Разработка внутриобъектного и пропускного режимов на ОАО «ШинСтрой»

Можно предположить, что с развитием науки об информации, знании и интеллекте появятся технические устройства, которые смогут искать и осуществлять оценку ценности найденной информации для решения определенных задач владельца этого устройства. Но задача создания такого устройства весьма непроста. Решение этой задачи связано с непрерывным моделированием интеллектуальной деятельности человека, которая зависит как от его внутренних мотивов, так и от его внешней окружающей среды. Однако это не означает, что ценность информации нельзя измерять количественно. Например, ценность информации может выражаться для потребителя в определенном денежном эквиваленте, величина которого может формироваться рынком создания и потребления информации. Этот механизм работает весьма эффективно, и на его основе существуют целые отрасли создания и потребления информации (телевидение, печать, Интернет, ноу-хау и т.д.). Но в этом случае лучше использовать вместо термина ценность информации термин стоимость информации. Это можно объяснить тем, что информация может дорого стоить, но для конкретного человека она не обладает ценностью для решения его задач. В этом заключается определенная разница между терминами ценность и стоимость информации.

2.4. Риски угроз безопасности предприятия.

Теперь следует  определить риски угроз безопасности. И выделить наиболее критическую  информацию для преждевременной  защиты.

Таблица 2.1. Локальные угрозы и уязвимости.

Базовые угрозы	Локальные угрозы	Уязвимости
УБ 1 - конфиденциальности	УЛ 1.1.1 – разглашение конфиденциальной информации сотрудниками компании	УЯ 1.1.1.1 – отсутствие соглашений о  конфиденциальности
		УЯ 1.1.1.2 – распределение атрибутов  безопасности (ключи доступа, шифрования) между несколькими доверенными  сотрудниками
УБ 2 – целостности	УЛ 1.2.1 – неавторизованное проникновение  нарушителя внутрь охраняемого периметра (одного из параметров)	УЯ 1.2.1.1 – отсутствие регламента доступа  в помещения с ресурсами, содержащими ценную информацию
		УЯ 1.2.1.2 – отсутствие системы наблюдения (видеонаблюдение, сенсоры и т.д.) за объектами (или существующая система  наблюдения охватывает не все важные объекты)
	УЛ 1.2.2 – неавторизованная модификация  информации в системе электронной  почты, хранящейся на ресурсе	УЯ 1.2.2.1 – отсутствие авторизации  для внесения изменений в систему  электронной почты
		УЯ 1.2.2.2 – отсутствие регламента работы с системой криптографической защитой  электронной корреспонденции
УБ 3 - доступности	УЛ 1.3.1 – количественная недостаточность  оборудования	УЯ 1.3.1.1 – возникновение пиковых  нагрузок, превышающих возможности  аппаратуры
		УЯ 1.3.1.2 – отсутствие резервного оборудования
	УЛ 1.3.2 – отказы обеспечивающих подсистем	УЯ 1.3.2.1 – отключение электроэнергии
		УЯ 1.3.2.2 – выход из строя кондиционера в аппаратном помещении

 

2. Интегральная оценка  ущерба или критичности ресурсов  и информации осуществляется  на основе системы критериев,  количественно описывающих возможные  экономические последствия от  реализации базовых угроз: конфиденциальности, целостности и доступности (табл. 1.4).

Состав косвенных показателей, используемых при оценке критичности, зависит от типа ресурса и вида базовой угрозы. Он приведен в табл. 3.2. методического пособия.

Оценка критичности угроз  выполняется в следующей последовательности:

а) определяются оценки базовых  угроз в баллах в разрезе отдельных  элементов ИС по формуле

 

где - балльная оценка полезности (критичности) элемента S по критерию l (выбирается он основе прогнозирования уровня градации критерия применительно к данному элементу ИС, табл. 1.4);

l_а – набор критериев, характеризующих экономические последствия от реализации базовой угрозы α;

- значимость критерия  l для оценки потерь анализируемого объекта защиты (расчет выполнялся в задании 1);

б) определяется балльные оценки критичности ресурса в целом  с размещенной на нем информацией.

 

в) рассчитывается критичность  базовых угроз по формуле:

 

г) определяется критичность  локальных угроз по формуле:

 

где - доля влияния локальной угрозы j на реализацию базовой угрозы α в зависимости от количества локальных угроз и степени их воздействия на ресурс определяется методом попарного сравнения. Расчеты приведены в таблицах 3.2.,3.3.,3.4.

