4 Моделирование угроз безопасности информации

Моделирование угроз безопасности информации предусматривает анализ способов ее хищения, изменения или уничтожения с целью оценки наносимого этим ущерба.

Моделирование угроз включает:

1. моделирование способов физического проникновения злоумышленника к источникам информации;

2. моделирование технических каналов утечки информации;

Действие злоумышленника по добыванию информации и материальных ценностей определяется поставленными целями и задачами, мотивацией, квалификацией и технической оснащенностью. Прогноз способов физического проникновения следует начать с выяснения, кому нужна защищаемая информация. Для создания модели злоумышленника необходимо мысленно проиграть с позиции злоумышленника варианты проникновения к источникам информации. Чем больше при этом будет учтено факторов, влияющих на эффективность проникновения, тем выше будет вероятность соответствия модели реальной практике. В условиях отсутствия информации о злоумышленнике лучше переоценить угрозу, хотя это может привести в увеличению затрат.

4.1 Моделирование способов физического проникновения

Нам необходимо смоделировать различные способы физического проникновения злоумышленника и доступа его к защищаемой информации. Наименование элементов информации и их цена берется из таблицы 2. Комната назначения зависит от месторасположения элемента информации.

Путь составляется по планам помещения с обозначенными комнатами и дверями (Приложение 4 и Приложение 5). Он состоит из последовательности окон (w) и дверей (d), которые нужно преодолеть злоумышленнику для достижения цели.

Оценка реальности пути:

Реальность пути является вероятностью выбора злоумышленником этого пути. Она определялась методом экспертных оценок. Вероятность зависит от простоты реализации именного этого пути проникновения. Очевидно, что через некоторые окна и двери легче проникнуть, поэтому учитывалось несколько соображений:

1. Проникнуть легче через окно, выходящее на улицу, чем через окно, выходящее во внутренний двор банка;

2. Проникнуть легче через дверь, чем через окно;

3. Легче проникнуть в окно, не содержащее дополнительных средств защиты, чем в окно с решетками;

4. Проникнуть легче через обычную дверь, чем через железную;

5. В окно первого этажа легче забраться, чем в окно второго (т.к. вплотную к зданию не прилегают какие-либо здания и пожарных лестниц нет – крыша находится под полным контролем; также решетки на окнах первого этажа вертикальные, т.е. забраться по ним на второй этаж невозможно);

6. Чем больше нужно миновать препятствий, тем путь менее вероятен;

В зависимости от этих соображений выбирается оценка реальности пути: для маловероятных путей она равна 0.1, для вероятных путей – 0.5, для наиболее вероятных – 0.9.

Величина угрозы находится по формуле:

После нахождения величины угрозы необходимо произвести ранжирование. Я выбрал 6 различных рангов для более точного определения важности защиты данного элемента информации. Значения величины угрозы для каждого ранга приведены в Таблице 4.

После получения всех значений заполняется Таблица 5.

Таблица 4

Интервал величины угрозы	Ранг угрозы
30 000 -	1
10 000 – 29 999	2
1 000 – 9 999	3
100 – 999	4
50 – 99	5
1 – 49	6

