленных схем можно сделать вывод об относительно слабой защите с точки зрения физического проникновения, а также с точки зрения вирусных и хакерских атак

Подведем итог всех действий организации по обеспечению информационной безопасности. Сводная таблица анализа выполнения основных задач по обеспечению информационной безопасности представлена в таблице 1.6.

Таблица 1.6.

Анализ выполнения основных задач по обеспечению информационной безопасности

Основные задачи по обеспечению информационной безопасности	Степень выполнения
Обеспечение безопасности производственно-торговой деятельности, защита информации, являющихся коммерческой тайной;	Частично
Организация работы по правовой, организационной и инженерно-технической защите коммерческой тайны;	Частично
Организация специального делопроизводства, исключающего несанкционированное получение сведений, являющихся коммерческой тайной;	Частично
Предотвращение необоснованного допуска и открытого доступа к сведениям и работам, составляющим коммерческую тайну;	Частично
Выявление и локализация возможных каналов утечки конфиденциальной информации в процессе повседневной производственной деятельности и в экстремальных ситуациях;	Частично
Обеспечение режима безопасности при осуществлении таких видов деятельности, как различные встречи, переговоры, совещания, заседания и другие мероприятия, связанные с деловым сотрудничеством на национальном и международном уровне;	Не выполняется
Обеспечение охраны территории, зданий помещений, с защищаемой информацией.	Частично

Оценка рисков

Осуществим оценку выделенных рисков. Результаты оценки активов приведены в таблице 1.7.

Таблица 1.7.

Результаты оценки рисков информационным активам организации

Риск	Актив	Ранг риска
Уничтожение документов и других носителей	Данные контрагентов	Высокий
Данные по продажам	Высокий
Персональные данные сотрудников	Высокий
Данные по продукции	Высокий
Несанкционированное обращение к данным	Данные контрагентов	Высокий
Данные по продажам	Высокий
Персональные данные сотрудников	Высокий
Данные по продукции	Высокий
Недостаточное обслуживание компьютерной техники	Данные контрагентов	Высокий
Данные по продажам	Высокий
Персональные данные сотрудников	Высокий
Данные по продукции	Высокий
Программное обеспечение	Высокий
Сервера	Высокий
1С: Предприятие	Высокий
SAP WMS	Высокий
Компьютеры	Высокий

Таким образом, основываясь на результатах проведенного анализа рисков угроз, можно сделать вывод, что в первую очередь необходимо повысить защиту информации от вирусных и хакерских атак, т.е. модернизировать существующую антивирусную защиту на предприятии. Уже в дальнейшем рекомендуется организации повысить и физическую безопасность активов организации.

В данном разделе необходимо представить схему общей организационно-функциональной структуры предприятия, которая бы отражала содержание аппарата управления и объекта управления на предприятии, основные административные и функциональные подразделения предприятия. Схема должна носить целостный характер.

Ворганизационной структуре должна соблюдаться логичность представления должностей и подразделений. Например, на втором уровне подчиненности указываются либо должности руководителей, либо названия подразделений.

Рис.1 Организационно-функциональная структура предприятия

1.2. Анализ рисков информационной безопасности.

Положения действующей нормативной базы в области информационной безопасности (международные стандарты, ГОСТы) требует от организации идентификации и принятия систематического метода и подхода к оценке рисков, гдериск – комбинация вероятности события и его последствий. (другими словами, риск – это математической ожидание ущерба информационным активам компании).

Тем не менее, результат оценивания риска может быть представлен как в форме количественного показателя (тыс. рублей), так и виде качественного: приемлемый риск или неприемлемый риск

Важно, чтобы управление рисками информационной безопасности осуществлялось четко и последовательно во всей организации.

Однако для управления рисками могут применяться различные подходы к оценке и управлению риском, а также различные степени детализации, отвечающие потребностям организации.

Какой из подходов к оценке рисков следует выбрать, целиком определяется организацией.

