|  |
www.lawsforall.ru / Распоряжение
"Рекомендации в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности" РС БР ИББС-2.2-2009"
(приняты и введены в действие Распоряжением Банка России от 11.11.2009 № Р-1190)
Официальная публикация в СМИ:
"Вестник Банка России", № 71, 11.12.2009
------------------------------------------------------------------
--> примечание.
Начало действия документа - 01.01.2010.
------------------------------------------------------------------
РЕКОМЕНДАЦИИ
В ОБЛАСТИ СТАНДАРТИЗАЦИИ БАНКА РОССИИ
РС БР ИББС-2.2-2009
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ
БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ
МЕТОДИКА
ОЦЕНКИ РИСКОВ НАРУШЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Дата введения: 2010-01-01
Предисловие
1. ПРИНЯТЫ И ВВЕДЕНЫ в действие распоряжением Банка России от 11 ноября 2009 года № Р-1190.
2. ВВЕДЕНЫ ВПЕРВЫЕ.
Настоящие рекомендации в области стандартизации не могут быть полностью или частично воспроизведены, тиражированы и распространены в качестве официального издания без разрешения Банка России.
Введение
Действующим стандартом Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (далее - СТО БР ИББС-1.0) с целью создания и поддержания на должном уровне системы обеспечения информационной безопасности (СОИБ) организаций банковской системы (БС) Российской Федерации (РФ) определено требование проведения оценки рисков нарушения информационной безопасности (ИБ).
Настоящая методика устанавливает рекомендуемые способы и порядок проведения оценки рисков нарушения ИБ организации БС РФ, являющейся составной частью системы менеджмента ИБ (СМИБ) организации БС РФ.
Положения настоящей методики могут быть использованы для целей внутреннего контроля организаций БС РФ.
Периодичность проведения оценки рисков нарушения ИБ, в том числе с использованием положений настоящей методики, определяется организацией БС РФ самостоятельно.
1. Область применения
Настоящая методика распространяется на организации БС РФ, проводящие оценку рисков нарушения ИБ в рамках построения/совершенствования системы обеспечения информационной безопасности (СОИБ) в соответствии с требованиями СТО БР ИББС-1.0.
Настоящая методика рекомендована для применения путем использования устанавливаемых в ней положений при проведении оценки рисков нарушения ИБ и использовании результатов оценки рисков нарушения ИБ, а также путем включения ссылок на нее и (или) прямого использования содержащихся в ней положений во внутренних документах организации БС РФ.
В конкретной организации БС РФ для проведения оценки рисков нарушения ИБ могут использоваться иные методики. Результаты использования настоящей методики и иных методик оценки рисков нарушения ИБ имеют равное значение при построении СОИБ организации БС РФ.
2. Нормативные ссылки
В настоящей методике использованы нормативные ссылки на стандарт СТО БР ИББС-1.0.
3. Термины и определения
В настоящей методике применены термины по СТО БР ИББС-1.0, в том числе следующие термины (в алфавитном порядке) с соответствующими определениями:
3.1. Априорные защитные меры: защитные меры, эксплуатация которых сокращает качественно или количественно существующие уязвимости объектов защиты информационных активов, тем самым снижая вероятность реализации соответствующих угроз ИБ (например, средства защиты от несанкционированного доступа).
3.2. Апостериорные защитные меры: защитные меры, эксплуатация которых сокращает степень тяжести последствий нарушения свойств ИБ информационных активов (например, средства резервного копирования и восстановления информации).
3.3. Допустимый риск нарушения информационной безопасности: риск нарушения ИБ, предполагаемый ущерб от которого организация БС РФ в данное время и в данной ситуации готова принять.
3.4. Информационный актив: информация с реквизитами, позволяющими ее идентифицировать; имеющая ценность для организации БС РФ; находящаяся в распоряжении организации БС РФ и представленная на любом материальном носителе в пригодной для ее обработки, хранения или передачи форме.
3.5. Источник угрозы информационной безопасности; источник угрозы ИБ: объект или субъект, реализующий угрозы ИБ путем воздействия на объекты среды информационных активов организации БС РФ.
3.6. Модель угроз информационной безопасности; модель угроз ИБ: описание источников угроз ИБ; методов реализации угроз ИБ; объектов, пригодных для реализации угроз ИБ; уязвимостей, используемых источниками угроз ИБ; типов возможных потерь (например, нарушение доступности, целостности или конфиденциальности информационных активов); масштабов потенциального ущерба.
3.7. Обработка риска нарушения информационной безопасности: процесс выбора и осуществления защитных мер, снижающих риск нарушения ИБ, или мер по переносу, принятию или уходу от риска.
3.8. Объект среды информационного актива: материальный объект среды использования и (или) эксплуатации информационного актива (объект хранения, передачи, обработки, уничтожения и т.д.).
3.9. Остаточный риск нарушения информационной безопасности: риск, остающийся после обработки риска нарушения ИБ.
3.10. Оценка риска нарушения информационной безопасности: систематический и документированный процесс выявления, сбора, использования и анализа информации, позволяющей провести оценивание рисков нарушения ИБ, связанных с использованием информационных активов организации БС РФ на всех стадиях их жизненного цикла.
3.11. Риск: мера, учитывающая вероятность реализации угрозы и величину потерь (ущерба) от реализации этой угрозы.
3.12. Риск нарушения информационной безопасности; риск нарушения ИБ <*>: риск, связанный с угрозой ИБ.
--------------------------------
<*> Риски нарушения ИБ заключаются в возможности утраты свойств ИБ информационных активов в результате реализации угроз ИБ, вследствие чего организации БС РФ может быть нанесен ущерб.
3.13. Угроза информационной безопасности; угроза ИБ: угроза нарушения свойств ИБ - доступности, целостности или конфиденциальности информационных активов организации БС РФ.
3.14. Ущерб: утрата активов, повреждение (утрата свойств) активов и (или) инфраструктуры организации или другой вред активам и (или) инфраструктуре организации БС РФ, наступивший в результате реализации угроз ИБ через уязвимости ИБ.
4. Общий подход к оценке рисков нарушения ИБ
4.1. Информационные активы организации БС РФ рассматриваются в совокупности с соответствующими им объектами среды. При этом обеспечение свойств ИБ для информационных активов выражается в создании необходимой защиты соответствующих им объектов среды.
4.2. Угрозы ИБ реализуются их источниками (источниками угроз ИБ), которые могут воздействовать на объекты среды информационных активов организации БС РФ. В случае успешной реализации угрозы ИБ информационные активы теряют часть или все свойства ИБ.
4.3. Оценка рисков нарушения ИБ проводится для типов информационных активов (типов информации), входящих в предварительно определенную область оценки. Для оценки рисков нарушения ИБ предварительно определяются и документально оформляются:
- полный перечень типов информационных активов, входящих в область оценки;
- полный перечень типов объектов среды, соответствующих каждому из типов информационных активов области оценки;
- модель угроз ИБ, описывающую угрозы ИБ для всех выделенных в организации БС РФ типов объектов среды на всех уровнях иерархии информационной инфраструктуры организации БС РФ.
Формирование перечня источников угроз и моделей угроз рекомендуется проводить с учетом положений СТО БР ИББС-1.0, а также перечня основных источников угроз ИБ, приведенных в приложении 1.
4.4. Перечень типов информационных активов формируется на основе результатов выполнения в организации БС РФ классификации информационных активов. Состав перечня типов информационных активов (классификация информации) не должен противоречить нормам законодательства РФ, в том числе нормативных актов Банка России.
В качестве примера используется следующий перечень типов информационных активов в организации БС РФ:
- информация ограниченного доступа:
- информация, содержащая сведения, составляющие банковскую тайну:
- платежная информация (информация, предназначенная для проведения расчетных, кассовых и других банковских операций и учетных операций);
- информация, содержащая сведения, составляющие коммерческую тайну;
- персональные данные;
- управляющая информация платежных, информационных и телекоммуникационных систем (информация, используемая для технической настройки программно-аппаратных комплексов обработки, хранения и передачи информации);
- открытая (общедоступная) информация.
В конкретной организации БС РФ указанный перечень может быть изменен в соответствии с принятыми в ней подходами к классификации информационных активов и уровнем детализации типов информационных активов при проведении оценки рисков нарушения ИБ.