Таблица 5

Модель способов физического проникновения злоумышленника к источникам информации
№	Наименование элемента информации	Цена информации	Цель (комната)	Путь проникновения злоумышленника	Оценка реальности пути	Величина угрозы в условных единицах	Ранг угрозы
1	2	3	4	5	6	7	8
1	Сведения о клиентах и партнерах	50 000	R1	1.w1 2.w3–d7–d8 3.w12–d6–d8	0.5 0.5 0.5	25 000	2
2	Сведения о планах противодействия конкурентам	45 000	R1	1.w1 2.w3–d7–d8 3.w12–d6–d8	0.5 0.5 0.5	22 500	2
3	Статистические данные	45 000	R3	1.w5 2.w7–d3–d1 3.w12–d1 4.w13–d4–d1	0.9 0.1 0.1 0.1	40 500	1
4	Сведения о поставках	35 000	R2, R5, R9	1.w9 1.w11-d9 1.w3 1.w16 1.w13-d4-d12-d13	0.9 0.5 0.1 0.5 0.1	31 500	1
5	Сведения о закупках	20 000	R9	w13-d4-d12-d13 w16 w5-d1-d4-d12-d13	0.1 0.5 0.1	10 000	2
6	Сведения о финансовых операциях	20 000	R9	w13-d4-d12-d13 w16 w5-d1-d4-d12-d13	0.1 0.5 0.5	10 000	2
7	Сведения о контактах с иностранными фирмами	15 000	R1	1.w1 2.w3–d7–d8 3.w12–d6–d8	0.5 0.5 0.5	7 500	3
8	Сведения о политике развития новых направлений деятельности	10 000	R2	1.w10 2.w12-d9 3.w5-d1-d9 4.w7-d3-d9	0.1 0.5 0.5 0.5	5 000	3
9	Договоры стратегического сотрудничества	7 000	R1	1.w1 2.w3–d7–d8 3.w12–d6–d8	0.5 0.5 0.5	3 500	3
10	Контракты на поставку товаров	3 000	R9	1.w13-d4-d12-d13 2.w16 3.w5-d1-d4-d12-d13	0.1 0.5 0.9	2 700	3
11	Маркетинговые исследования	1 000	R8	1.w21 2.w11-d4-d12-d11 3.w15-d10-d11	0.5 0.1 0.1	500	4
12	Стратегия действий на рынке	500	R1,R2	1.w1 2.w3–d7–d8 3.w10 4.w12-d9	0.1 0.5 0.1 0.5	250	4
13	Сведения о намерениях расширения предприятия	100	R1	1.w1 2.w3–d7–d8 3.w12–d6–d8	0.5 0.5 0.5	50	5
14	Личные сведения о сотрудниках фирмы	48,75	R6	1.w11 2.w5-d1 3.w13-d4	0.5 0.9 0.1	45	6
15	Сведения о заработной плате работников	21	R9	1.w13-d4-d12-d13 2.w16 3.w5-d1-d4-d12-d13	0.1 0.5 0.9	18.9	6
16	Сведения о результатах продаж	75	R3	1.w5 2.w7–d3–d1 3.w12–d1 w13–d4–d1	0.9 0.1 0.1 0.1	65	5
17	Статистика продаж по продуктам	84	R3	1.w5 2.w7–d3–d1 3.12–d1 4.w13–d4–d1	0.9 0.1 0.1 0.1	74	5
18	Экономические прогнозы	150	R7	1.w14 2.w21-d11-d10 3.w11-d4-d12-d10	0.9 0.5 0.5	135	4
19	Сведения о кредитной политики компании	78	R9	1.w13-d4-d12-d13 2.w16 3.w5-d1-d4-d12-d13	0.1 0.5 0.9	70	5
20	Сведения о рекламе предприятия	21	R4	1.w7 2.w5-d1-d3 3.w11-d3	0.9 0.5 0.1	19	6

Выводы: По результатам полученной модели можно выдвинуть следующие предложения по улучшению защиты элементов информации:

Таблица 6

№	Наименование элемента информации	Ранг угрозы	Предложения по улучшению защиты
1	Статистические данные	1	Установка на окна отдела статистики решеток на окна	Установка внешней видеокамеры, которая будет осуществлять контроль над доступом к окнами w1-w6 и w14-w19
2	Сведения о поставках	1	Установка на окна отдела поставок решеток на окна
3	Сведения о клиентах и партнерах	2	Установка в кабинете генерального директора дополнительно датчиков движения
4	Сведения о планах противодействия конкурентам	2
5	Сведения о закупках	2	Установка в бухгалтерии датчиков движения
6	Сведения о финансовых операциях	2

В первую очередь необходимо улучшать защиту для элементов информации с рангом 1.