При разработке алгоритма оценки информационных рисков, основанного на анализе угроз и уязвимостей информационной системы, специалистами Digital Security были рассмотрены и проанализированы различные существующие классификации угроз информационной безопасности. Попытки использования данных классификаций для описания по возможности большего количества угроз показали, что во многих случаях реальные угрозы либо не подходили ни под один из классификационных признаков, либо, наоборот, удовлетворяли нескольким.

Таким образом, основная цель создания специалистами Digital Security классификации угроз – наиболее полная, детальная классификация, которая описывает все существующие угрозы информационной безопасности, по которой каждая из угроз попадает только под один классификационный признак, и которая, таким образом, наиболее применима для анализа рисков реальных информационных систем.

Классификация угроз входит в состав программного продукта ГРИФ 2005 Digital Security Office ( http://www.dsec.ru/products/grif/).

По виду угроз информационной безопасности разделяют технологические и организационные угрозы.

Технологические угрозы по характеру воздействия разделяются на физические и программные (логические). Т.е. получаем такую начальную классификацию:

Физические угрозы могут исходить от действий нарушителя (человека), форс-мажорных обстоятельств и отказа оборудования и внутренних систем жизнеобеспечения.

Далее, положим, что нарушитель имеет физический доступ к помещению, в котором расположен ценный ресурс. Какие виды угроз информационной безопасности он может при этом осуществить? Чтобы реализовать угрозы при физическом доступе нарушитель может воздействовать либо непосредственно на ресурс, либо на канал связи. Таким образом, получим:

Далее перейдем к рассмотрению программных угроз.

Программные угрозы разделяются на угрозы, исходящие от локального нарушителя, и угрозы, исходящие от удаленного нарушителя.

Рассмотрим программные локальные угрозы на ценный информационный ресурс. При локальном доступе на программном уровне нарушить может осуществить угрозу только на ресурс, при этом на ресурсе располагаются следующие компоненты: операционная система, прикладное программное обеспечение, а также сама ценная информация, хранящаяся и обрабатываемая на ресурсе. Нарушение функционирования, целостности или конфиденциальности любого из этих элементов может привести к потере ценной информации. Получим:

Рассмотрим удаленные программные угрозы.

При удаленном программном доступе нарушитель может воздействовать как на ресурс, содержащий ценную информацию, так и на каналы связи, связывающие ресурсы между собой.

При этом при удаленном доступе к ресурсу нарушить может воздействовать на следующие его компоненты: операционную систему, сетевые службы и ценную информацию, к которой может быть открыт удаленный доступ.

При удаленном программном доступе к каналу связи для реализации угроз нарушитель может воздействовать непосредственно на сетевое оборудование или на протоколы передачи данных.

Все вышеперечисленные угрозы связаны с доступом нарушителя к ценному информационному ресурсу. Следовательно, контрмерами к данным угрозам будут адекватная защита ресурса. Но не все действия нарушителя отражаются в этой схеме. На практике в реальной системе ключевым моментом обеспечения информационной безопасности являются правильные действия пользователя. Поэтому в данной классификации невозможно было не рассмотреть так называемые угрозы персонала, т.е. человеческий фактор.

Каким образом может быть реализована угроза информационной безопасности с помощью сотрудника организации? Злоумышленник может применить воздействие на сотрудника для получения необходимых ему сведений или сотрудник сам реализует угрозу. Организационные угрозы на информацию разделяют следующим образом:

Воздействие на персонал может быть физическим и психологическим.

Воздействие на персонал (физическое и психологическое) может быть реализовано с целью получения ценной информации или с целью нарушения непрерывности ведения бизнеса.

А действия персонала – умышленными (шпионаж) или неумышленными.

При этом шпионаж, как правило направлен только на получение ценной информации, а неумышленные действия могут угрожать как информации, так и непрерывности ведения бизнеса.

Обобщив все приведенные выше положения, получим:

См. Рисунок

Таким образом, классификация угроз информационной безопасности , представленная в программном продукте Гриф 2005 из состава Digital Security Office (http://www.dsec.ru/products/grif/), разделяется по виду, характеру воздействия, причине и обекту угрозы.

На основе классификации угроз специалистами Digital Security были разработаны обширные базы угроз и уязвимостей, содержащие около 100 угроз и 200 уязвимостей.