Статус документа

ГОСТ Р ИСО/МЭК ТО 13335-5-2006 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Часть 5. Руководство по менеджменту безопасности сети

12 Определение видов риска безопасности

Работа большинства организаций в настоящее время зависит от использования систем ИТ и сетей, поддерживающих их деловые операции. Более того, во многих случаях существует конкретное требование бизнеса по использованию сетевых соединений между системами ИТ в месте расположения каждой организации и других местах внутри и за пределами организации. При подсоединении к другой сети большое внимание следует уделять защите соединяющей организации от возникновения дополнительных рисков. Возникновение рисков возможно в результате, например, собственного соединения организации или соединений на другом конце сети.

В то время как сетевые соединения являются важными по деловым соображениям, необходимо признать, что их использование может вносить дополнительные риски безопасности, некоторые из которых, возможно, связаны с необходимостью строгого соблюдения соответствующих законов и постановлений. Виды рисков, указанные в настоящем разделе, отражают озабоченности, связанные с обеспечением безопасности. К ним относят несанкционированный доступ к информации, передачи без разрешения, внедрение злонамеренного кода, отказ подтверждения источника и подключения к услугам. Таким образом, виды риска безопасности, с которыми может встретиться организация, касаются:

- конфиденциальности информации;

- целостности информации;

- доступности информации и услуг;

- отказа от подтверждения обязательств;

- подотчетности транзакций;

- достоверности информации;

- надежности информации.

Не все виды риска безопасности применимы к любому помещению или любой организации. Однако соответствующие виды риска безопасности необходимо выявлять для определения потенциальных контролируемых зон (и, в конечном итоге, выбора, проектирования, реализации и поддержания защитных мер).

Следует собирать и анализировать информацию по импликациям (вовлечению) в деловые операции, имеющие отношение к указанным выше видам риска безопасности (желательно по результатам анализа рисков и управления результатами проведенного анализа). При этом рассмотрению подлежат конфиденциальность или важность информации (возможное вредное влияние на бизнес) и соответствующие потенциальные угрозы и уязвимости. В случае более значимого вредного влияния на деловые операции организации следует обратиться к матрице видов риска, представленной в таблице 5.

Необходимо обратить внимание на то, что при завершении этой задачи следует использовать результаты анализа риска безопасности и управление результатами этого анализа, проведенного в отношении соединения(ий) сети. Эти результаты позволят определить уровень детализации анализа проведенного управления и сосредоточить внимание на потенциально вредном влиянии, оказываемом на бизнес в связи с перечисленными выше видами риска, а также с типами угроз, уязвимостями и, следовательно, рисками для деятельности организации.

Ссылки на доверительные отношения по разделу 11 указывают в подзаголовках к таблице 5, а причиняемые воздействия - в левой части таблицы.

В точках пересечения указывают ссылки на потенциальные контролируемые зоны, которые далее рассматриваются в разделе 13.

Следует заметить, что в таблице 5 показано, как с увеличением доверия пользователя увеличивается необходимость в защитных мерах. Для этого существуют две причины.

Первая - имеется ряд защитных мер, описание которых приведено в ISO/IEC TR 13335-4 (и поэтому здесь не повторяется). Эти меры следует выбирать для обеспечения безопасности ведущих средств ИТ, в том числе идентификации и аутентификации и логического контроля доступа. Конфигурация разрешений (привилегий) в ситуациях нижнего уровня доверия должна обеспечивать доступ только к ресурсам, которые согласуются с доверительной моделью и потребностями планируемого доступа. В ситуациях низкого доверия степень идентификации и аутентификации, логический контроль доступа и защитные меры (см. ISO/IEC TR 13335-4) должны быть выше, чем в ситуациях высокого доверия. При невозможности подобных действий должны быть внедрены дополнительные защитные меры.

Вторая - пользующиеся доверием пользователи обычно получают доступ к более важной/критической информации и/или функциональности. Это может означать потребность в дополнительной защите в качестве признания ценности ресурсов доступа, но не в качестве доверия к пользователям.

