ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Конечным результатом данного этапа является составление перечня активов и их оценка с учетом
таких показателей, какраскрытие информации (сохранение конфиденциальности), изменениеданных (со
хранение целостности), невозможность доступа и разрушение информации (сокращениедоступности) и
стоимость замены.
9.3.4 Оценка угроз
Угроза (потенциальная возможность неблагоприятного воздействия) обладаетспособностью наносить
ущерб системе информационных технологий и ее активам. Еслиэта угроза реализуется, она может взаимо
действовать с системой и вызвать нежелательные инциденты, оказывающие неблагоприятное воздействие
на систему. В осново угроз может лежать как природный, таки человеческий фактор; они могут реализовы
ваться случайно или преднамеренно. Источники какслучайных, так и преднамеренных угроздолжны быть
идентифицированы, а вероятность их реализации — оценена. Важно не упустить из виду ни одной возмож
ной угрозы, так как в результате возможно нарушение функционирования или появление уязвимостей сис
темы обеспечения безопасности информационных технологий.
Исходные данные для оценки угроз следует получать от владельцев или пользователей активов,
служащих отделов кадров, специалистов по разработке оборудования и информационным технологиям, а
также лиц. отвечающих за реализацию защитных мер в организации. Другие организации, например
федеральное правительствои местные органы власти, также могут оказать помощь при проведении оценки
угроз, например предоставить необходимые статистическиеданные. Полезным может быть использование
перечня наиболее часто встречающихся угроз (примеры типичных видов угроз приведены в приложе
нии С).Также полезноиспользование каталогов угроз (наиболее соответствующих нуждам конкретной орга
низации или виду ее деловой деятельности), так как ни один перечень не может бытьдостаточно полным.
Ниже приведены некоторые наиболее частовстречающиеся варианты угроз;
- ошибки и упущения;
- мошенничество и кража;
- случаи вредительства со стороны персонала;
- ухудшение состояния материальной части и инфраструктуры;
- программное обеспечение хакеров, например имитациядействий законного пользователя;
- программное обеспечение, нарушающее нормальную работу системы;
- промышленный шпионаж.
При использовании материалов каталогов угроз или результатов ранее проводившихся оценок угроз
следует иметь в виду, что угрозы постоянно меняются, особенно в случае смены организацией деловой
направленности или информационных технологий. Например, компьютерные вирусы 90-х годов представ
ляют гораздо более серьезную угрозу, чем компьютерные вирусы 80-х. Нужно также отметить, что след
ствием внедрения таких мер защиты, как антивирусные программы, вероятно, является постоянное появ
ление новых вирусов, не поддающихся воздействию действующих антивирусных программ.
После идентификации источника угроз (кто и что является причиной угрозы) и объекта угрозы (какой
из элементов системы может подвертуться воздействию угрозы) необходимо оценить вероятность реали
зации угрозы. При этом следуетучитывать;
- частоту появления угрозы (как часто она может возникать согласно статистическим, опытным и
другим данным), если имеются соответствующие статистические и другие материалы;
- мотивацию, возможности и ресурсы, необходимые потенциальному нарушителю и, возможно,
имеющиеся в его распоряжении; степеньпривлекательности и уязвимости активов системы информацион
ных технологий с точки зрения возможного нарушителя и источника умышленной угрозы;
- географические факторы— такие какналичие поблизости химических или нефтеперерабатывающих
предприятий, возможность возникновения экстремальных погодных условий, а также факторов, которые
могут вызвать ошибки у персонала, выход из строя оборудования и послужить причиной реализации слу
чайной угрозы.
В зависимости от требуемой точности анализа может возникнуть необходимостьразделитьактивы на
отдельные компоненты и рассматриватьугрозы относительноэтих компонентов. Например, одним из таких
активов можно считать актив, обозначенный как «центральные серверы обслуживания данных», но если
эти серверы расположены в различных географических точках, то этот актив необходимо разделить на
«центральныйсервер 1» и «центральный сервер2». посколькудля серверов одни угрозы могут различать ся
по характеру опасности, а другие — по степени опасности. Таким образом актив, включающий в себя
программное обеспечение подобъединенным названием «прикладное программное обеспечение», затем
можно разбить надва или более элемента «прикладного программногообеспечения». Например, содержа-
Ь -1773
15