4.5. Формирование перечней типов объектов среды выполняется в соответствии с иерархией уровней информационной инфраструктуры организации БС РФ, определенной в СТО БР ИББС-1.0. В частности, указанные перечни могут содержать следующие типы объектов среды:
- линии связи и сети передачи данных;
- сетевые программные и аппаратные средства, в том числе сетевые серверы;
- файлы данных, базы данных, хранилища данных;
- носители информации, в том числе бумажные носители;
- прикладные и общесистемные программные средства;
- программно-технические компоненты автоматизированных систем;
- помещения, здания, сооружения;
- платежные и информационные технологические процессы.
4.6. Риск нарушения ИБ определяется на основании качественных оценок:
- степени возможности реализации угроз ИБ (далее - СВР угроз ИБ) выявленными и (или) предполагаемыми источниками угроз ИБ в результате их воздействия на объекты среды рассматриваемых типов информационных активов;
- степени тяжести последствий от потери свойств ИБ для рассматриваемых типов информационных активов (далее - СТП нарушения ИБ).
4.7. Оценка СВР угроз ИБ и СТП нарушения ИБ базируется на экспертной оценке, выполняемой сотрудниками службы ИБ организации БС РФ с привлечением сотрудников подразделений информатизации. Для оценки СТП нарушения ИБ дополнительно привлекаются сотрудники профильных подразделений, использующих рассматриваемые типы информационных активов. Взаимодействие сотрудников указанных подразделений осуществляется в рамках постоянно действующей или создаваемой на время проведения оценки рисков нарушения ИБ рабочей группы.
4.8. К экспертной оценке СВР угроз ИБ и СТП нарушения ИБ привлекаются сотрудники организации БС РФ, обладающие необходимыми знаниями, образованием и опытом работы.
4.8.1. Рекомендуется, чтобы эксперты, привлекаемые для оценки СВР угроз ИБ и СТП нарушения ИБ из числа сотрудников службы ИБ или подразделения информатизации организации БС РФ, имели:
знания законодательства РФ в области обеспечения информационной безопасности;
знания международных и национальных стандартов в области обеспечения информационной безопасности;
знания нормативных актов и предписаний регулирующих и надзорных органов в области обеспечения информационной безопасности;
знания внутренних документов организации БС РФ, регламентирующих деятельность в области обеспечения информационной безопасности;
знания о современных средствах вычислительной и телекоммуникационной техники, операционных системах, системах управления базами данных, а также о конкретных способах обеспечения информационной безопасности в них;
знания о возможных источниках угроз ИБ, способах реализации угроз ИБ, частоте реализации угроз ИБ в прошлом;
знания о способах обеспечения информационной безопасности в платежных, информационных и телекоммуникационных системах организации БС РФ;
понимание различных подходов к обеспечению информационной безопасности, знания защитных мер, свойственных им ограничений.
4.8.2. Рекомендуется, чтобы эксперты, привлекаемые для оценки СТП нарушения ИБ из числа сотрудников профильных подразделений, имели:
знания законодательства РФ в области своей профессиональной деятельности;
знания нормативных актов и предписаний регулирующих и надзорных органов в области своей профессиональной деятельности;
знания внутренних документов организации БС РФ, регламентирующих их профессиональную деятельность;
знания бизнес-процессов организации БС РФ, а также организации платежных и информационных технологических процессов в области своей профессиональной деятельности;
понимание степени влияния возможных инцидентов ИБ на функционирование бизнес-процессов организации БС РФ в области своей профессиональной деятельности;
знания о платежных, информационных и телекоммуникационных системах организации БС РФ в области своей профессиональной деятельности.
4.8.3. Рекомендуется, чтобы каждый эксперт, привлекаемый для оценки рисков нарушения ИБ, соответствовал следующим характеристикам:
имел высшее образование;
четырехлетний опыт постоянной работы в своей профессиональной области;
поддерживал и совершенствовал собственные знания;
имел способность идентифицировать в организации БС РФ людей, которые могут предоставить необходимую информацию;
обладал навыками делового и управленческого взаимодействия.
4.8.4. Если работники организации БС РФ не обладают необходимыми знаниями и опытом для оценки СВР угроз ИБ, рекомендуется привлекать консультантов или экспертов, которые не являются работниками организации БС РФ.
5. Процедуры оценки рисков нарушения ИБ
5.1. Исходными данными для оценки рисков нарушения ИБ является информация, определенная в п. 4.4 настоящей методики.
5.2. Для проведения оценки рисков нарушения ИБ выполняются следующие процедуры.
Процедура 1. Определение перечня типов информационных активов, для которых выполняются процедуры оценки рисков нарушения ИБ (далее - область оценки рисков нарушения ИБ).
Процедура 2. Определение перечня типов объектов среды, соответствующих каждому из типов информационных активов области оценки рисков нарушения ИБ.
Процедура 3. Определение источников угроз для каждого из типов объектов среды, определенных в рамках выполнения процедуры 2.
Процедура 4. Определение СВР угроз ИБ применительно к типам объектов среды, определенных в рамках выполнения процедуры 2.3.
Процедура 5. Определение СТП нарушения ИБ для типов информационных активов области оценки рисков нарушения ИБ.
Процедура 6. Оценка рисков нарушения ИБ.
5.3. Процедура 1. Область оценки рисков нарушения ИБ может быть определена как:
- перечень типов информационных активов организации БС РФ в целом;
- перечень типов информационных активов подразделения организации БС РФ;
- перечень типов информационных активов, соответствующих отдельным процессам деятельности организации БС РФ в целом или подразделения организации БС РФ.
5.3.1. Для каждого из типов информационных активов определяется перечень свойств ИБ, поддержание которых необходимо обеспечивать в рамках СОИБ организации БС РФ.
Основными свойствами ИБ в рамках настоящей методики являются:
- конфиденциальность;
- целостность;
- доступность.
При необходимости для конкретных типов информационных активов в организации БС РФ могут определяться другие (дополнительные) свойства ИБ.
5.3.2. Перечень типов информационных активов области оценки рисков нарушения ИБ и их свойства ИБ документально фиксируются, для чего рекомендуется использовать примерную форму, приведенную в приложении 2.
5.4. Процедура 2. Для каждого из выделенных в рамках выполнения процедуры 1 типов информационных активов составляется перечень типов объектов среды. При составлении данного перечня рассматриваемые типы объектов среды разделяются по уровням информационной инфраструктуры организации БС РФ.
Перечень типов объектов среды документально фиксируется, для чего рекомендуется использовать примерную форму, приведенную в приложении 3.
5.5. Процедура 3. Для каждого из определенных в рамках выполнения процедуры 2 типов объектов среды составляется перечень источников угроз, воздействие которых может привести к потере свойств ИБ соответствующих типов информационных активов. Типы объектов среды и выявляемые для них источники угроз должны соответствовать друг другу в рамках иерархии информационной инфраструктуры организации БС РФ.
Перечень источников угроз формируется на основе модели угроз организации БС РФ. При этом возможно расширение первоначального перечня источников угроз, зафиксированных в модели угроз организации БС РФ (или же его дополнительная структуризация путем составления новых моделей угроз для некоторых из выделенных типов объектов среды или отдельных объектов среды).
При формировании перечня источников угроз рекомендуется рассматривать возможные способы их воздействия на объекты среды, в результате чего возможна потеря свойств ИБ соответствующих типов информационных активов (способы реализации угроз ИБ). Степень детализации и порядок группировки для рассмотрения способов реализации угроз ИБ определяются организацией БС РФ.
5.5.1. Результаты выполнения процедуры 3 документально фиксируются, для чего рекомендуется использовать примерную форму документирования данных и результатов оценки СВР угроз ИБ, приведенную в приложении 4 (заполнению подлежат поля: "Тип информационного актива", "Тип объекта среды", "Источник угроз ИБ", "Свойства ИБ типа информационного актива", "Способ реализации угроз ИБ").
5.6. Процедура 4. Для выполнения оценки СВР угроз ИБ используются результаты выполнения процедур 1, 2, 3 настоящей методики и проводится анализ возможности потери каждого из свойств ИБ для каждого из типов информационных активов в результате воздействия на соответствующие им типы объектов среды выделенных источников угроз.
5.6.1. Основными факторами для оценки СВР угроз ИБ являются:
- информация соответствующих моделей угроз, в частности:
- данные о расположении источника угрозы относительно соответствующих типов объектов среды;
- информация о мотивации источника угрозы (для источников угроз антропогенного характера);
- предположения о квалификации и (или) ресурсах источника угрозы;
- статистические данные о частоте реализации угрозы ее источником в прошлом;
- информация о способах реализации угроз ИБ;
- информация о сложности обнаружения реализации угрозы рассматриваемым источником;
- данные о наличии у рассматриваемых типов объектов среды организационных, технических и прочих априорных защитных мер.