Какое бы решение не приняла организация, важно, чтобы этот подход к управлению рисками был подходящим и соответствовал всем требованиям организации.

Перед непосредственным п.п.1.2.1.- 1.2.5.выполнением пунктов данного раздела следует дать обоснование необходимости анализа рисков для организации и указать:

кто принимает решение о проведении анализа рисков?

кто проводит анализ рисков, с какой периодичностью?

в какой форме представлена оценка рисков?

если данный анализ не проводится, то по каким причинам?

1.2.1. Идентификация и оценка информационных активов

Информационный актив является компонентом или частью общей системы, в которую организация напрямую вкладывает средства, и который, соответственно, требует защиты со стороны организации. При идентификации активов следует иметь в виду, что всякая система информационных технологий включает в себя не только информацию – сведения, данные, независимо от формы их представления, но и аппаратные средства, программное обеспечение и т.д. Могут существовать следующие типы активов:

информация/данные (например, файлы, содержащие информацию о платежах или продукте);

аппаратные средства (например, компьютеры, принтеры);

программное обеспечение, включая прикладные программы (например, программы обработки текстов, программы целевого назначения);

оборудование для обеспечения связи (например, телефоны, медные и оптоволоконные кабели);

программно-аппаратные средства (например, гибкие магнитные диски, CD-ROM, программируемые ROM);

документы (например, контракты);

фонды (например, в банковских автоматах);

продукция организации;

услуги (например, информационные, вычислительные услуги);

конфиденциальность и доверие при оказании услуг (например, услуг по совершению платежей);

Оборудование, обеспечивающее необходимые условия работы;

Персонал организации;

Престиж (имидж) организации.

В данном пункте необходимо определить состав и, по возможности, содержание информации, циркулирующей на предприятии и подлежащей обязательной защите. После чего провести ранжирование активов по степени их важности для компании. Поскольку защита информации – это деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то результаты анализа должны быть сформулированы в терминах доступности, целостности и конфиденциальности.

Например, если организация занимается продажами, то во главу угла ставится актуальность информации о предоставляемых услугах и ценах, а также ее доступность максимальному числу потенциальных покупателей. Для организации, отвечающей за поддержание критически важных баз данных, на первом плане должна стоятьцелостность данных. Режимная организация в первую очередь будет заботиться оконфиденциальности информации, то есть о ее защите от несанкционированного доступа.

Результат ранжирования информационных активов, должен соответствовать сформулированной во введении цели дипломного проектирования. Так, например, недопустимо при выборе темы, связанной с криптографической защиты данных, отдавать приоритет информации, зафиксированной в бумажной форме, либо, если тематика предусматривает защиту какого-либо конкретного актива (персональных данных), присваивать данному активу низший приоритет по сравнению с другими активами, подлежащими оценке.

Пункт должен содержать:

а) обоснование выбора активов, подлежащих оценке, т.е. необходимо аргументировать, почему обязательной защите должны подлежать именно указанные активы.

б) перечень видов деятельности организации (определенных в п.1.1.1), а такженаименование и краткое описание используемых (создаваемых) информационных активов для каждого вида,форму представления актива (бумажный документ, информация на электронном носителе, материальный объект);

в) перечень владельцев активов , определенных в п.п(б). Термин «владелец» обозначает лицо или субъект, наделенный утвержденной руководством ответственностью за осуществление контроля производства, разработки, сопровождения, использования и безопасности активов. Следовательно, формирование данного перечня должно осуществляться на основе информации, изложенной в п.1.1.2.;

г) результаты оценки активов. При проведении оценки следует руководствоваться приведенными ниже рекомендациями.

Ценность, определенная для каждого актива, должна выражаться способом, наилучшим образом соответствующим данному активу и юридическому лицу, ведущему деловую деятельность.

Ответственность за определение ценности активов должны нести их владельцы.

