Рекомендации по рискам

 

Для того чтобы перевести самые опасные риски в область «не критичных» необходимо проанализировать график 1. На нём видно, что 1 и 3 угрозы при их «удачном» проявлении принесут, максимальны урон, несмотря на это третья наименее вероятная, поэтому рациональнее было бы двигаться по пути уменьшения убытков при её возникновении. Что касается 1 угрозы здесь необходимо понизить частоту и возможные убытки. Риск 2 как и 3 можно уменьшать за счёт уменьшения убытков.

Получив предыдущие заключения можно предложить следующий путь:

поскольку 1 и 2 риски схожи по угрозе, понижение частоты её появления положительно скажется сразу на обоих рисках;

1,2,3 риски не должны приносить настолько сильные убытки

Непосредственные рекомендации:

1. Маскировать оборудование, пользоваться тонированными окнами, постоянно устанавливать новые обновления для препятствия утечки через бреши в системе.

 (Риск1.частота= -0,5;Риск2.частота=-0,5)

2. Устанавливать ПО следящие за сканированием портови попытками отправлять запросы с последующим блокированиемIP
(Риск1.частота= -0,5;Риск2.частота=-0,5)

3. Установить жесткий контроль за тем чтобы сотрудник попадал в только в те места, куда ему положено, и не располагал информацией об оборудовании соседнего отдела.
(Риск1.частота= -0,5; Риск3.частота= -0,5)

4. Дублирование важных элементов и узлов, двойное копирование важных документов, сервер с копиями и резервный сервер.
(Риск1.убытки= -0,5;Риск3.убытки=-0,5, Риск2.убытки=-0,5  )

5. Быстрое восстановление системы
(Риск1.убытки= -0,5;Риск3.убытки=-0,5, Риск2.убытки=-0,5)

6. Невозможность использовать данные полученные незаконным путём. Передача информации в соответствующие структуры, для блокирования счетов, ключей, операций.
(Риск1.убытки= -1;Риск3.убытки=-1, Риск2.убытки=-1)

7. Установка средств позволяющих установить личность злоумышленника и отсудить у него убытки, полученные в ходе его действий.
(Риск1.убытки= -1;Риск3.убытки=-1, Риск2.убытки=-1)

 

Итого суммарная польза от действий:

Риск1: частота= -1,5; убытки= -3 à частота=2; убытки=2; Оценка: 4.

Риск2: частота= -1,5; убытки= -3àчастота=2; убытки=1; Оценка: 2.

Риск3: частота= -0,5; убытки= -3àчастота=2; убытки=2;Оценка: 4.

 

За счёт проведения мероприятий все риски не превышают ранее выбранный уровень.

 

ИСПОЛЬЗОВАНИЕ ИНСТРУМЕНТОВ СУИБ «МАТРИЦА»

В своей роботе я решил сформировать отчёты по направлению программно-технические меры. Некоторые из них.

Установить ОС, программы по проэкту ПТК произвести их настройку.

Кодирівнів:                                                                  Об'єкт       Центр сертификации ключей

Коли поставлена 01.01.2011                                     Керівник              Основи

Строк виконання 01.12.2012                                     Відповідальний Керівник Системный администратор

Людино-годин 5                                                     Відповідальний Спец. прогр. сред.служ. сист.

Статус         Постійна                                        Заходи       Установка и настройка прогр.

Оновлена       08.01.2012                                     Засоби       ПО: БД, оп.сист., администр.,

Код задачі       11                                                   Етап         Создание ЦСК

Виконавці                                                                                                Змістетапів

Сис. админ. - Коротков М. А.                         Активи      Програмное обеспечение

Спец. по ПОсист.админ. - Голодюк К.В.            Загрози      Некоректныеустанов./настройка

                                                                                Оцін. ризику 9

                                                                                Вимоги       Правильность роботы системы

                                                                                Вирішення   Проверка функционирован.

                                                                                Впровадження Независимая экспертиза

                                                                                Контроль   Контроль эксперт. комисией банка

Стан          Установить ПО: баз данных, серверное, робочих мест и т.д.

Проблеми    Контроль поручить эксперт.комис. банка.

Зауваження

Установить средства контоля и ограничения доступа на объект ЦСК в соответствии с

Проэктной документацией КСЗИ.

Кодирівнів:                                                                  Об'єкт       Центр сертификации ключей

Коли поставлена 01.01.2011                                     Керівник              Основи

Строк виконання 01.12.2012                                     Відповідальний Керівник Администратор безопасности ЦСК

Людино-годин 5                                                     Відповідальний Спец. по технич. средствам служ. ЗИ

Статус         Постійна                                        Заходи       Установка охранных систем

Оновлена       08.01.2012                                     Засоби       Камеры, сигнализ., пульт ох, код

Код задачі       6                                                     Етап         Создание ЦСК

Виконавці                                                                                                Змістетапів

Админ. Безопасности - Каштан А. Б.                  Активи      Все активы

Руководитель сл. ЗИ ЦСК- Карпов Д.А. Спец.   Загрози      Доступ к объекту не имея прав

 по тех. ср. ЗИ ЦСК-Жолудь В.У.

                                                                                Оцін. ризику 10

                                                                                Вимоги       Прав. настр.тех. средств контр.

                                                                                Вирішення   Устан. средств по проэкту

                                                                                Впровадження Ввод в эксплуатацию системы

                                                                                Контроль   Контр. СБ б и отвецтвенных за ИБ

Стан          Поручить ответственному специалисту устанавливать и настраивать охранные

                   системы.

Проблеми    Контроль возложить на СБ банка и отвецтвенных лиц в ЦСК.

Зауваження    В последующем назначить лиц отвечающих за контрольно- пропускной режим

Эти отчёты удобны тем, что можно распечатать и раздать их исполнителям, в них сразу всё сформировано.

Также, на мой взгляд интересен инструмент «Статистика задач и знаний» с его помощью, я определ нагрузку на каждого сотрудника(таб.1).

Відповідальний	Задач
Руководитель ЦСК	4
Спец. по технич. средствам служ. ЗИ	2
Нач. служб и администраторы	2
Системный администратор	1
Администратор безопасности ЦСК	1
Спец. по тех. сред.служ. сист. админстр	1
Спец. прогр. сред.служ. сист. админстр	1
Нач. служ. защиты информации	1
Cпец. по програм. средствам служ. ЗИ	1
Начальник отдела кадров	1
Общий итог	15

 

Видна неравноценная нагрузка на руководителя ЦСК, поэтому необходимо ему предоставить помощника или распределить некоторые задачи среди администраторов.

 

 

ВЫВОДЫ

 

С помощью СУИБ «Матрицы» на основе нормативно- правовых документов можно решить много задач.Это достигается путём разбивания одной задачи на мелкие задания в которых есть ответственный и ей присущие угрозы. Все задания легко формируются в один файл, что позволяет раздать их исполнителю.

Также интересен анализ рисков проведя который можно увидить в каком направлении стоит совершенствовать защиту, и чем можно принебречьсекономив средства.

Выполнение роботы позволило мне разобраться в нюансах открытия аккредитованного центра сертификации ключей как подразделения банка, пошагово расписать действия, понять какие могут проявляться угрозы и как максимально защититься от них.

 

СПИСОК ЛИТЕРАТУРЫ

1. Домарев В.В. Безопасность информационных технологий. Системный подход. – К.: ООО ТИД Диа Софт, 2004. –992 с.

2. http://zakon.rada.gov.ua

3. http://www.security.ukrnet.net/modules/newbb/viewtopic.php?topic_id=647&post_id=2356&order=1&viewmode=flat&pid=0&forum=41#2356