5.6.2. Для оценки СВР угроз ИБ используется следующая качественная шкала степеней:
- нереализуемая;
- минимальная;
- средняя;
- высокая;
- критическая.
При привлечении к оценке отдельных СВР угроз ИБ нескольких экспертов и получении разных экспертных оценок рекомендуется итоговую, обобщенную оценку СВР угроз ИБ принимать равной экспертной оценке, определяющей наибольшую СВР угрозы ИБ.
5.6.3. Данные, на основании которых проводится оценка СВР угроз ИБ, и ее результаты документируются, для чего рекомендуется использовать примерную форму документирования данных и результатов оценки СВР угроз ИБ, приведенную в приложении 4 (заполнению подлежат поля: "Используемые априорные защитные меры", "Прочие данные, определяющие СВР угроз ИБ", "Оценка СВР угроз ИБ").
5.7. Процедура 5. Для выполнения оценки СТП нарушения ИБ используются результаты выполнения процедур 1, 2, 3 настоящей методики и проводится анализ последствий потери каждого из свойств ИБ для каждого из типов информационных активов в результате воздействия на соответствующие им типы объектов среды выделенных источников угроз.
5.7.1. Основными факторами для оценки СТП нарушения ИБ являются:
- степень влияния на непрерывность деятельности организации БС РФ;
- степень влияния на деловую репутацию;
- объем финансовых и материальных потерь;
- объем финансовых и материальных затрат, необходимых для восстановления свойств ИБ для информационных активов рассматриваемого типа и ликвидации последствий нарушения ИБ;
- объем людских ресурсов, необходимых для восстановления свойств ИБ для информационных активов рассматриваемого типа и ликвидации последствий нарушения ИБ;
- объем временных затрат, необходимых для восстановления свойств ИБ для информационных активов рассматриваемого типа и ликвидации последствий нарушения ИБ;
- степень нарушения законодательных требований и (или) договорных обязательств организации БС РФ;
- степень нарушения требований регулирующих и контролирующих (надзорных) органов в области ИБ, а также требований нормативных актов Банка России;
- объем хранимой, передаваемой, обрабатываемой, уничтожаемой информации, соответствующей рассматриваемому типу объекта среды;
- данные о наличии у рассматриваемых типов объектов среды организационных, технических и прочих апостериорных защитных мер.
5.7.2. Для оценки СТП нарушения ИБ вследствие реализации угроз ИБ используется следующая качественная шкала степеней:
- минимальная;
- средняя;
- высокая;
- критическая.
При привлечении к оценке отдельных СТП нарушения ИБ нескольких экспертов и получении разных экспертных оценок рекомендуется итоговую, обобщенную оценку СТП нарушения ИБ принимать равной экспертной оценке, определяющей наибольшую СТП нарушения ИБ.
5.7.3. Данные, на основании которых проводится оценка СТП нарушения ИБ, и ее результаты документируются, для чего рекомендуется использовать примерную форму документирования данных и результатов оценки СТП нарушения ИБ, приведенную в приложении 5.
5.8. Процедура 6. Оценка рисков нарушения ИБ проводится на основании сопоставления оценок СВР угроз ИБ и оценок СТП нарушения ИБ вследствие реализации соответствующих угроз.
Оценка рисков проводится для всех свойств ИБ выделенных типов информационных активов и всех соответствующих им комбинаций типов объектов среды и воздействующих на них источников угроз.
Для выполнения оценки рисков нарушения ИБ необходимо использовать результаты выполнения процедур 4 и 5 настоящей методики.
5.8.1. Для оценки рисков нарушения ИБ используется следующая качественная шкала:
- допустимый;
- недопустимый.
5.8.2. Для сопоставления оценок СВР угроз ИБ и оценок СТП нарушения ИБ заполняется таблица допустимых/недопустимых рисков нарушения ИБ. Рекомендуемый пример ее заполнения приведен в таблице 1. Оценка рисков нарушения ИБ проводится с учетом данных указанной таблицы.
Таблица 1. Допустимые/недопустимые риски нарушения информационной безопасности
---------------T----------------------------------------------------------¬
¦ СВР угроз ИБ ¦ СТП нарушения ИБ ¦
¦ +--------------T--------------T-------------T--------------+
¦ ¦ минимальная ¦ средняя ¦ высокая ¦ критическая ¦
+--------------+--------------+--------------+-------------+--------------+
¦нереализуемая ¦ допустимый ¦ допустимый ¦ допустимый ¦ допустимый ¦
+--------------+--------------+--------------+-------------+--------------+
¦ минимальная ¦ допустимый ¦ допустимый ¦ допустимый ¦ недопустимый ¦
+--------------+--------------+--------------+-------------+--------------+
¦ средняя ¦ допустимый ¦ допустимый ¦недопустимый ¦ недопустимый ¦
+--------------+--------------+--------------+-------------+--------------+
¦ высокая ¦ допустимый ¦ недопустимый ¦недопустимый ¦ недопустимый ¦
+--------------+--------------+--------------+-------------+--------------+
¦ критическая ¦ недопустимый ¦ недопустимый ¦недопустимый ¦ недопустимый ¦
L--------------+--------------+--------------+-------------+---------------
5.8.3. Результаты оценки рисков нарушения ИБ документально фиксируются, для чего рекомендуется использовать примерную форму, приведенную в приложении 6.
6. Оценка рисков нарушения ИБ в количественной
(денежной) форме
6.1. Риски нарушения ИБ могут быть оценены в количественной (денежной) форме. Оценка рисков нарушения ИБ в количественной форме проводится с целью формирования резервов на возможные потери, связанные с инцидентами ИБ, и определяется на основании количественных оценок:
- СВР угроз ИБ, выраженной в количественной форме (процентах) (далее -
СВР угроз ИБ);
кол
- СТП нарушения ИБ, выраженной в количественной (денежной) форме (далее
- СТП нарушения ИБ).
кол
6.2. Оценки СВР угроз ИБ формируются экспертно путем перевода
кол
качественных оценок СВР угроз ИБ, полученных в рамках выполнения процедуры
4, в количественную форму в соответствии со следующей рекомендуемой шкалой:
Таблица 2. Рекомендуемая шкала соответствия СВР угроз ИБ и СВР угроз ИБ
кол
-----------------------------------T--------------------------------------¬
¦ Величина СВР угроз ИБ ¦ Величина СВР угроз ИБ ¦
¦ ¦ кол ¦
+----------------------------------+--------------------------------------+
¦ Нереализуемая ¦ 0% ¦
+----------------------------------+--------------------------------------+
¦ Минимальная ¦ От 1 до 20% ¦
+----------------------------------+--------------------------------------+
¦ Средняя ¦ От 21 до 50% ¦
+----------------------------------+--------------------------------------+
¦ Высокая ¦ От 51 до 100% ¦
+----------------------------------+--------------------------------------+
¦ Критическая ¦ 100% ¦
L----------------------------------+---------------------------------------
6.3. Данные, на основании которых проводится оценка СВР угроз ИБ, и
кол
ее результаты документируются, для чего рекомендуется использовать
примерную форму документирования данных и результатов оценки СВР угроз
кол
ИБ, приведенную в приложении 7.
6.4. Оценки СТП нарушения ИБ формируются экспертно путем перевода
кол
качественных оценок СТП нарушения ИБ, полученных в рамках выполнения
процедуры 5, в количественную форму в соответствии со следующей
рекомендуемой шкалой:
Таблица 3. Рекомендуемая шкала соответствия СТП нарушения ИБ и СТП
кол
нарушения ИБ
------------------T-------------------------------------------------------¬
¦ Величина СТП ¦ Величина СТП нарушения ИБ ¦
¦ нарушения ИБ ¦ кол ¦
+-----------------+-------------------------------------------------------+
¦ Минимальная ¦ До 0,5% от величины капитала организации БС РФ ¦
+-----------------+-------------------------------------------------------+
¦ Средняя ¦ От 0,5 до 1,5% от величины капитала организации БС РФ ¦
+-----------------+-------------------------------------------------------+
¦ Высокая ¦ От 1,5 до 3,0% от величины капитала организации БС РФ ¦
+-----------------+-------------------------------------------------------+
¦ Критическая ¦ Более 3,0% от величины капитала организации БС РФ ¦
L-----------------+--------------------------------------------------------
6.5. Данные, на основании которых проводится оценка СТП нарушения
кол
ИБ, и ее результаты документируются, для чего рекомендуется использовать
примерную форму документирования данных и результатов оценки СТП
кол
нарушения ИБ, приведенную в приложении 8.