Для обеспечения полного учета активов (рассматриваемых в дипломной работе) рекомендуется сгруппировать их по типам, например, информационные активы, активы программного обеспечения, физические активы и услуги.

Необходимо определить критерии определения конкретной стоимости активов. Критерии, используемые в качестве основы для оценки ценности каждого актива, должны выражаться в однозначных (недвусмысленных) терминах. Возможны следующие критерии определения ценности активов:

первоначальная стоимость актива,

стоимость его обновления или воссоздания.

ценность актива может также носить нематериальный характер, например, цена доброго имени или репутации компании.

Другой подход к оценке активов предполагает учет возможных затрат, вследствие

утраты конфиденциальности;

нарушения целостности;

утраты доступности.

Необходимо определить размерность оценки , которая должна быть произведена. Некоторые активы могут быть оценены в денежных единицах, в то время как другие активы могут оцениваться по качественной шкале.

Например, для количественной шкалы используется размерность тыс. рублей . Для качественной шкалы используются термины: "пренебрежимо малая", "очень малая", "малая", "средняя", "высокая", "очень высокая", "имеющая критическое значение".

Для одного и того же выбранного актива должны быть определены значения для обоих типов оценки.

Информация в подпункте (а) может быть представлена в произвольной тестовой форме. Желательно привести результаты внутреннего аудита информационной безопасности. При необходимости возможно использование статистических данных, полученных из внешних источников.

Информация по подпунктам б-г должна быть сведена в таблицу 2

Вид деятельности	Наименование актива	Форма представления	Владелец актива	Критерии определения стоимости	Размерность оценки
Вид деятельности	Наименование актива	Форма представления	Владелец актива	Критерии определения стоимости	Количественная оценка (ед.изм)	Качественная
Информационные активы


Активы программного обеспечения


Физические активы

Таблица 2

Оценка информационных активов предприятия

В зависимости от постановки задачи некоторые разделы таблицы могут не заполняться

д) перечень информационных активов, обязательное ограничение доступа, к которым регламентируется действующим законодательством РФ, сведенных в таблицу 3.

Таблица 3

Перечень

сведений конфиденциального характера ООО «Информ-Альянс»

№ п/п	Наименование сведений	Гриф конфиденциальности	Нормативный документ, реквизиты, №№ статей
	Сведения, раскрывающие характеристики средств защиты информации ЛВС предприятия от несанкционированного доступа.
	Требования по обеспечению сохранения служебной тайны сотрудниками предприятия.		Гражданский кодекс РФ ст.ХХ
	Персональные данные сотрудников		Федеральный закон ХХ-ФЗ

е) результат ранжирования активов. Результат ранжирования должен представлять собой интегрированную оценку степени важности актива для предприятия, взятую по пятибалльной шкале и внесенную в таблицу 4.

Именно активы, имеющие наибольшую ценность (ранг) должны в последующем рассматриваться в качестве объекта защиты. Количество таких активов, как правило, зависит от направления деятельности предприятия, но в дипломной работе целесообразно рассматривать 5-9 активов.

Таблица 4

Результаты ранжирования активов

Наименование актива	Ценность актива (ранг)
Информационный актив №1
Физический актив № 3

Информационный актив №3
Актив программного обеспечения №2
Физический актив №4

Активы, имеющие наибольшую ценность:

На данном этапе мы должны идентифицировать информационные активы, входящие в область оценки.

1) Определить ценность этих активов

2) Определить перечень угроз и вероятность их реализации

3) Произвести оценивание и ранжирование рисков

Информационный актив – это любая информация, независимо от вида её представления, имеющая ценность для организации и находящаяся в её распоряжении.

Типы активов ООО «Торговый Дом ЛФЗ»:

· Информация (база данных бухгалтерии – содержит информацию обо всех сотрудниках компании, финансовых операциях которые происходят как внутри, так и вне компании, а так же информацию о проведенных транзакциях и их статусе)

· Документы (договора, контракты, служебные записки)

· Программное обеспечение, включая прикладные программы

· Аппаратные средства (персональные компьютеры – необходимые для работы сотрудников). Сервер баз данных, телефоны, медные и оптоволоконные кабели, коммутаторы, принтеры, почтовый сервер.

