Анализ угроз и разработка предложений по обеспечению информационной безопасности Российской Федерации в правоохранительной и судебной сферах

Мера обеспечения 1 - систематическое выявление угроз и их источников - направлены на выявление всех возможных опасностей в данной сфере общественной жизни. Следовательно, она направлена на нейтрализацию всех угроз. Мера обеспечения 2 направлена только на угрозу 7. Проведение сертификации программного и технического обеспечения направленно на проверку выполнения компонентами систем возложенных на них задач в определенных условиях, т.е. на проверку и повышение надежности. Мера обеспечения 3 - постоянное совершенствование средств защиты информации от несанкционированного доступа - противостоит угрозам 1,2 и 6. Развитие защищенных систем и повышение уровня средств защиты от несанкционированного доступа направлены на защиту от всех видов разведывательной деятельности и информационно-технических воздействии со стороны вероятных противников. Также постоянное совершенствование в области защиты от несанкционированного доступа позволяет снизить ущерб от ошибок и преднамеренных действий персонала и пользователей. Мера обеспечения 4 направлена на нейтрализацию угроз 6 и 7. Совершенствование структуры органов системы обеспечения информационной безопасности снижает возможность совершения ошибок пользователей и персонала и повышает надежность ИТКС и её компонентов. Так как совершенствование приемов и методов противодействия информационным, диверсионным и психологическим воздействиям противника и разведке непосредственно направлено на нейтрализацию угроз разведывательной деятельности, информационно-пропагандистской деятельности вероятного противника из числа иностранных государств и международных организаций и пропаганды отрицательного отношения к ВС РФ внутри страны, мера обеспечения ИБ 5 имеет отношение с угрозами 1,2,3 и 8. И наконец, мера обеспечения 6 - подготовка квалифицированных специалистов в области обеспечения ИБ в сфере обороны - направлена на решение угрозы 9, связанной с утечкой ценных информационных ресурсов за рубеж. Подготавливаемые специалисты должны восполнить пробел, остающийся после такого рода утечки.

3. ОЦЕНКА РИСКОВ РЕАЛИЗАЦИИ УГРОЗ В СФЕРЕ ОБОРОНЫ

После анализа отношений между элементами множеств, выделенных в процессе идентификации, была проведена оценка рисков. Этот процесс позволяет минимизировать затраты ресурсов на защиту. В процессе анализа возможных и выявления актуальных для активов организации угроз оценивался риск, возникающий вследствие потенциального воздействия определенной угрозы.

Известно множество различных методик анализа и оценки рисков (преимущественно иностранных). Все они позволяют получить лишь качественную их оценку на основе экспертных методов. Для данной курсовой работы использовалась методика, разработанная на основе изложенной в техническом отчете ISO TR 13569 [2].

Она состоит в следующем. Оценка риска проводится с помощью оценки возможности реализации угроз безопасности, связанных с уязвимостями, присущими тем или иным объектам защиты. На основе анализа воздействия угроз, им приписывается высокий, средний или низкий уровень риска по каждой зоне локализации уязвимостей.

Оценивались все угрозы, уязвимости и риски для обеспечения уверенности в том, что процесс оценки рисков в организации является полным. В таблице 12 приведены компоненты оценки риска.

Таблица 12 - Компоненты процесса оценки рисков

При проведении оценки рисков рассматриваются три основные категории потерь. Они сами и их описание приведено в таблице 13

Таблица 13

Матрица оценки рисков разделена на зоны локализации уязвимостей. В рамках каждой уязвимости перечисляются потенциальные угрозы. Справа от каждой угрозы приводятся уровни в рамках категорий потерь.

Матрица заполняется приданием уровня риска- высокого (В), среднего (С) или низкого (Н) - чтобы показывать зависимость каждой угрозы от каждой из зон локализации уязвимости с учетом заполнения ранее матрицы «угрозы» - «объект обеспечения ИБ».

Описание уровней риска:

Высокий: значительная денежная потеря, потеря производительности или затруднения, являющиеся результатом угрозы, вследствие соответствующей уязвимости.

