ГОСТ Р ИСО/МЭК 27005—2010
Окончание т аблицы
0
. 1
вид
Примеры уязвимостей
Примеры угроз
Организация
Отсутствие планов обеспечения непрерывности
бизнеса
Отказ оборудования
Отсутствие политики по использованию электрон
ной почты
Ошибка в использовании
Отсутствие процедур введения программного
обеспечения в операционные системы
Ошибка в использовании
Отсутствие записей вжурнале регистрации адми
нистратора и оператора
Ошибка в использовании
Отсутствие процедур для обработки секретной
информации
Ошибка в использовании
Отсутствие обязанностей по обеспечению инфор
мационной безопасности в должностных инструк
циях
Ошибка в использовании
Отсутствиеили недостаточные условия(касающи
еся информационной безопасности) в договорах со
служащими
Нелегальная обработка дан
ных
Отсутствие оговоренного дисциплинарного про
цесса в случае инцидента безопасности
Хищение оборудования
Отсутствие формальной политики по использо
ванию портативных компьютеров
Хищение оборудования
Отсутствие контроля над активами, находящими
ся за пределами организации
Хищение оборудования
Отсутствующая или неудовлетворительная поли
тика «чистого стола и пустого экрана»
Хищение носителей инфор
мации или документов
Отсутствие авторизации средств обработки ин
формации
Хищение носителей инфор
мации или документов
Отсутствие установленных механизмов монито
ринга нарушений безопасности
Хищение носителей инфор
мации или документов
Отсутствие регулярных проверок, проводимых
руководством
Неавторизованное исполь
зование оборудования
Отсутствие процедур сообщения о слабых местах
безопасности
Неавторизованное исполь
зование оборудования
Отсутствие процедур, обеспечивающихсоблюде
ние прав на интеллектуальную собственность
Использование контрафакт
ных или копированных про
граммных средств
D.2 Методы оценки технических уязвимостей
Профилактические методы, такие, как тестирование информационной системы, могут быть использованы
для эффективного выявления уязвимостей в зависимости от критичности системы информационных и телеком
муникационных технологий (ИКТ) и доступных ресурсов (например, выделенных фондов, доступной технологии,
лиц. имеющих опыт проведения тестирования). Методы тестирования включают:
- автоматизированные инструментальные средства поиска уязвимостей.
- тестирование и оценка безопасности:
- тестирование на проникновение;
- проверка кодов.
Автоматизированные инструментальные средства поиска уязвимостей используются для просмотра груп
пы хостов или сети на предмет наличия известных уязвимых сервисов (например, система разрешает использо
вание анонимного протокола передачи файлов, ретрансляцию отправленной почты). Следует, однако, отметить.
37