ООО «Торговый Дом ЛФЗ» - является коммерческой организацией основной ее целью является получение прибыли за счет предоставляемых ею услуг.

Основными рыночными функциями является реализация продукции Петербургского завода «Императорский Фарфоровый Завод» на Московском рынке.

Данные по оценке информационных активов сведена в таблицу 1.2.1.1. Результаты ранжирования активов представлены в таблице 1.2.1.3.

Таблица 1.2.1.1

Оценка информационных активов ООО «Торговый Дом ЛФЗ».

Наименование актива	Форма представления	Владелец актива		Размерность оценки
	Качественная
Информационные активы
База данных бухгалтерии	Электронная	Бухгалтерия	Степень важности	-
База данных поставщиков	Электронная	Директор	Степень важности	-	Имеющая критическое значение
	Электронная	Кадровый отдел	Степень важности	-	Высокая
Штатное расписание и кадровый учет	Бумажный документ, электронный документ	Кадровый отдел	стоимость обновления или воссоздания	-	критически высокая

Продолжение Таблицы 1.2.1.1

Наименование актива	Форма представления	Владелец актива	Критерии определения стоимости	Размерность оценки
Количественная оценка (ед.изм.)	Качественная
Активы аппаратных средств
Принтеры	Материальный объект	IT-отдел	Первоначальная стоимость	-	Малая
Оборудование для обеспечения связи	Материальный объект	IT-отдел	Первоначальная стоимость	-	Средняя
Сервер баз данных	Материальный объект	IT-отдел	Первоначальная стоимость	-	Имеющая критическое значение
Почтовый сервер	Материальный объект	IT-отдел	Первоначальная стоимость	-	Имеющая критическое значение
Персональный компьютер	Материальный объект	Консультанты, товароведы, администрация.	Первоначальная стоимость	-	Средняя
База данных заказав (MySQL)	Материальный объект	IT-отдел	Первоначальная стоимость		Высокая

Продолжение Таблицы 1.2.1.1

Наименование актива	Форма представления	Владелец актива	Критерии определения стоимости	Размерность оценки
Количественная оценка (ед.изм.)	Качественная
Активы программного обеспечения
Учетная Система	Электронная		Обновление и воссоздание	-	Высокое
Программы целевого назначения	Электронная	Дирекция программного сопровождения и разработки	Обновление и воссоздание	-	Высокое
Windows 7 Ultimate	Электронная	Дирекция технического сопровождения	Первоначальная стоимость	-	Малая
MS Office 2010	Электронная	Дирекция технического сопровождения	Первоначальная стоимость	-	Малая

Результат ранжирования представляет собой интегрированную оценку степени важности актива для предприятия, взятую по пятибалльной шкале (Таблица 1.2.1.1). Самый ценный информационный актив имеет ранг 5, наименее ценный – ранг 1.

Активы, имеющие наибольшую ценность (ранг) в последующем рассматриваются в качестве объекта защиты. Количество таких активов, как правило, зависит от направления деятельности предприятия. В рамках поставленной задачи разработки политики безопасности по защите персональных данных выделим наиболее ценные информационные активы (имеющие максимальный ранг).

Таблица 1.2.1.3

Результаты ранжирования активов ООО «Торговый Дом ЛФЗ»

По результатам ранжирования (Таблица1.2.1.3) выделим активы, имеющие наибольшую ценность (имеющие ранг 5 и 4):

1. База данных бухгалтерии;

2. Почтовый сервер;

3. База данных поставщиков;

4. Сервер баз данных;

5. Персональные данные о сотрудниках;

6. Оборудование для обеспечения связи;

7. Учетная Система;

Перечень информационных активов, обязательное ограничение доступа, к которым регламентируется действующим законодательством РФ, представлены в таблице 1.2.1.2.