Средний: номинальная денежная потеря, потеря производительности или случающиеся затруднения.

Низкий: либо минимальная возможность денежной потери, потери производительности, либо затруднения, либо вообще ничего.

Матрица оценки рисков приведена в таблице 14.

Таблица 14 - Матрица оценки рисков

Для первой зоны уязвимости - информационная инфраструктура центральных органов военного управления - выделены все имеющиеся угрозы. Разведывательная деятельность иностранных государств может привести к высокому риску затруднения деятельности. Риск потери производительности номинальный, так как зависит от того, будет ли нарушена целостность и доступность информации. Риск денежной потери низкий. Информационно-технические воздействия со стороны вероятного противника могут привести к высокому риску потери производительности, т.к. могут вывести из строя какие-либо компоненты системы. В связи с этим средним является риск денежной потери. Риск затруднения деятельности минимален. Диверсионно-подрывная деятельность иностранных спецслужб методом информационного воздействия приведет к высокому риску затруднения деятельности. Риск денежной потери средний, потери производительности - низкий для данной зоны. Деятельность иностранных структур, направленных против интересов РФ в сфере обороны приведет к среднему риску затруднения деятельности, т.к. иностранные военные и политические структуры могут оказывать психологическое давление на РФ. Риск денежной потери и потери производительности минимален. Нарушение установленного регламент работы с информацией на предприятиях оборонного комплекса может привести к высокому риску потери производительности, т.к. это может привести к блокированию дальнейшей работы с информацией до выяснения обстоятельств нарушения. Риск денежной потери в этом случае относителен, также как и риск затруднения деятельности. Преднамеренные действия и ошибки персонала ИТКС специального назначения могут привести к высокому риску потери производительности по тем же причинам, что и вышеуказанная угроза, и к высокому риску затруднения деятельности, так как это может дискредитировать пользователей и персонал ИТКС. Риск денежной потери средний. Из-за ненадежного функционирования компонентов систем риск потери производительности также является высоким. Риск затруднения деятельности низкий и риск денежной потери средний. Возможная информационно-пропагандистская деятельность, подрывающая престиж ВС РФ приведет к высокому риску затруднения деятельности. Риск денежной потери и риск потери производительности средний. И наконец, утечка за рубеж ценнейших информационных ресурсов приводит к высокому риску денежной потери. Риск потери производительности средний и риск затруднения деятельности минимальный.

Для информационных ресурсов предприятий оборонного комплекса определены пять угроз. С остальными угрозами данный объект не связан отношениями. К такому выводы мы пришли после исследования цепочки отношений «угроза»-«нападения»-«уязвимость»-«объект». Таким образом ко второй зоне уязвимости относятся пять угроз. Риск разведывательной деятельности иностранных спецслужб может привести к высокому риску потери производительности, так как ресурсы, после нарушения конфиденциальности, могут быть уничтожены. Такого рода неопределенность может быть расценена как средний уровень риска, однако, в системе оценки риска предусмотрено выбирать худший случай развития событий. Риск денежной потери низкий и риск затруднения деятельности средний. Информационно-технические воздействия со стороны вероятного противника могут привести к среднему уровню риска потери производительности из-за возможных нарушений доступности ресурсов и среднему уровню риска затруднения деятельности. Уровень денежной потери низкий. Нарушение регламента взаимодействия с информацией также как и для предыдущей зоны имеет высокий уровень потери производительности и средние уровни рисков денежной потери и затруднения деятельности. Преднамеренные или случайные ошибки и действия персонала могут привести к высокому риску потери производительности для данной зоны уязвимости, так как может быть нарушена целостность и доступность информационных ресурсов. Риск затруднения деятельности и денежной потери средний. Ненадежное функционирование ИТКС специального назначения может привести к высокому риску потери производительности и затруднения деятельности, так как низкая надежность систем, отвечающих за нормальное функционирование оборонного комплекса страны никак не способствует возрастанию общественного доверия к таким системам. Риск денежной потери номинальный и в принципе относительный. В данной зоне он определен как средний.