6.6. Количественные оценки рисков нарушения ИБ вычисляются для всех
свойств ИБ выделенных типов информационных активов и всех соответствующих
им комбинаций объектов среды и воздействующих на них источников угроз путем
перемножения оценок СВР угроз ИБ и СТП нарушения ИБ.
кол кол
6.7. Результаты количественной оценки рисков нарушения ИБ документально фиксируются, для чего рекомендуется использовать примерную форму, приведенную в приложении 9.
6.8. Суммарная количественная оценка риска нарушения ИБ организации БС РФ вычисляется как сумма количественных оценок по всем отдельным рискам нарушения ИБ. Размер резерва на возможные потери, связанные с инцидентами ИБ, рекомендуется принимать равным суммарной количественной оценке риска нарушения ИБ.
Приложение 1
РЕКОМЕНДУЕМЫЙ ПЕРЕЧЕНЬ
КЛАССОВ, ОСНОВНЫХ ИСТОЧНИКОВ УГРОЗ ИБ И ИХ ОПИСАНИЕ
------------------------T-------------------------------------------------¬
¦ Источник угрозы ИБ ¦ Описание ¦
+-----------------------+-------------------------------------------------+
¦ Класс 1. Источники угроз ИБ, связанные с неблагоприятными событиями ¦
¦ природного, техногенного и социального характера ¦
+-----------------------T-------------------------------------------------+
¦Пожар ¦Неконтролируемый процесс горения, ¦
¦ ¦сопровождающийся уничтожением материальных ¦
¦ ¦ценностей и создающий опасность для жизни людей. ¦
¦ ¦Возможные причины: поджог, самовозгорание, ¦
¦ ¦природное явление ¦
+-----------------------+-------------------------------------------------+
¦Природные катастрофы, ¦Природные явления разрушительного характера ¦
¦чрезвычайные ситуации ¦(наводнения, землетрясения, извержения вулканов, ¦
¦и стихийные бедствия ¦ураганы, смерчи, тайфуны, цунами и т.д.) ¦
+-----------------------+-------------------------------------------------+
¦Техногенные ¦Разрушительный процесс, развивающийся в ¦
¦катастрофы ¦результате нарушения нормального взаимодействия ¦
¦ ¦технологических объектов между собой или с ¦
¦ ¦компонентами окружающей природной среды, ¦
¦ ¦приводящий к гибели людей, разрушению и ¦
¦ ¦повреждению объектов экономики и компонентов ¦
¦ ¦окружающей природной среды ¦
+-----------------------+-------------------------------------------------+
¦Нарушение ¦Негативное изменение климатических условий в ¦
¦внутриклиматических ¦помещениях, где расположены технические средства ¦
¦условий ¦и/или находится персонал: значительные изменения ¦
¦ ¦температуры и влажности, повышение содержания ¦
¦ ¦углекислого газа, пыли и т.п. Возможные ¦
¦ ¦последствия: сбои, отказы и аварии технических ¦
¦ ¦средств, снижение работоспособности и нанесение ¦
¦ ¦ущерба здоровью персонала, нарушение ¦
¦ ¦непрерывности выполнения процессов, снижение ¦
¦ ¦качества информационных услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Нарушение ¦Нарушение или снижение качества электропитания. ¦
¦электропитания ¦Возможные причины: техногенная катастрофа, ¦
¦ ¦стихийное бедствие, природное явление, ¦
¦ ¦террористический акт, пожар и т.п. Возможные ¦
¦ ¦последствия: сбои и отказы технических средств ¦
+-----------------------+-------------------------------------------------+
¦Нарушение ¦Сбои и аварии в системах водоснабжения, ¦
¦функционирования ¦канализации, отопления ¦
¦систем ¦ ¦
¦жизнеобеспечения ¦ ¦
+-----------------------+-------------------------------------------------+
¦Угроза здоровью ¦Угроза здоровью персонала в результате ¦
¦персонала ¦радиационных, биологических, механических, ¦
¦ ¦термических, химических и иных воздействий со ¦
¦ ¦стороны окружающей среды, объектов инженерной ¦
¦ ¦инфраструктуры, технических средств, пищевые ¦
¦ ¦отравления, производственный травматизм. ¦
¦ ¦Возможные причины: техногенные или природные ¦
¦ ¦катастрофы, аварии объектов инженерной ¦
¦ ¦инфраструктуры, неисправность оборудования, ¦
¦ ¦несоблюдение правил техники безопасности и охраны¦
¦ ¦труда, санитарных правил и т.д. Возможные ¦
¦ ¦последствия: нехватка персонала, денежные ¦
¦ ¦выплаты, судебные разбирательства ¦
+-----------------------+-------------------------------------------------+
¦Класс 2. Источники угроз ИБ, связанные с деятельностью террористов и лиц,¦
¦ совершающих преступления и правонарушения ¦
+-----------------------T-------------------------------------------------+
¦Нарушения ¦Уничтожение или повреждение имущества организации¦
¦общественного ¦БС РФ ¦
¦порядка, вандализм, ¦ ¦
¦массовые беспорядки, ¦ ¦
¦политическая ¦ ¦
¦нестабильность ¦ ¦
+-----------------------+-------------------------------------------------+
¦Террористические ¦Совершение взрыва, поджога или иных действий, ¦
¦действия ¦устрашающих население и создающих опасность ¦
¦ ¦гибели людей, причинения значительного ¦
¦ ¦имущественного ущерба либо наступления иных ¦
¦ ¦тяжких последствий, в целях воздействия на ¦
¦ ¦принятие решения организацией БС РФ, а также ¦
¦ ¦угроза совершения указанных действий в тех же ¦
¦ ¦целях ¦
+-----------------------+-------------------------------------------------+
¦Промышленный шпионаж ¦Передача, собирание, похищение или хранение ¦
¦ ¦информационных активов организации БС РФ для ¦
¦ ¦использования их в ущерб организации БС РФ ¦
+-----------------------+-------------------------------------------------+
¦Запугивание и шантаж ¦Принуждение персонала организации БС РФ к ¦
¦ ¦осуществлению несанкционированных действий, ¦
¦ ¦заключающееся в угрозе разоблачения, физической ¦
¦ ¦расправы или расправы с близкими ¦
+-----------------------+-------------------------------------------------+
¦Социальный инжиниринг ¦Умышленные действия сторонних лиц, преследующих ¦
¦ ¦мошеннические цели, реализуемые посредством ¦
¦ ¦обмана, введения в заблуждение работников ¦
¦ ¦организации БС РФ. Возможные последствия: ошибки ¦
¦ ¦работников, нарушение свойств, утрата ¦
¦ ¦информационных активов, нарушение непрерывности ¦
¦ ¦процессов, снижение качества информационных услуг¦
¦ ¦(сервисов) ¦
+-----------------------+-------------------------------------------------+
¦ Класс 3. Источники угроз ИБ, связанные с деятельностью ¦
¦ поставщиков/провайдеров/партнеров ¦
+-----------------------T-------------------------------------------------+
¦Зависимость от ¦Зависимость от партнеров заставляет организацию ¦
¦партнеров/клиентов ¦полагаться на их информационную безопасность, ¦
¦ ¦организация должна быть уверена, что партнер ¦
¦ ¦сможет обеспечить должный уровень безопасности ¦
¦ ¦либо учитывать данный источник угроз ¦
+-----------------------+-------------------------------------------------+
¦Ошибки, допущенные ¦Неточности и неопределенности в договоре с ¦
¦при заключении ¦провайдером внешних услуг, которые могут ¦
¦контрактов с ¦создавать проблемы в работе заказчика ¦
¦провайдерами внешних ¦ ¦
¦услуг ¦ ¦
+-----------------------+-------------------------------------------------+
¦Нарушения договорных ¦Невыполнение со стороны третьих лиц взятых на ¦
¦обязательств ¦себя обязательств по качеству, составу, ¦
¦сторонними (третьими) ¦содержанию и/или порядку оказания услуг, поставки¦
¦лицами ¦продукции и т.д. Например, невыполнение ¦
¦ ¦требований разработчиками, поставщиками ¦
¦ ¦программно-технических средств и услуг или ¦
¦ ¦внешними пользователями ¦
+-----------------------+-------------------------------------------------+
¦Ошибки в обеспечении ¦Ошибки в обеспечении безопасности при разработке,¦
¦безопасности ¦эксплуатации, сопровождении и выводе из ¦
¦информационных систем ¦эксплуатации информационных систем ¦
¦на стадиях жизненного ¦ ¦
¦цикла ¦ ¦