 

Таблица 3.2.Оценка критичности  базовых и локальных угроз (Рабочая  станция 1.1)

f	α	S	l
1	1	2	1	0,139	4	0,556	1,888	25	1.1.1	1	25
			2	0,8222	4	0,888
			3	0,083	4	0,332
			5	0,056	2	0,112
	2	1	6	0,028	6	0,168	1,28	18	1.2.1	0,7	12,6
			8	0,111	2	0,222
		2	7	0,028	4	0,112
			8	0,111	2	0,222			1.2.2	0,3	5,4
		3	7	0,028	4	0,112
			8	0,111	4	0,444
	3	1	9	0,194	8	1,552	4,268	57	1.3.1	0,43	24,51
		2	9	0,194	6	1,164			1.3.2	0,57	32,49
		3	9	0,194	8	1,552
							7,436

 

 

Таблица 3.3. Оценка критичности  базовых и локальных угроз (Сервер 2)

f	α	S	l
1	1	2	1	0,139	4	0,556	2,054	39,4	1.1.1	1	39,4
			2	0,222	4	0,888
			3	0,083	6	0,498
			5	0,056	2	0,112
	2	1	6	0,028	2	0,056	0,834	16	1.2.1	0,27	4,32
			8	0,111	2	0,222
		2	7	0,028	2	0,056
			8	0,111	2	0,222			1.2.2	0,73	11,68
		3	7	0,028	2	0,056
			8	0,111	2	0,222
	3	1	9	0,194	4	0,776	2,328	44,6	1.3.1	0,47	20,96
		2	9	0,194	4	0,776			1.3.2	0,53	23,64
		3	9	0,194	4	0,776
							5,216

 

Таблица 3.4.Оценка критичности  базовых и локальных угроз (Сервер 6)

f	α	S	l
1	1	2	1	0,139	2	0,278	1,776	23,5	1.1.1	1	23,5
			2	0,222	4	0,888
			3	0,083	6	0,498
			5	0,056	2	0,112
	2	1	6	0,028	2	0,056	2,278	0,2	1.2.1	0,61	18,42
			8	0,111	6	0,666
		2	7	0,028	4	0,112
			8	0,111	6	0,666			1.2.2	0,39	11,78
		3	7	0,028	4	0,112
			8	0,111	6	0,666
	3	1	9	0,194	6	1,164	3,492	46,3	1.3.1	0,38	17,59
		2	9	0,194	6	1,164			1.3.2	0,62	28,71
		3	9	0,194	6	1,164
							7,546

 

3. Рассчитывается значение риска по базовым угрозам и ресурсам в следующей последовательности:

а) уровень локальной угрозы j, направленной на ресурс f в разрезе базовой угрозы α, реализуемой через уязвимость k определяется по формуле:

 

где - вероятность реализации угрозы j через уязвимость k;

б) уровень угрозы по всем уязвимостям, через которые возможна реализация данной угрозы на ресурсе, определяется с учетом их совместного  влияния по формуле:

 

где n_j – количество уязвимостей, через которые реализуется угроза j;

в) определяется интегральное влияние всех локальных угроз  на базовую угрозу α по формуле:

 

где - количество локальных угроз, влияющих на базовую угрозу α.

г) определяется риск для  ресурса f базовой угрозы α по формуле:

 

где - критичность ресурса f по угрозе α, задается в рублях или уровнях.

В случае угрозы доступности (отказ в обслуживании) критичность  ресурса в год вычисляется  по следующей формуле:

 

где - критичность ресурса по угрозе доступность в год;

- критичность ресурса  по угрозе доступность в час;

- максимальное критичное  время простоя в год;

д) вычисляется интегральная оценка риска по формулам:

 

если критичность ресурса  задается в депстных единицах

 

Все расчеты сведены в  таблицы 3.5.,3.6.,3.7.

Таблица 3.5. Расчет значения риска по базовым угрозам и  ресурсам (Рабочая станция 1.1)

f
1	1.1	1.1.1	5	1.1.1.1	65	0,163	0,33	0,33	100	33	74%
				1.1.1.2	35	0,2
	1.2	1.2.1	12,6	1.2.1.1	55	0,057	0,14	0,202	100	20,2
				1.2.1.2	60	0,088
		1.2.2	5,4	1.2.2.1	55	0,046	0,072
				1.2.2.2	70	0,027
	1.3	1.3.1	24,51	1.3.1.1	30	0,074	0,244	0,52	280	145,6
				1.3.1.2	75	0,184
		1.3.2	32,49	1.3.2.1	70	0,227	0,365
				1.3.2.2	55	0,179