Таблица 1.2.1.2

Перечень сведений конфиденциального характера ООО «Торговый Дом ЛФЗ»

№ п/п	Наименование сведений	Гриф конфиденциальности	Нормативный документ, реквизиты, №№ статей
1.	Сведения, раскрывающие характеристики средств защиты информации ЛВС предприятия от несанкционированного доступа		–
2.	Требования по обеспечению сохранения служебной тайны сотрудниками предприятия	Информация ограниченного доступа	ст. 139, 857 ГК РФ
3.	Персональные данные сотрудников	Информация ограниченного доступа; подлежат разглашению с согласия сотрудника	Федеральный закон №152-ФЗ; Глава 14 Трудового кодекса РФ
4.	Научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам).	подлежит разглашению только по решению предприятия	Федеральный закон Российской Федерации от 29 июля 2004 г. N 98-ФЗ О коммерческой тайне

Оценка уязвимостей активов.

Уязвимость информационных активов - тот или иной недостаток, из-за которого становится возможным нежелательное воздействие на актив со стороны злоумышленников, неквалифицированного персонала или вредоносного кода (например, вирусов или программ-шпионов).

Уязвимость – есть событие, возникающее как результат такого стечения обстоятельств, когда в силу каких-то причин используемые в защищаемых системах обработки данных средства защиты не в состоянии оказать достаточного противодействия проявлению дестабилизирующих факторам и нежелательного их воздействия на защищаемую информацию.

В компьютерной безопасности, термин уязвимость используется для обозначения недостатка в системе, используя который, можно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых, а также SQL-инъекций. Некоторые уязвимости известны только теоретически, другие же активно используются и имеют известные эксплойты.

Уязвимости информационной системы компании можно определить несколькими способами. Их может описать сотрудник компании (системный администратор или специалист службы информационной безопасности) на основании собственного опыта (возможно, в качестве подсказки для наиболее полного описания множества уязвимостей информационной системы используя классификации уязвимостей). Кроме того, могут быть приглашены сторонние специалисты для проведения технологического аудита информационной системы и выявления ее уязвимостей.

Основанием для проведения оценки уязвимости является оценка критичности информационных активов и определения адекватности предпринимаемых мер безопасности по отношению к их значимости.

Показателями уязвимости актива и его особо важных зон являются степень уязвимости в порядковой шкале оценок (пример степеней: высокая, средняя, низкая).

После проведения оценки уязвимости предоставляется отчет, который должен в себя включать описание уязвимостей и уязвимых систем. Уязвимости должны быть отсортированы сначала по степени важности, а затем по серверам/сервисам. Уязвимости должны быть расположены в начале отчёта и расставлены в порядке убывания критичности, то есть сначала критические уязвимости, затем с высоким уровнем важности, потом со средним и низким.

Результаты оценки уязвимости активов представлены в таблице 3 .

	Персональные данные о сотрудниках	Кадровый учет	Персональные компьютеры	Сервера баз данных	Почтовый сервер		Учетная Система	Windows 7
1. Среда и инфраструктура
Отсутствие физической защиты зданий, дверей и окон	Средняя	Средняя		Средняя	Средняя
Нестабильная работа электросети			Средняя	Низкая	Низкая	Низкая
2. Аппаратное обеспечение
Отсутствие схем периодической замены			Средняя	Средняя	Средняя	Средняя
Подверженности воздействию влаги, пыли, загрязнения			Высокая	Высокая	Высокая	Средняя
Отсутствие контроля за эффективным изменением конфигурации			Средняя	Низкая	Низкая
3. Программное обеспечение
Отсутствие тестирования или недостаточное тестирование программного обеспечения							Высокая	Высокая
Сложный пользовательский интерфейс							Средняя	Средняя
Плохое управление паролями			Среднее	Среднее	Среднее		Высокая	Высокая