+-----------------------+-------------------------------------------------+
¦Разработка и ¦Некачественное выполнение документированного ¦
¦использование ¦описания технологических процессов обработки, ¦
¦некачественной ¦хранения, передачи данных, руководств для ¦
¦документации ¦персонала, участвующего в этих технологических ¦
¦ ¦процессах, а также описания средств обеспечения ¦
¦ ¦ИБ и руководств по их использованию ¦
+-----------------------+-------------------------------------------------+
¦Использование ¦Использование в информационной системе ¦
¦программных средств и ¦организации непроверенных данных или ¦
¦информации без ¦нелицензионного программного обеспечения ¦
¦гарантии источника ¦ ¦
+-----------------------+-------------------------------------------------+
¦ Класс 4. Источники угроз ИБ, связанные со сбоями, отказами, ¦
¦ разрушениями/повреждениями программных и технических средств ¦
+-----------------------T-------------------------------------------------+
¦Превышение допустимой ¦Неумышленное превышение допустимой нагрузки на ¦
¦нагрузки ¦вычислительные, сетевые ресурсы системы. ¦
¦ ¦Выполнение работниками объема операций большего, ¦
¦ ¦чем это допускается психофизиологическими ¦
¦ ¦нормами. Возможные причины: малая вычислительная ¦
¦ ¦и/или пропускная мощность, неправильная ¦
¦ ¦организация бизнес-процессов. Возможные ¦
¦ ¦последствия: сбои и отказы технических средств, ¦
¦ ¦нарушение доступности технических средств, ошибки¦
¦ ¦персонала, нанесение вреда здоровью ¦
+-----------------------+-------------------------------------------------+
¦Разрушение/повреждение,¦Физическое разрушение/повреждение технических ¦
¦аварии технических ¦средств (канала связи) или определенное сочетание¦
¦средств и каналов связи¦отказов его элементов, приводящее к нарушениям ¦
¦ ¦функционирования, сопряженным с особо ¦
¦ ¦значительными техническими потерями, делающее ¦
¦ ¦невозможным функционирование технического ¦
¦ ¦средства (канала связи) в целом в течение ¦
¦ ¦значительного периода времени. Возможные причины:¦
¦ ¦действие внешних (физический несанкционированный ¦
¦ ¦доступ, террористический акт, техногенная ¦
¦ ¦катастрофа, стихийное бедствие, природное ¦
¦ ¦явление, массовые беспорядки) и/или внутренних ¦
¦ ¦(значительные отказы элементов технических ¦
¦ ¦средств) факторов. Возможные последствия: ¦
¦ ¦нарушение свойств информационных активов, их ¦
¦ ¦утрата, нарушение непрерывности выполнения ¦
¦ ¦процессов, снижение качества информационных услуг¦
¦ ¦(сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Сбои и отказы ¦Нарушение работоспособности программных средств. ¦
¦программных средств ¦Возможные причины: недопустимое изменение ¦
¦ ¦параметров или свойств программных средств под ¦
¦ ¦влиянием внутренних процессов (ошибок) и/или ¦
¦ ¦внешних воздействий со стороны вредоносных ¦
¦ ¦программ, оператора и технических средств. ¦
¦ ¦Возможные последствия: нарушение свойств ¦
¦ ¦информационных активов, нарушение непрерывности ¦
¦ ¦выполнения процессов, снижение качества ¦
¦ ¦информационных услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Сбои и отказы ¦Прерывание работоспособности технических средств ¦
¦технических средств и ¦или невозможность выполнения ими своих функций в ¦
¦каналов связи ¦заранее установленных границах. Возможные ¦
¦ ¦причины: недопустимое изменение характеристик ¦
¦ ¦технических средств под влиянием внутренних ¦
¦ ¦процессов, сложность технических средств, ¦
¦ ¦нехватка персонала, недостаточное техническое ¦
¦ ¦обслуживание. Возможные последствия: сбои, отказы¦
¦ ¦программных средств, аварии систем, нарушение ¦
¦ ¦доступности информационных активов, нарушение ¦
¦ ¦непрерывности выполнения процессов, снижение ¦
¦ ¦качества информационных услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Нарушения ¦Случайное или намеренное неправильное управление ¦
¦функциональности ¦криптографическими ключами, криптографическими ¦
¦криптографической ¦протоколами и алгоритмами, программно-аппаратными¦
¦системы ¦средствами систем криптографической защиты ¦
¦ ¦информации, приводящее к потере ¦
¦ ¦конфиденциальности, целостности и доступности ¦
¦ ¦информации, нарушению неотказуемости приема- ¦
¦ ¦передачи информации, блокировке функционирования ¦
¦ ¦платежных и информационных систем организации БС ¦
¦ ¦РФ ¦
+-----------------------+-------------------------------------------------+
¦Нарушения ¦Нарушение конфиденциальности и целостности ¦
¦функциональности ¦архивных данных и/или непредоставление услуг ¦
¦архивной системы ¦архивной системой (нарушение доступности) ¦
¦ ¦вследствие случайных ошибок пользователей или ¦
¦ ¦неправильного управления архивной системой, а ¦
¦ ¦также вследствие физических воздействий на ¦
¦ ¦компоненты архивной системы ¦
+-----------------------+-------------------------------------------------+
¦ Класс 5. Источники угроз ИБ, связанные с деятельностью внутренних ¦
¦ нарушителей ИБ ¦
+-----------------------T-------------------------------------------------+
¦Недобросовестное ¦Сознательное неисполнение работниками ¦
¦исполнение ¦определенных обязанностей или небрежное их ¦
¦обязанностей ¦исполнение ¦
+-----------------------+-------------------------------------------------+
¦Халатность ¦Неисполнение или ненадлежащее исполнение ¦
¦ ¦должностным лицом своих обязанностей вследствие ¦
¦ ¦недобросовестного или небрежного отношения к ¦
¦ ¦службе ¦
+-----------------------+-------------------------------------------------+
¦Причинение ¦Умышленное нанесение персоналом вреда ¦
¦имущественного ущерба ¦информационным активам. В первую очередь ¦
¦ ¦вредительство может быть направлено на ¦
¦ ¦технические и программные средства, а также на ¦
¦ ¦информационные активы. Возможные последствия: ¦
¦ ¦ущерб, вызванный нарушением свойств активов, ¦
¦ ¦включая их разрушение и уничтожение ¦
+-----------------------+-------------------------------------------------+
¦Ошибка персонала ¦Любые не соответствующие установленному ¦
¦ ¦регламенту или сложившимся практикам действия ¦
¦ ¦персонала, совершаемые без злого умысла. ¦
¦ ¦Возможные причины: недостаточно четко ¦
¦ ¦определенные обязанности, халатность, ¦
¦ ¦недостаточное обучение или квалификация ¦
¦ ¦персонала. Возникновению ошибок способствуют ¦
¦ ¦отсутствие дисциплинарного процесса и ¦
¦ ¦документирования процессов, предоставление ¦
¦ ¦избыточных полномочий, умышленное использование ¦
¦ ¦методов социального инжиниринга по отношению к ¦
¦ ¦персоналу. Возможные последствия: нарушение ¦
¦ ¦конфиденциальности и целостности информации, ¦
¦ ¦утрата информационных активов, нарушение ¦
¦ ¦непрерывности выполнения процессов, снижение ¦
¦ ¦качества информационных услуг (сервисов), сбои и ¦
¦ ¦отказы технических и программных средств ¦
+-----------------------+-------------------------------------------------+
¦Хищение ¦Совершенное с корыстной целью противоправное ¦
¦ ¦безвозмездное изъятие и/или обращение имущества ¦
¦ ¦организации БС РФ, причинившие ущерб собственнику¦
¦ ¦или иному владельцу этого имущества ¦
+-----------------------+-------------------------------------------------+
¦Выполнение ¦Внедрение в систему и выполнение вредоносных ¦
¦вредоносных программ ¦программ: программных закладок, "троянских ¦
¦ ¦коней", программных "вирусов" и "червей" и т.п. ¦
¦ ¦Возможные причины: беспечность, халатность, ¦
¦ ¦низкая квалификация персонала (пользователей), ¦
¦ ¦наличие уязвимостей используемых программных ¦
¦ ¦средств. Возможные последствия: ¦
¦ ¦несанкционированный доступ к информационным ¦