Таблица 5 - Матрица видов риска безопасности и ссылок на номера пунктов, описывающих потенциальные защитные зоны


Тип риска	Ссылка на доверительное отношение
	Низкая/ общая	Средняя/ общая	Высокая/ общая	Низкая/ частная	Средняя/ частная	Высокая/ частная
Раскрытие конфиденциальности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.7	13.3.3	13.3.3	13.3.4	13.3.3	13.3.5
	13.8	13.3.4	13.3.4	13.4	13.3.4	13.4
	13.9	13.4	13.3.5	13.5	13.4	13.7
	13.12	13.5	13.4	13.7	13.7	13.9
		13.7	13.5	13.8	13.8
		13.8	13.7	13.9	13.9
		13.9	13.8	13.12	13.12
		13.12	13.9
			13.12
Нарушение целостности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.6	13.3.3	13.3.3	13.3.4	13.3.3	13.3.5
	13.7	13.3.4	13.3.4	13.4	13.3.4	13.4
	13.8	13.4	13.3.5	13.5	13.4	13.6
	13.10	13.5	13.4	13.6	13.6	13.7
	13.12	13.6	13.5	13.7	13.7	13.10
		13.7	13.6	13.8	13.8
		13.8	13.7	13.10	13.10
		13.10	13.8	13.12	13.12
		13.12	13.10
			13.12
Потеря готовности (доступности)	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.6	13.3.3	13.3.3	13.3.4	13.3.4	13.3.5
	13.7	13.3.4	13.3.4	13.4	13.4	13.4
	13.8	13.4	13.3.5	13.5	13.6	13.6
	13.13	13.5	13.4	13.6	13.7	13.7
		13.6	13.5	13.7	13.8	13.12
		13.7	13.6	13.8	13.12	13.13
		13.8	13.7	13.12	13.13
		13.13	13.8	13.13
			13.13
Потеря способности подтверждать передачу/прием в сети	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.7	13.3.3	13.3.3	13.3.4	13.3.4	13.3.3
	13.11	13.3.4	13.3.4	13.4	13.4	13.3.4
	13.13	13.4	13.3.5	13.5	13.7	13.3.5
		13.5	13.4	13.7	13.11	13.4
		13.7	13.5	13.11	13.13	13.7
		13.11	13.7	13.13		13.13
		13.13	13.13
Потеря подотчетности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.6	13.2.6	13.2.6	13.2.3	13.2.3	13.2.3
	13.2.4	13.2.4	13.3.3	13.2.4	13.2.4	13.2.4
	13.6	13.3.4	13.3.4	13.2.5	13.2.5	13.2.5
	13.7	13.4	13.4	13.2.6	13.2.6	13.2.6
	13.8	13.6	13.6	13.3.3	13.3.3	13.3.3
	13.12	13.7	13.7	13.3.4	13.4	13.3.4
		13.8	13.8	13.4	13.6	13.4
		13.12	13.12	13.6	13.7	13.7
				13.7	13.12
				13.8
				13.12
Потеря аутентичности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.6	13.2.6	13.2.6	13.2.3	13.2.3	13.2.3
	13.2.4	13.2.4	13.3.2	13.2.4	13.2.4	13.2.5
	13.3.3	13.3.3	13.3.3	13.2.5	13.2.5	13.2.6
	13.5	13.3.4	13.3.4	13.2.6	13.2.6	13.3.2
	13.6	13.4	13.4	13.4	13.3.2	13.3.4
	13.8	13.5	13.5	13.5	13.4	13.4
	13.10	13.6	13.6	13.6	13.5	13.5
	13.12	13.8	13.7	13.8	13.6	13.6
		13.10	13.8	13.10	13.10	13.7
		13.12	13.10	13.12	13.12	13.10
			13.12
Ухудшение надежности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.6	13.2.6	13.2.6	13.2.3	13.2.3	13.2.3
	13.2.4	13.2.4	13.3.2	13.2.4	13.2.4	13.2.5
	13.3.3	13.3.3	13.3.3	13.2.5	13.2.5	13.2.6
	13.5	13.4	13.3.4	13.2.6	13.2.6	13.3.2
	13.6	13.5	13.4	13.4	13.3.2	13.3.4
	13.8	13.6	13.5	13.5	13.5	13.5
	13.12	13.7	13.6	13.6	13.6	13.6
	13.13	13.8	13.7	13.8	13.7	13.7
		13.12	13.8	13.12	13.12	13.12
		13.13	13.12	13.13	13.13	13.13
			13.13