Общая классификация угроз автоматизированной информационной системе объекта

1. Угрозы конфиденциальности данных и программ. Реализуются при несанкционированном доступе к данным (например, к сведениям о состоянии счетов клиентов банка), программам или каналам связи. Информация, обрабатываемая на компьютерах или передаваемая по локальным сетям передачи данных, может быть снята через технические каналы утечки. При этом используется аппаратура, осуществляющая анализ электромагнитных излучений, возникающих при работе компьютера. Такой съем информации представляет собой сложную техническую задачу и требует привлечения квалифицированных специалистов — razgovorodele.ru. С помощью приемного устройства, выполненного на базе стандартного телевизора, можно перехватывать информацию, выводимую на экраны дисплеев компьютеров с расстояния в тысячу и более метров. Определенные сведения о работе компьютерной системы извлекаются даже в том случае, когда ведется наблюдение за процессом обмена сообщениями без доступа к их содержанию.

2. Угрозы целостности данных, программ, аппаратуры. Целостность данных и программ нарушается при несанкционированном уничтожении, добавлении лишних элементов и модификации записей о состоянии счетов, изменении порядка расположения данных, формировании фальсифицированных платежных документов в ответ на законные запросы, при активной ретрансляции сообщений с их задержкой. Несанкционированная модификация информации о безопасности системы может привести к несанкционированным действиям (неверной маршрутизации или утрате передаваемых данных) или искажению смысла передаваемых сообщений. Целостность аппаратуры нарушается при ее повреждении, похищении или незаконном изменении алгоритмов работы.

3. Угрозы доступности данных. Возникают в том случае, когда объект (пользователь или процесс) не получает доступа к законно выделенным ему службам или ресурсам. Эта угроза реализуется захватом всех ресурсов, блокированием линий связи несанкционированным объектом в результате передачи по ним своей информации или исключением необходимой системной информации. Эта угроза может привести к ненадежности или плохому качеству обслуживания в системе и, следовательно, потенциально будет влиять на достоверность и своевременность доставки платежных документов.

4. Угрозы отказа от выполнения трансакций. Возникают в том случае, когда легальный пользователь передает или принимает платежные документы, а потом отрицает это, чтобы снять с себя ответственность.

Оценка уязвимости автоматизированной информационной системы и построение модели воздействий предполагают изучение всех вариантов реализации перечисленных выше угроз и выявление последствий, к которым они приводят. Угрозы информационной безопасности могут обуславливаться как человеческими факторами, так и человеко-машинными и машинными факторами. Человеческие факторы свою очередь подразделяются на: пассивные угрозы (угрозы, вызванные деятельностью, носящей случайный, неумышленный характер) и активные угрозы (угрозы, обусловленные умышленными, преднамеренными действиями людей). Это угрозы, связанные:

— с передачей, искажением и уничтожением научных открытий, изобретений, секретов производства, новых технологий по корыстным и другим антиобщественным мотивам (документация, чертежи, описания открытий и изобретений и другие материалы);
— с просмотром и передачей различной документации, просмотром «мусора»;
— с подслушиванием и передачей служебных и других научно-технических и коммерческих разговоров;
— с целенаправленной «утечкой умов»» знаний, информации (например, в связи с получением другого гражданства, по корыстным мотивам).

Человеко-машинные и машинные факторы подразделяются на:

Пассивные угрозы. Это угрозы, связанные:

— с ошибками процесса проектирования, разработки и изготовления систем и их компонентов (здания, сооружения, помещения, компьютеры, средства связи, операционные системы, прикладные программы и др.);
— с ошибками в работе аппаратуры из-за некачественного ее изготовления;
— с ошибками процесса подготовки и обработки информации (ошибки программистов и пользователей из-за недостаточной квалификации и некачественного обслуживания, ошибки операторов при подготовке, вводе и выводе данных, корректировке и обработке информации).

Активные угрозы. Это:

— угрозы, связанные с несанкционированным доступом к ресурсам автоматизированной информационной системы (внесение технических изменений в средства вычислительной техники и средства связи, подключение к средствам вычислительной техники и каналам связи, хищение различных видов носителей информации: дискет, описаний, распечаток и других материалов, просмотр вводимых данных, распечаток, просмотр «мусора»);
— угрозы, реализуемые бесконтактным способом (сбор электромагнитных излучений, перехват сигналов, наводимых в цепях (токопроводящие коммуникации), визуально-оптические способы добычи информации, подслушивание служебных и научно-технических разговоров и т. п.).

Существуют угрозы нанесения ущерба системам обработки данных, вызываемые физическими воздействиями стихийных природных явлений, не зависящие от человека. Однако более широк и опасен круг искусственных угроз, вызванных человеческой деятельностью, среди которых, исходя из мотивов, можно выделить:

— неумышленные (непреднамеренные) угрозы, вызываемые ошибками в проектировании, подготовке, обработке и передаче информации (научно-технической, коммерческой, валютно-финансовой и др.);
— ошибками в действиях обслуживающего персонала, программного обеспечения, случайными сбоями в работе средств вычислительной техники и линий связи, энергоснабжения, ошибками пользователей, воздействием на аппаратуру физических нолей и т.д.
— угрозы, связанные с ошибками процесса; с нецеленаправленной «утечкой умов», знаний, информации (например, в связи с миграцией населения, выездом в другие страны для воссоединения с семьей и т.п.);
— умышленные (преднамеренные — razgovorodele.ru) угрозы, обусловленные несанкционированными действиями обслуживающего персонала и несанкционированным доступом к информации посторонних лиц.