¦ ¦активам, нарушение их свойств, сбои, отказы и ¦
¦ ¦уничтожение программных средств, нарушение ¦
¦ ¦непрерывности выполнения процессов, снижение ¦
¦ ¦качества информационных услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Использование ¦Умышленное использование информационных активов ¦
¦информационных ¦организации в целях, отличных от целей ¦
¦активов не по ¦организации. Возможные причины: отсутствие ¦
¦назначению ¦контроля персонала. Возможные последствия: ¦
¦ ¦нехватка вычислительных, сетевых или людских ¦
¦ ¦ресурсов, прямой ущерб организации ¦
+-----------------------+-------------------------------------------------+
¦Нарушения персоналом ¦Несоблюдение персоналом требований внутренних ¦
¦организационных мер ¦документов, регламентирующих деятельность по ИБ ¦
¦по обеспечению ИБ ¦ ¦
+-----------------------+-------------------------------------------------+
¦Ошибки кадровой ¦Ошибки кадровой работы заключаются в приеме на ¦
¦работы ¦работу неквалифицированных сотрудников, ¦
¦ ¦увольнении/перемещении сотрудников без проведения¦
¦ ¦сопутствующих процедур по обеспечению ИБ, ¦
¦ ¦непроведении или нерегулярном проведении ¦
¦ ¦тренингов и проверок персонала ¦
+-----------------------+-------------------------------------------------+
¦ Класс 6. Источники угроз ИБ, связанные с деятельностью внешних ¦
¦ нарушителей ИБ ¦
+-----------------------T-------------------------------------------------+
¦Действия ¦Умышленные действия со стороны субъекта из ¦
¦неавторизованного ¦внешней по отношению к области обеспечения ИБ ¦
¦субъекта ¦среды. Возможные последствия: разрушение и ¦
¦ ¦уничтожение технических и программных средств, ¦
¦ ¦внедрение и выполнение вредоносных программ, ¦
¦ ¦нарушение свойств, утрата информационных активов ¦
¦ ¦и сервисов ¦
+-----------------------+-------------------------------------------------+
¦Ложное сообщение об ¦Ложное сообщение об угрозе, такой как: пожар, ¦
¦угрозе ¦террористический акт, техногенная катастрофа, ¦
¦ ¦гражданские беспорядки и т.д. Возможные ¦
¦ ¦последствия: нарушение свойств информационных ¦
¦ ¦активов, их утрата, нарушение непрерывности ¦
¦ ¦выполнения процессов, снижение качества ¦
¦ ¦информационных услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Неконтролируемое ¦Неумышленное уничтожение информационных активов. ¦
¦уничтожение ¦Возможные причины: сбои оборудования, природные ¦
¦информационного актива ¦факторы и техногенные катастрофы. Возможные ¦
¦ ¦последствия: прямой ущерб организации ¦
+-----------------------+-------------------------------------------------+
¦Неконтролируемая ¦Неумышленное изменение информационных активов. ¦
¦модификация ¦Возможные причины: сбои оборудования, природные ¦
¦информационного актива ¦факторы и техногенные катастрофы. Возможные ¦
¦ ¦последствия: нарушение непрерывности выполнения ¦
¦ ¦процессов, прямой ущерб организации ¦
+-----------------------+-------------------------------------------------+
¦Несанкционированный ¦Несанкционированный логический доступ ¦
¦логический доступ ¦неавторизованных субъектов к компонентам ¦
¦ ¦подразделения и информационным активам. Возможные¦
¦ ¦причины: компрометация пароля, предоставление ¦
¦ ¦пользователям/администраторам избыточных прав ¦
¦ ¦доступа, недостатки (отсутствие) механизмов ¦
¦ ¦аутентификации пользователей и администраторов, ¦
¦ ¦ошибки администрирования, оставление без ¦
¦ ¦присмотра программно-технических средств. Одним ¦
¦ ¦из путей получения несанкционированного доступа к¦
¦ ¦системе является умышленное внедрение вредоносных¦
¦ ¦программ с целью хищения пароля для входа в ¦
¦ ¦систему или получения прав доступа. Возможные ¦
¦ ¦последствия: нарушение свойств информационных ¦
¦ ¦активов, сбои, отказы и аварии программных и ¦
¦ ¦технических средств, нарушение непрерывности ¦
¦ ¦процессов и/или снижение качества информационных ¦
¦ ¦услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦Несанкционированный ¦Физический несанкционированный доступ ¦
¦физический доступ ¦неавторизованных лиц в контролируемую зону ¦
¦ ¦расположения технических средств и/или ¦
¦ ¦информационных активов. Возможные причины: может ¦
¦ ¦осуществляться путем обхода средств контроля ¦
¦ ¦физического доступа или использования ¦
¦ ¦утраченных/похищенных средств обеспечения ¦
¦ ¦доступа. Возможные последствия: разрушение и ¦
¦ ¦уничтожение технических и программных средств, ¦
¦ ¦нарушение конфиденциальности, целостности, ¦
¦ ¦доступности информационных активов, нарушение ¦
¦ ¦непрерывности процессов и/или снижение качества ¦
¦ ¦информационных услуг (сервисов) ¦
+-----------------------+-------------------------------------------------+
¦ Класс 7. Источники угроз ИБ, связанные с несоответствием требованиям ¦
¦ надзорных и регулирующих органов, действующему законодательству ¦
+-----------------------T-------------------------------------------------+
¦Несоответствие ¦Несоответствие деятельности может привести к ¦
¦внутренних документов ¦административным и уголовным санкциям со стороны ¦
¦действующему ¦судебных, надзорных и регулирующих органов в ¦
¦законодательству ¦отношении должностных лиц подразделения, вызвать ¦
¦ ¦остановку отдельных видов деятельности ¦
+-----------------------+-------------------------------------------------+
¦Изменчивость и ¦Непостоянство, различия и коллизии в содержании ¦
¦несогласованность ¦требований и/или порядке их выполнения способны ¦
¦требований надзорных ¦дезорганизовать деятельность подразделения или ¦
¦и регулирующих ¦его отдельных служб, снизить ее эффективность и ¦
¦органов, вышестоящих ¦качество, а при определенных обстоятельствах - ¦
¦инстанций ¦затруднить ее осуществление. Способствует ¦
¦ ¦"размыванию" или пересечению зон ответственности ¦
¦ ¦исполнителей и служб, манипуляции со стороны ¦
¦ ¦ответственных лиц и служб своими правами и ¦
¦ ¦обязанностями в ущерб общей деятельности. ¦
¦ ¦Приводит к перераспределению ресурсов в пользу ¦
¦ ¦той деятельности (зачастую не основной), за ¦
¦ ¦несоблюдение требований к которой наказание ¦
¦ ¦наиболее ощутимо для организации (должностного ¦
¦ ¦лица) ¦
L-----------------------+--------------------------------------------------
Приложение 2
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ПЕРЕЧНЯ ТИПОВ ИНФОРМАЦИОННЫХ АКТИВОВ
ОБЛАСТИ ОЦЕНКИ РИСКОВ НАРУШЕНИЯ ИБ И ИХ СВОЙСТВ ИБ
На примере заполнения:
тип информационного актива - "Информация ограниченного доступа" (далее - "ДСП информация").
-----------------T--------------------------------------------------------------¬
¦ Тип ¦ Свойства информационной безопасности ¦
¦ информационного+------------------T-----------T-----------T-------------------+
¦ актива ¦конфиденциальность¦целостность¦доступность¦другие свойства ИБ ¦
¦ ¦ ¦ ¦ ¦(при необходимости)¦
+----------------+------------------+-----------+-----------+-------------------+
¦"ДСП информация"¦ + ¦ + ¦ + ¦ - ¦
+----------------+------------------+-----------+-----------+-------------------+
¦ ... ¦ ¦ ¦ ¦ ¦
+----------------+------------------+-----------+-----------+-------------------+
¦ ... ¦ ¦ ¦ ¦ ¦
L----------------+------------------+-----------+-----------+--------------------
Примечание.
Свойства ИБ, поддержание которых необходимо обеспечивать в рамках СОИБ организации БС РФ для типа информационного актива, обозначаются знаком "+", остальные свойства ИБ - знаком "-".
Приложение 3
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ПЕРЕЧНЯ ТИПОВ ОБЪЕКТОВ СРЕДЫ
На примере заполнения:
тип информационного актива - "ДСП информация".