Для программно-технических средств автоматизированных и автоматических систем управления войсками определены семь угроз. Диверсионно-подрывная деятельность со стороны вероятного противника может привести к высокому риску затруднения деятельности, так как она осуществляется информационно-психологическими методами. Риск потери производительности в данной зоне средний, так как нет полной уверенности, что эта деятельность никак не отразиться на работоспособности программно-технических средств. Риск денежной потери минимальный. Деятельность иностранных военных и политических структур может привести к среднему риску затруднения деятельности и низкому риску денежной потери и потери производительности. Нарушения установленного регламента сбора, хранения и обработки информации для данной зоны может привести к среднему риску потери производительности, так как возможна негативная реакция программно-аппаратных средств систем специального назначения. Однако такой реакции может и не быть. Риск денежной потери в этом случае также средний. Риск затруднения деятельности минимален. В случае преднамеренных или случайных действий персонала ИТКС может возникнуть высокий риск потери производительности, так как персонал обладает большими правами доступа, чем пользователь или нарушитель, осуществляющий несанкционированный доступ, соответственно большими возможностями по реализации того или действия с программно-аппаратной средой системы. Риск денежной потери средний, риск затруднения деятельности низкий. В то время как ненадежное функционирование систем специального назначения может привести к высокому риску денежной потери и высокому риску потери производительности. Так как программно-технические средства систем специального назначения имеют важное стратегическое значение, они не могут долгое время функционировать ненадежно и подлежат немедленной замене. В наихудшем случае мы предполагаем, что данные программно-аппаратные средства дорогостоящие и требуют серьезных исследований, поэтому риск денежной потери высокий. По той же причине стратегического значения данных средств, использовать их, зная о их низкой надежности, недопустимо. Риск затруднения деятельности средний. Естественно, что пропагандистская деятельность, понижающая престиж ВС РФ, приведет к высокому риску затруднения деятельности, так как снижается общественное доверие к деятельности ВС РФ. Риск денежной потери средний, риск потери производительности низкий, так как эта деятельность никак не оказывает влияния на непосредственно производительность. Нерешенность вопросов защиты интеллектуальной собственности, приводящая к утечке за рубеж ценнейших ресурсов может привести к высокому риску денежной потери, так как серьезные и дорогостоящие разработки и исследования могут «уйти» за рубеж, иногда, беспрепятственно. Риск потери производительности и затруднения деятельности, соответственно средний.

Наконец, для систем связи и информационной инфраструктуры других войск выделены все угрозы. Данному объекту угрожают все возможные в данной сфере потенциальные возможности нападений. Все виды разведывательной деятельности иностранных спецслужб могут привести к среднему риску денежной потери, из-за последующей необходимости совершенствования систем защиты систем связи, как следствие, среднему риску потери производительности и низкому риску затруднения деятельности. Информационно-технические воздействия со стороны противника могут привести к высокому риску потери производительности. Это связано с тем, что техническими воздействиями можно вывести из строя системы связи, и как итог, существенно понизить производительность. Риск денежной потери и риск затруднения деятельности в этом случае средний. Для диверсионно-подрывной деятельности иностранных спецслужб, которая осуществляется методами информационно-психологического воздействия, определить уровень рисков в данной зоне достаточно сложно. Психологические методы не оказывают существенного влияния на системы связи. Однако уровень риска относителен и может в разных ситуациях проявляться по-разному. Поэтому уровень риска всех потерь определен как средний. Деятельность иностранных военных и политических структур может привести к среднему риску потери производительности и среднему риску затруднения деятельности. Риск денежной потери для этой зоны минимальный. Нарушение установленного регламента работы с информацией для систем связи в наихудшем случае может привести к номинальной денежной потере, аналогичным потере производительности и затруднению деятельности. Поэтому для данной угрозы все потери имеют средний уровень риска. Преднамеренные действия и ошибки персонала могут привести к высокому риску потери производительности, так как работа с системами связи в этом случае может быть прекращена. Риск денежной потери и затруднения деятельности средний. Ненадежное функционирование систем связи и элементов информационной инфраструктуры, также как и в предыдущей зоне уязвимости, может привести к высокому риску денежной потери и потери производительности. Риск затруднения деятельности в этом случае минимальный. Также для данного объекта пропаганда, понижающая престиж ВС РФ может привести к высокому риску затруднения деятельности. Риск потери производительности средний, так как функционирование систем и компонентов инфраструктуры может быть нарушено из-за понижения общественного доверия среди персонала ИТКС специального назначения. И, также как и для предыдущей зоны, утечка за рубеж ценнейших информационных ресурсов может привести к высокому риску денежной потери и среднему риску потери производительности и затруднения деятельности.