Группа уязвимостей Содержание уязвимости	Персональные данные о сотрудниках	Кадровый учет	Персональные компьютеры	Сервера баз данных	Почтовый сервер	Коммуникационное оборудование	Учетная Система	Windows 7
4. Коммуникации
			Средняя	Низкая	Средняя		Высокая	Высокая
			Средняя	Средняя	Средняя		Средняя	Средняя
Отсутствие идентификации и аутентификации отправителя и получателя			Средняя	Низкая	Средняя		Высокая	Высокая
5. Документы (документооборот)
Хранение в незащищенных местах	Среднее	Среднее
Бесконтрольное копирование	Высокая	Среднее
7. Общие уязвимые места
Отказ системы вследствие отказа одного из элементов				Средняя	Средняя		Высокая
Неадекватные результаты проведения технического обслуживания			Средняя	Низкая	Низкая	Средняя

Группа уязвимостей Содержание уязвимости	Персональные данные о сотрудниках	Кадровый учет	Персональные компьютеры	Сервера баз данных	Почтовый сервер	Коммуникационное оборудование	Учетная Система	Windows 7
4. Коммуникации
Отсутствие идентификации и аутентификации отправителя и получателя			Средняя	Низкая	Средняя		Высокая	Высокая
Незащищенные подключения к сетям общего пользования			Средняя	Средняя	Средняя		Средняя	Средняя
Отсутствие идентификации и аутентификации отправителя и получателя			Средняя	Низкая	Средняя		Высокая	Высокая

Оценка угроз активам.

В конечном итоге противоправные действия с информацией приводят к нарушению ее конфиденциальности, полноты, достоверности и доступности, что в свою очередь приводит к нарушению, как режима управления, так и его качества в условиях ложной или неполной информации. На рисунке 2 представлены основные виды угроз.

Рисунок 2. Основные виды угроз информационной безопасности.

Исходные данные для оценки угроз следует получать от владельцев или пользователей активов, служащих отделов кадров, специалистов по разработке оборудования и информационным технологиям, а также лиц, отвечающих за реализацию защитных мер в организации. Другие организации, например, федеральное правительство и местные органы власти, также могут оказать помощь при проведении оценки угроз, например, предоставить необходимые статистические данные.

Ниже приведены некоторые наиболее часто встречающиеся варианты угроз:

Ошибки и упущения;
- мошенничество и кража;
- случаи вредительства со стороны персонала;
- ухудшение состояния материальной части и инфраструктуры;
- программное обеспечение хакеров, например имитация действий законного пользователя;

Программное обеспечение, нарушающее нормальную работу системы;

Промышленный шпионаж.

При использовании материалов каталогов угроз или результатов ранее проводившихся оценок угроз следует иметь в виду, что угрозы постоянно меняются, особенно в случае смены организацией деловой направленности или информационных технологий. Например, компьютерные вирусы 90-х годов представляют гораздо более серьезную угрозу, чем компьютерные вирусы 80-х. Нужно также отметить, что следствием внедрения таких мер защиты, как антивирусные программы, вероятно, является постоянное появление новых вирусов, не поддающихся воздействию действующих антивирусных программ.

После идентификации источника угроз (кто и что является причиной угрозы) и объекта угрозы (какой из элементов системы может подвергнуться воздействию угрозы) необходимо оценить вероятность реализации угрозы.

При этом следует учитывать:
- частоту появления угрозы (как часто она может возникать согласно статистическим, опытным и другим данным), если имеются соответствующие статистические и другие материалы;
- мотивацию, возможности и ресурсы, необходимые потенциальному нарушителю и, возможно, имеющиеся в его распоряжении; степень привлекательности и уязвимости активов системы информационных технологий с точки зрения возможного нарушителя и источника умышленной угрозы;
- географические факторы - такие как наличие поблизости химических или нефтеперерабатывающих предприятий, возможность возникновения экстремальных погодных условий, а также факторов, которые могут вызвать ошибки у персонала, выход из строя оборудования и послужить причиной реализации случайной угрозы.

