6. Модель загроз для інформації в ІТС

• 
  перелік можливих типів загроз, класифікований за результатом впливу на інформацію, тобто на порушення яких її властивостей вони спрямовані (конфіденційності, цілісності або доступності інформації);
  
• 
  перелік можливих способів реалізації загроз певного типу (способів атак) відносно різних інформаційних об’єктів ІТС у різному стані класифікований, наприклад, за такими ознаками, як компонент обчислювальної системи ІТС або програмний засіб, уразливості яких експлуатуються порушником, причини виникнення відповідної уразливості тощо.
  

• 
  зміна умов фізичного середовища (стихійні лиха і аварії, як землетрус, повінь, пожежа або інші випадкові події);
  
• 
  збої та відмови у роботі технічних або програмних засобів (далі - ПЗ) ІТС;
  
• 
  наслідки помилок під час проектування та розробки компонентів ІТС (технічних засобів, технології обробки інформації, ПЗ, засобів захисту, структур даних тощо);
  
• 
  помилки персоналу (користувачів) ІТС під час експлуатації;
  
• 
  навмисні дії (спроби) потенційних порушників.
  

• 
  дії, що призводять до відмови ІТС (окремих компонентів), руйнування апаратних, програмних, інформаційних ресурсів (обладнання, каналів зв’язку, видалення даних, програм тощо);
  
• 
  ненавмисне пошкодження носіїв інформації;
  
• 
  неправомірна зміна режимів роботи ІТС (окремих компонентів, обладнання, ПЗ тощо), ініціювання тестуючих або технологічних процесів, які здатні призвести до незворотних змін у системі (наприклад, форматування носіїв інформації);
  
• 
  неумисне зараження ПЗ комп’ютерними вірусами;
  
• 
  невиконання вимог до організаційних заходів захисту чинних в ІТС розпорядчих документів;
  
• 
  помилки під час введення даних в систему, виведення даних за невірними адресами пристроїв, внутрішніх і зовнішніх абонентів тощо;
  
• 
  будь-які дії, що можуть призвести до розголошення конфіденційних відомостей, атрибутів розмежування доступу, втрати атрибутів тощо;
  
• 
  неправомірне впровадження та використання заборонених політикою безпеки ПЗ (наприклад, навчальні та ігрові програми, системне і прикладне забезпечення тощо);
  
• 
  наслідки некомпетентного застосування засобів захисту тощо.
  

• 
  порушення фізичної цілісності ІТС (окремих компонентів, пристроїв, обладнання, носіїв інформації);
  
• 
  порушення режимів функціонування (виведення з ладу) систем життєзабезпечення ІТС (електроживлення, заземлення, охоронної сигналізації, кондиціонування тощо.);
  
• 
  порушення режимів функціонування ІТС (обладнання і ПЗ);
  
• 
  впровадження та використання комп’ютерних вірусів, закладних (апаратних і програмних) і підслуховуючих пристроїв, інших засобів розвідки;
  
• 
  використання (шантаж, підкуп тощо) з корисливою метою персоналу ІТС;
  
• 
  крадіжки носіїв інформації, виробничих відходів (роздруків, записів, тощо);
  
• 
  несанкціоноване копіювання носіїв інформації;
  
• 
  читання залишкової інформації з оперативної пам’яті ЕОТ, зовнішніх накопичувачів;
  
• 
  одержання атрибутів доступу з наступним їх використанням для маскування під зареєстрованого користувача;
  
• 
  неправомірне підключення до каналів зв’язку, перехоплення даних, що передаються, аналіз трафіку тощо;
  
• 
  впровадження та використання забороненого політикою безпеки ПЗ або несанкціоноване використання ПЗ, за допомогою якого можна одержати доступ до критичної інформації (наприклад, аналізаторів безпеки мереж);
  
• 
  інші.
  

• 
  шляхом підключення до апаратури та ліній зв’язку,
  
• 
  маскування під зареєстрованого користувача,
  
• 
  подолання заходів захисту з метою використання інформації або нав’язування хибної інформації,
  
• 
  застосування закладних пристроїв чи програм, впровадження шкідливих кодів і вірусів.
  