После заполнения матрицы оценки рисков становится ясной картина распределения угроз и потерь от их возможной реализации по всем объектам обеспечения информационной безопасности РФ в сфере обороны. Дальнейшим этапом оценки рисков является своеобразное подведение итога - составление таблицы оценки рисков.

Таблица оценки рисков заполняется с помощью придания объединенного уровня риска каждой из зон уязвимости. Объединенный уровень риска следует получать из всех угроз, предварительно идентифицированных, исходя из матрицы оценки рисков.

Таблица оценки рисков приведена в таблице 15.

Таблица 15 - Таблица оценки рисков

Таким образом, исходя из анализа угроз и оценки рисков, становится ясно основное направление совершенствования обеспечения информационной безопасности в сфере обороны.

Обеспечение ИБ РФ в сфере обороны в первую очередь необходимо осуществлять в направлении совершенствования средств защиты информационных ресурсов предприятий оборонного комплекса и научно-исследовательских учреждений, выполняющих государственные оборонные заказы либо занимающихся оборонной проблематикой. Общий уровень риска здесь наивысший. Это связано вероятно с тем, что информационные ресурсы - обязательная, неотъемлемая и одна из основных единиц любой информационной системы, ИТКС, системы обеспечения и управления и т. д., а средств реализации угроз в этом направлении больше всего. Однако, при проведении комплексных мероприятий по обеспечению информационной безопасности в сфере обороны РФ не стоит забывать или пренебрегать и остальными объектами обеспечения ИБ. Риск здесь номинальный, но он может перерасти в высокий, если игнорировать уязвимость этих объектов для разнообразных информационных воздействий.

Таким образом, для снижения вероятности реализации угроз ИБ в сфере обороны необходимо принимать следующие защитные меры.

Прежде всего, это систематическое выявление угроз и их источников, структуризация целей обеспечения информационной безопасности в сфере обороны и определение соответствующих практических задач.

Во-вторых, проведение сертификации общего и специального программного обеспечения, пакетов прикладных программ и средств защиты информации в существующих и создаваемых автоматизированных системах управления военного назначения и системах связи, имеющих в своем составе элементы вычислительной техники.

В-третьих, необходимо постоянное совершенствование средств защиты информации от несанкционированного доступа, развитие защищенных систем связи и управления войсками и оружием, повышение надежности специального программного обеспечения.

В-четвертых, совершенствование структуры функциональных органов системы обеспечения информационной безопасности в сфере обороны и координация их взаимодействия.

В-пятых, совершенствование приемов и способов стратегической и оперативной маскировки, разведки и радиоэлектронной борьбы, методов и средств активного противодействия информационно-пропагандистским и психологическим операциям вероятного противника.

И несомненно, для минимизации потерь от постоянной утечки специалистов и информационных ресурсов за рубеж и выполнения и разработки всех защитных мер, подготовка специалистов в области обеспечения информационной безопасности в сфере обороны.

Выполнение этих мер является минимальным условием для снижения риска до допустимого уровня, но даже оно, в условиях современной действительности, является лишь идеальным. Риск всегда будет присутствовать ввиду далеко не полномасштабной реализации мер обеспечения ИБ РФ в сфере обороны.

4. РАЗРАБОТКА ПОЛНОГО ОПИСАНИЯ УГРОЗ НА ОСНОВЕ МОДЕЛИ ГОСТ Р ИСО/МЭК 15408