Классификация возможностей реализации угроз (атак), представляет собой совокупность возможных вариантов действий источника угроз определенными методами реализации с использованием уязвимостей, которые приводят к реализации целей атаки. Цель атаки может не совпадать с целью реализации угроз и может быть направлена на получение промежуточного результата, необходимого для достижения в дальнейшем реализации угрозы. В случае такого несовпадения атака рассматривается как этап подготовки к совершению действий, направленных на реализацию угрозы, т.е. как «подготовка к совершению» противоправного действия. Результатом атаки являются последствия, которые являются реализацией угрозы и/или способствуют такой реализации.

Результаты оценки угроз активам представлена в таблице 4.

Группа уязвимостей Содержание уязвимости	Персональные данные о сотрудниках	Кадровый учет	Персональные компьютеры	Сервера баз данных	Почтовый сервер	Коммуникационное оборудование	Учетная Система	Windows 7
1. Угрозы, обусловленные преднамеренными действиями
Похищение информации	Средняя	Средняя					Средняя
Вредоносное программное обеспечение			Высокая	Средняя	Средняя			Средняя
Взлом системы			Средняя	Средняя	Высокая			Средняя
2. Угрозы, обусловленные случайными действиями
Ошибки пользователей	Средняя	Средняя					Средняя
Программные сбои			Средняя				Средняя	Средняя
Неисправность в системе кондиционирова ния воздуха			Низкая	Низкая	Низкая
3. Угрозы, обусловленные естественными причинами (природные, техногенные факторы)
Колебания напряжения			Средняя	Низкая	Низкая
Воздействие пыли			Высокая	Средняя	Средняя	Средняя
Пожар			Высокая	Низкая	Низкая	Средняя

1.2.4 Оценка существующих и планируемых средств защиты.

Под защитой информации– понимают комплекс организационных, правовых и технических мер по предотвращению угроз информационной безопасности и устранению их последствий.

Организация защиты информации в организации – это один из важнейших моментов, который ни в коем случае нельзя упускать из вида. Последствия будут очень серьезными, если произойдет утрата баз данных, результатов аналитических исследований, исходных кодов, программных продуктов. При плохой организации защиты информации это возможно, что приведет к достаточно проблематичному дальнейшему ведению бизнеса, а в определенных случаях невозможным вообще.

Задачи по защите информации возлагаются на службу информационных технологий.

Организационная структура службы информационных технологий:

1. Структуру и штаты Службы информационных технологий, а также их изменения утверждает Генеральный директор по представлению заместителя генерального директора по информационным технологиям.

2. Служба состоит из одного подразделения, возглавляемого заместителем генерального директора по информационным технологиям.

Функции службы информационных технологий:

1. Анализ и изучение проблем обслуживания автоматизированных систем управления Компанией и ее подразделений;

2. Контроль состояния и безопасности сети и сетевого оборудования;

3. Назначение пользователям сети прав доступа;

4. Обеспечение бесперебойного функционирования системы и оборудования и принятие оперативных мер по устранению возникающих в процессе работы нарушений;

5. Установка, настройка и управление программными и аппаратными системами Организации;

6. Подготовка планов проектирования и внедрения автоматизированных систем управления Компанией и контроль за их выполнением;

7. Согласование технических заданий на разработку и внедрения нового программного обеспечения в отрасли на предмет обеспечения сетевого и системного взаимодействия;

8. Поддержка Internet-технологий в отрасли, обеспечение доступа к Internet-услугам;

9. Обеспечение правильности переноса исходных данных на машинные носители;

10. Проводит мониторинг развития и использования информационно-коммуникационных технологий и подготавливает по его результатам аналитические и отчетные материалы;

11. Сопровождение системного, сетевого и сопутствующего программного обеспечения.