------------------T--------------------------T----------------------------¬
¦ Тип ¦ Уровни иерархии ¦ Типы объектов среды ¦
¦ информационного ¦ информационной ¦ ¦
¦ актива ¦ инфраструктуры ¦ ¦
+-----------------+--------------------------+----------------------------+
¦"ДСП информация" ¦Физический уровень ¦Линии связи, аппаратные и ¦
¦ ¦ ¦технические средства, ¦
¦ ¦ ¦физические носители ¦
¦ ¦ ¦информации ¦
¦ +--------------------------+----------------------------+
¦ ¦Сетевой уровень ¦Маршрутизаторы, коммутаторы,¦
¦ ¦ ¦концентраторы ¦
¦ +--------------------------+----------------------------+
¦ ¦Уровень сетевых ¦Программные компоненты ¦
¦ ¦приложений и сервисов ¦передачи данных по ¦
¦ ¦ ¦компьютерным сетям (сетевые ¦
¦ ¦ ¦сервисы) ¦
¦ +--------------------------+----------------------------+
¦ ¦Уровень операционных ¦Файлы данных с "ДСП ¦
¦ ¦систем ¦информацией" ¦
¦ +--------------------------+----------------------------+
¦ ¦Уровень систем ¦Базы данных с "ДСП ¦
¦ ¦управления базами данных ¦информацией" ¦
¦ +--------------------------+----------------------------+
¦ ¦Уровень банковских ¦Прикладные программы доступа¦
¦ ¦технологических ¦и обработки "ДСП ¦
¦ ¦приложений и сервисов ¦информации", бумажные ¦
¦ ¦ ¦носители ¦
+-----------------+--------------------------+----------------------------+
¦... ¦ ¦ ¦
L-----------------+--------------------------+-----------------------------
Приложение 4
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ДАННЫХ И РЕЗУЛЬТАТОВ ОЦЕНКИ СВР УГРОЗ ИБ
На примере заполнения:
тип информационного актива - "ДСП информация";
свойство ИБ - "Конфиденциальность";
способ реализации угрозы - "Несанкционированное копирование";
тип объекта среды - "Файлы данных с ДСП информацией";
источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".
----------------T------------T----------T-----------T-----------T----------------T--------------T-----------¬
¦ Тип ¦Тип объекта ¦ Источник ¦Свойства ИБ¦ Способ ¦ Используемые ¦Прочие данные,¦Оценка СВР ¦
¦информационного¦ среды ¦угрозы ИБ ¦типа инфор-¦ реализации¦ априорные ¦ определяющие ¦ угроз ИБ ¦
¦ актива ¦ ¦ ¦мационного ¦ угроз ИБ ¦ защитные меры ¦ СВР угроз ИБ ¦ ¦
¦ ¦ ¦ ¦актива ¦ <*> ¦ ¦ ¦ ¦
+---------------+------------+----------+-----------+-----------+----------------+--------------+-----------+
¦"ДСП ¦Файлы данных¦Внутренний¦Конфиден- ¦Несанкцио- ¦Проведение ¦Пользователь, ¦ высокая ¦
¦информация" ¦с "ДСП ¦нарушитель¦циальность ¦нированное ¦кадровой работы.¦имеющий право ¦ ¦
¦ ¦информацией"¦ ¦ ¦копирование¦Мониторинг и ¦доступа к ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦протоколирование¦файлам данных,¦ ¦
¦ ¦ ¦ ¦ ¦ ¦доступа к файлам¦имеет ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦данных. ¦возможность ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦Использование ¦совершить ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦антивирусной ¦противоправное¦ ¦
¦ ¦ ¦ ¦ ¦ ¦защиты ¦действие ¦ ¦
¦ ¦ +----------+-----------+-----------+----------------+--------------+-----------+
¦ ¦ ¦ ... ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ +----------+-----------+-----------+----------------+--------------+-----------+
¦ ¦ ¦Внешний ¦Конфиден- ¦Несанкцио- ¦Контроль и ¦Нет данных ¦минимальная¦
¦ ¦ ¦нарушитель¦циальность ¦нированное ¦протоколирование¦ ¦ ¦
¦ ¦ ¦ ¦ ¦копирование¦доступа к файлам¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦данных. ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦Организация ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦физической ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦защиты зданий и ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦помещений. ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦Использование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦антивирусной ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦защиты ¦ ¦ ¦
L---------------+------------+----------+-----------+-----------+----------------+--------------+------------
--------------------------------
<*> Степень детализации и порядок группировки для рассмотрения способов реализации угроз ИБ определяется организацией БС РФ.
Примечание.
В ячейках "Оценка СВР угроз ИБ" требуется указать значение из следующего перечня: нереализуемая; минимальная; средняя; высокая; критическая.
Приложение 5
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ДАННЫХ И РЕЗУЛЬТАТОВ ОЦЕНКИ СТП
НАРУШЕНИЯ ИБ
На примере заполнения:
тип информационного актива - "ДСП информация";
тип объекта среды - "Файлы данных с ДСП информацией";
источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".
----------------T------------T----------T------------------T---------------T------------T------------¬
¦ Тип ¦ Тип объекта¦ Источник ¦ Свойства ИБ типа ¦ Используемые ¦ Прочие ¦ Оценка СТП ¦
¦информационного¦ среды ¦ угрозы ИБ¦ информационного ¦ апостериорные ¦ данные, ¦нарушения ИБ¦
¦ актива ¦ ¦ ¦ актива ¦ защитные меры ¦определяющие¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ СТП ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦нарушения ИБ¦ ¦
+---------------+------------+----------+------------------+---------------+------------+------------+
¦"ДСП ¦Файлы данных¦Внутренний¦Конфиденциальность¦Не используются¦Нет данных ¦ высокая ¦
¦информация" ¦с "ДСП ¦нарушитель+------------------+---------------+------------+------------+
¦ ¦информацией"¦ ¦Целостность ¦Резервирование ¦Нет данных ¦ средняя ¦
¦ ¦ ¦ ¦ ¦и контрольное ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦суммирование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+---------------+------------+------------+
¦ ¦ ¦ ¦Доступность ¦Резервирование ¦Нет данных ¦ средняя ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+---------------+------------+------------+
¦ ¦ ¦ ¦Другие свойства ИБ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦(при ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦необходимости) ¦ ¦ ¦ ¦
¦ ¦ +----------+------------------+---------------+------------+------------+
¦ ¦ ¦ ... ¦ ¦ ¦ ¦ ¦
¦ ¦ +----------+------------------+---------------+------------+------------+
¦ ¦ ¦Внешний ¦Конфиденциальность¦Не используются¦Нет данных ¦ высокая ¦
¦ ¦ ¦нарушитель+------------------+---------------+------------+------------+
¦ ¦ ¦ ¦Целостность ¦Резервирование ¦Нет данных ¦ средняя ¦
¦ ¦ ¦ ¦ ¦и контрольное ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦суммирование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+---------------+------------+------------+
¦ ¦ ¦ ¦Доступность ¦Резервирование ¦Нет данных ¦минимальная ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+---------------+------------+------------+
¦ ¦ ¦ ¦Другие свойства ИБ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦(при ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦необходимости) ¦ ¦ ¦ ¦
L---------------+------------+----------+------------------+---------------+------------+-------------
Примечание.
В ячейках "Оценка СТП нарушения ИБ" требуется указать значение из следующего перечня: минимальная; средняя; высокая; критическая.
Приложение 6
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ РЕЗУЛЬТАТОВ ОЦЕНКИ РИСКОВ НАРУШЕНИЯ ИБ
На примере заполнения:
тип информационного актива - "ДСП информация";
свойство ИБ - "Конфиденциальность";
способ реализации угрозы - "Несанкционированное копирование";
тип объекта среды - "Файлы данных с ДСП информацией";
источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".
----------------T------------T----------T----------T-----------T-----------T---------T------------¬
¦ Тип ¦ Тип объекта¦ Источник ¦Свойства ¦ Способ ¦ Оценка СВР¦ Оценка ¦ Оценка ¦
¦информационного¦ среды ¦ угрозы ИБ¦ИБ типа ¦ реализации¦ угроз ИБ ¦ СТП ¦ рисков ¦
¦ актива ¦ ¦ ¦информа- ¦ угроз ИБ ¦ ¦нарушения¦нарушения ИБ¦
¦ ¦ ¦ ¦ционного ¦ ¦ ¦ ИБ ¦ ¦
¦ ¦ ¦ ¦актива ¦ ¦ ¦ ¦ ¦
+---------------+------------+----------+----------+-----------+-----------+---------+------------+
¦"ДСП ¦Файлы ¦Внутренний¦Конфиден- ¦Несанкцио- ¦высокая ¦высокая ¦недопустимый¦
¦информация" ¦данных с ¦нарушитель¦циальность¦нированное ¦ ¦ ¦ ¦
¦ ¦"ДСП ¦ ¦ ¦копирование¦ ¦ ¦ ¦
¦ ¦информацией"+----------+----------+-----------+-----------+---------+------------+
¦ ¦ ¦ ... ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ +----------+----------+-----------+-----------+---------+------------+
¦ ¦ ¦Внешний ¦Конфиден- ¦Несанкцио- ¦минимальная¦высокая ¦ допустимый ¦
¦ ¦ ¦нарушитель¦циальность¦нированное ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦копирование¦ ¦ ¦ ¦
L---------------+------------+----------+----------+-----------+-----------+---------+-------------
Примечание.