Останні кроки 1-го етапу «Формування вимог до КСЗІ в ІТС» складаються з таких робіт:

• 
  забезпечення необхідних властивостей інформації (конфіденційності, цілісності, доступності) під час створення та експлуатації ІТС;
  
• 
  своєчасне виявлення та ліквідація загроз для ресурсів ІТС, причин та умов, які спричиняють (можуть привести до) порушення її функціонування та розвитку;
  
• 
  створення механізму та умов оперативного реагування на загрози для безпеки інформації, інші прояви негативних тенденцій у функціонуванні ІТС;
  
• 
  ефективне попередження загроз для ресурсів ІТС шляхом комплексного впровадження правових, морально-етичних, фізичних, організаційних, технічних та інших заходів забезпечення безпеки;
  
• 
  керування засобами захисту інформації, керування доступом користувачів до ресурсів ІТС, контроль за їхньою роботою з боку персоналу СЗІ, оперативне сповіщення про спроби НСД до ресурсів ІТС;
  
• 
  реєстрація, збір, зберігання, обробка даних про всі події в системі, які мають відношення до безпеки інформації;
  
• 
  створення умов для максимально можливого відшкодування та локалізації збитків, що завдаються неправомірними (несанкціонованими) діями фізичних та юридичних осіб, впливом зовнішнього середовища та іншими чинниками, зменшення негативного впливу наслідків порушення безпеки на функціонування ІТС.
  

• 
  правових засад;
  
• 
  вимог безпеки інформації;
  
• 
  загроз для інформації.
  

• 
  мета і пріоритети, яких необхідно дотримуватись в ІТС під час забезпечення безпеки інформації;
  
• 
  загальні напрями діяльності, необхідні для досягнення цієї мети;
  
• 
  аспекти діяльності у галузі безпеки інформації, які повинні вирішуватися на рівні організації в цілому;
  
• 
  відповідальність посадових осіб та інших суб’єктів взаємовідносин в ІТС, їхні права і обов'язки щодо реалізації завдань безпеки інформації.
  

• 
  правовому;
  
• 
  організаційному;
  
• 
  технічному.
  

• 
  підтримка керівництвом організації заходів з безпеки інформації в ІТС, визначення відповідальності посадових осіб, організаційної структури, комплектування і розподіл обов'язків співробітників СЗІ;
  
• 
  розробка політики безпеки, плану захисту та іншої документації згідно вимог нормативно-правових актів з безпеки інформації;
  
• 
  визначення процедури доведення до персоналу і користувачів ІТС основних положень політики безпеки інформації, їхнього навчання та підвищення кваліфікації з питань безпеки інформації;
  
• 
  система контролю за своєчасністю, ефективністю і повнотою реалізації в ІТС рішень з безпеки інформації, дотриманням персоналом і користувачами положень політики безпеки.
  

• 
  застосування режимних заходів на об’єктах ІТС;
  
• 
  забезпечення фізичного захисту обладнання ІТС, носіїв інформації, інших ресурсів;
  
• 
  визначення порядку виконання робіт з безпеки інформації, взаємодії з цих питань з іншими суб’єктами системи ТЗІ в Україні;
  
• 
  регламентація доступу користувачів і персоналу до ресурсів ІТС;
  
• 
  організація навчання та підвищення кваліфікації персоналу і користувачів ІТС з питань безпеки інформації;
  
• 
  реалізація окремих положень політики безпеки, найбільш критичних з точки зору забезпечення захисту аспектів (наприклад, організація віддаленого доступу до ІТС, використання мереж передачі даних загального користування, зокрема Інтернет тощо).
  

• 
  інженерно-технічне обладнання приміщень, в яких розміщуються компоненти ІТС;
  
• 
  реєстрація санкціонованих користувачів ІТС, авторизація користувачів в системі;
  
• 
  керування доступом до інформації і механізмів, що реалізують послуги безпеки, включаючи вимоги до розподілу ролей користувачів і адміністраторів;
  
• 
  виявлення та реєстрація небезпечних подій з метою здійснення повсякденного контролю;
  
• 
  перевірка і забезпечення цілісності критичних даних на всіх стадіях їхньої обробки в ІТС;
  
• 
  забезпечення конфіденційності інформації, у тому числі використання криптографічних засобів;
  
• 
  резервне копіювання критичних даних, супроводження архівів даних і ПЗ;
  
• 
  відновлення роботи ІТС після збоїв, відмов, особливо для систем із підвищеними вимогами до доступності інформації;
  
• 
  захист ПЗ, окремих компонентів і ІТС в цілому від внесення несанкціонованих доповнень і змін;
  
• 
  забезпечення функціонування засобів контролю.