Уязвимости безопасности информации, их классификация и ранжирование

Классификация уязвимостей

Угрозы, как возможные опасности совершения какого-либо действия, направлен­ного против объекта защиты, про­являются не сами по себе, а через уязвимости (факторы), приводя­щие к нарушению безопасности информации на конкретном объ­екте.

Уязвимости присущи объекту информатизации, неотделимы от него и обусловливаются недостатками процесса функционирования, свойствами архитектуры автомати­зированных систем, протоколами обмена и интерфейсами, применяе­мыми программным обеспечением и аппаратной платформой, услови­ями эксплуатации и расположения.

Источники угроз могут исполь­зовать уязвимости для нарушения безопасности информации, полу­чения незаконной выгоды (нанесе­ния ущерба собственнику, владель­цу, пользователю информации). Кроме того, возможны и незлонаме­ренные действия источников угроз по активизации тех или иных уяз­вимостей, наносящих вред. Каждой угрозе могут быть со­поставлены различные уязвимос­ти. Устранение или существенное ослабление уязвимостей влияет на возможность реализации угроз безопасности информации.

Уязвимости безопасности информации могут быть

(табл. 2.2 – 2.4):

– объективными;

– субъективными;

– случайными.

Объективные уязвимости (табл. 2.2) зави­сят от особенностей построения и технических характеристик обо­рудования, применяемого на за­щищаемом объекте. Полное уст­ранение этих уязвимостей невоз­можно, но они могут существенно ослабляться техническими и инже­нерно-техническими методами па­рирования угроз безопасности ин­формации.

Таблица 2.2 Объективные уязвимости информационной безопасности

Субъективные уязвимости (табл. 2.3) за­висят от действий сотрудников и, в основном, устраняются организа­ционными и программно-аппа­ратными методами.

Таблица 2.3 Субъективные уязвимости информационной безопасности

Случайные уязвимости (табл. 2.4) зависят от особенностей окружающей за­щищаемый объект среды и не­предвиденных обстоятельств. Эти факторы, как правило, мало пред­сказуемы и их устранение возмож­но только при проведении ком­плекса организационных и инже­нерно-технических мероприятий по противодействию угрозам ин­формационной безопасности.

Таблица 2.4 Случайные уязвимости информационной безопасности

Для удобства анализа уязвимос­ти делятся на классы (обознача­ются заглавными буквами), груп­пы (обозначаются римскими цифрами) и подгруппы (обозначаются строчными буквами).