В ячейках "Оценка рисков нарушения ИБ" требуется указать значение из следующего перечня: допустимый; недопустимый.
Приложение 7
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ДАННЫХ И РЕЗУЛЬТАТОВ ОЦЕНКИ СВР УГРОЗ ИБ
КОЛ
На примере заполнения:
тип информационного актива - "ДСП информация";
Свойство ИБ - "Конфиденциальность";
способ реализации угрозы - "Несанкционированное копирование";
тип объекта среды - "Файлы данных с ДСП информацией";
источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".
----------------T------------T----------T----------T-----------T-----------------T---------------T------------¬
¦ Тип ¦ Тип объекта¦ Источник ¦Свойства ¦ Способ ¦ Используемые ¦ Прочие данные,¦ Оценка ¦
¦информационного¦ среды ¦ угрозы ИБ¦ИБ типа ¦ реализации¦ априорные ¦ определяющие ¦СВР угроз¦
¦ актива ¦ ¦ ¦информа- ¦ угроз ИБ ¦ защитные меры ¦СВР угроз ИБ¦ кол ¦
¦ ¦ ¦ ¦ционного ¦ ¦ ¦ кол ¦ ИБ ¦
¦ ¦ ¦ ¦актива ¦ ¦ ¦ ¦ ¦
+---------------+------------+----------+----------+-----------+-----------------+---------------+------------+
¦"ДСП ¦Файлы данных¦Внутренний¦Конфиден- ¦Несанкцио- ¦Проведение ¦Пользователь, ¦ 56% ¦
¦информация" ¦с "ДСП ¦нарушитель¦циальность¦нированное ¦кадровой работы. ¦имеющий право ¦ ¦
¦ ¦информацией"¦ ¦ ¦копирование¦Мониторинг и ¦доступа к ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦протоколирование ¦файлам данных, ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦доступа к файлам ¦имеет ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦данных. ¦возможность ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦Использование ¦совершить ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦антивирусной ¦противоправное ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦защиты ¦действие ¦ ¦
¦ ¦ +----------+----------+-----------+-----------------+---------------+------------+
¦ ¦ ¦ ... ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ +----------+----------+-----------+-----------------+---------------+------------+
¦ ¦ ¦Внешний ¦Конфиден- ¦Несанкцио- ¦Контроль и ¦Нет данных ¦ 15% ¦
¦ ¦ ¦нарушитель¦циальность¦нированное ¦протоколирование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦копирование¦доступа к файлам ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦данных. ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦Организация ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦физической защиты¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦зданий и ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦помещений. ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦Использование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦антивирусной ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦защиты ¦ ¦ ¦
L---------------+------------+----------+----------+-----------+-----------------+---------------+-------------
Приложение 8
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ДАННЫХ И РЕЗУЛЬТАТОВ ОЦЕНКИ
СТП НАРУШЕНИЯ ИБ
КОЛ
На примере заполнения:
тип информационного актива - "ДСП информация";
тип объекта среды - "Файлы данных с ДСП информацией";
источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".
----------------T-------------T----------T------------------T----------------T----------T----------¬
¦ Тип ¦ Тип объекта ¦ Источник ¦ Свойства ИБ типа ¦ Используемые ¦Прочие ¦ Оценка ¦
¦информационного¦ среды ¦ угрозы ИБ¦ информационного ¦ апостериорные ¦данные, ¦ СТП ¦
¦ актива ¦ ¦ ¦ актива ¦ защитные меры ¦определяю-¦ кол ¦
¦ ¦ ¦ ¦ ¦ ¦щие СТП ¦нарушения ¦
¦ ¦ ¦ ¦ ¦ ¦ кол¦ИБ (рубли)¦
¦ ¦ ¦ ¦ ¦ ¦нарушения ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ИБ ¦ ¦
+---------------+-------------+----------+------------------+----------------+----------+----------+
¦"ДСП ¦Файлы данных ¦Внутренний¦Конфиденциальность¦Не используются ¦Нет данных¦ 7 млн. ¦
¦информация" ¦с "ДСП ¦нарушитель+------------------+----------------+----------+----------+
¦ ¦информацией" ¦ ¦Целостность ¦Резервирование и¦Нет данных¦ 4 млн. ¦
¦ ¦ ¦ ¦ ¦контрольное ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦суммирование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+----------------+----------+----------+
¦ ¦ ¦ ¦Доступность ¦Резервирование ¦Нет данных¦ 3 млн. ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+----------------+----------+----------+
¦ ¦ ¦ ¦Другие свойства ИБ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦(при ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦необходимости) ¦ ¦ ¦ ¦
¦ ¦ +----------+------------------+----------------+----------+----------+
¦ ¦ ¦ ... ¦ ¦ ¦ ¦ ¦
¦ ¦ +----------+------------------+----------------+----------+----------+
¦ ¦ ¦Внешний ¦Конфиденциальность¦Не используются ¦Нет данных¦ 9 млн. ¦
¦ ¦ ¦нарушитель¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ +------------------+----------------+----------+----------+
¦ ¦ ¦ ¦Целостность ¦Резервирование и¦Нет данных¦ 4 млн. ¦
¦ ¦ ¦ ¦ ¦контрольное ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦суммирование ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
¦ ¦ ¦ +------------------+----------------+----------+----------+
¦ ¦ ¦ ¦Доступность ¦Резервирование ¦Нет данных¦ 0,5 млн. ¦
¦ ¦ ¦ ¦ ¦файлов данных ¦ ¦ ¦
L---------------+-------------+----------+------------------+----------------+----------+-----------
Приложение 9
ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ РЕЗУЛЬТАТОВ КОЛИЧЕСТВЕННОЙ ОЦЕНКИ РИСКОВ
НАРУШЕНИЯ ИБ
На примере заполнения:
тип информационного актива - "ДСП информация";
свойство ИБ - "Конфиденциальность";
способ реализации угрозы - "Несанкционированное копирование";
тип объекта среды - "Файлы данных с ДСП информацией";
источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".
----------------T------------T----------T-----------T-----------T----------T--------T---------¬
¦ Тип ¦ Тип объекта¦ Источник ¦Свойства ИБ¦ Способ ¦ Оценка ¦ Оценка ¦ Оценка ¦
¦информационного¦ среды ¦ угрозы ИБ¦типа инфор-¦ реализации¦ СТП ¦ СВР ¦ рисков ¦
¦ актива ¦ ¦ ¦мационного ¦ угроз ИБ ¦ кол ¦ кол ¦нарушения¦
¦ ¦ ¦ ¦актива ¦ ¦ нарушения¦угроз ИБ¦ ИБ ¦
¦ ¦ ¦ ¦ ¦ ¦ ИБ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ (рубли) ¦ ¦ ¦
+---------------+------------+----------+-----------+-----------+----------+--------+---------+
¦"ДСП ¦Файлы данных¦Внутренний¦Конфиден- ¦Несанкцио- ¦ 7 млн. ¦ 56% ¦3,92 млн.¦
¦информация" ¦с "ДСП ¦нарушитель¦циальность ¦нированное ¦ ¦ ¦ ¦
¦ ¦информацией"¦ ¦ ¦копирование¦ ¦ ¦ ¦
¦ ¦ +----------+-----------+-----------+----------+--------+---------+
¦ ¦ ¦ ... ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ +----------+-----------+-----------+----------+--------+---------+
¦ ¦ ¦Внешний ¦Конфиден- ¦Несанкцио- ¦ 9 млн. ¦ 15% ¦1,35 млн.¦
¦ ¦ ¦нарушитель¦циальность ¦нированное ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦копирование¦ ¦ ¦ ¦
L---------------+------------+----------+-----------+-----------+----------+--------+----------
------------------------------------------------------------------
--------------------
| | |
|
