ГОСТ Р ИСО/МЭК 27005-2010 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности
Приложение С
(справочное)
Примеры типичных угроз
В приведенной ниже таблице С.1 даны примеры типичных угроз. Этот перечень может использоваться в процессе оценки угроз. Угрозы могут быть умышленными, случайными или связанными с внешней средой (природными) и могут иметь результатом, например, ущерб или потерю важных сервисов. В приведенном ниже перечне для каждой угрозы указывается ее происхождение: "У" (умышленная), "С" (случайная), "П" (природная) угроза. "У" обозначает все умышленные действия, направленные на информационные активы, "С" обозначает все действия персонала, которые могут случайно нанести ущерб информационным активам, а "П" обозначает все инциденты, не основанные на действиях персонала. Угрозы перечисляются не в приоритетном порядке.
Таблица С.1 - Примеры типичных угроз
Вид | Угрозы | Проис- |
Физический ущерб | Пожар | С, У, П |
Ущерб, причиненный водой | С, У, П | |
Загрязнение | С, У, П | |
Крупная авария | С, У, П | |
Разрушение оборудования или носителей | С, У, П | |
Пыль, коррозия, замерзание | С, У, П | |
Природные явления | Климатическое явление | П |
Сейсмическое явление | П | |
Вулканическое явление | П | |
Метеорологическое явление | П | |
Наводнение | П | |
Утрата важных сервисов | Авария системы кондиционирования воздуха или водоснабжения | С, У |
Нарушение энергоснабжения | С, У, П | |
Отказ телекоммуникационного оборудования | С, У | |
Помехи вследствие излучения | Электромагнитное излучение | С, У, П |
Тепловое излучение | С, У, П | |
Электромагнитные импульсы | С, У, П | |
Компрометация информации | Перехват компрометирующих сигналов помех | У |
Дистанционный шпионаж | У | |
Прослушивание | У | |
Кража носителей или документов | У | |
Кража оборудования | У | |
Поиск повторно используемых или забракованных носителей | У | |
Раскрытие | С, У | |
Данные из ненадежных источников | С, У | |
Преступное использование аппаратных средств | У | |
Преступное использование программного обеспечения | С, У | |
Определение местонахождения | У | |
Технические неисправности | Отказ оборудования | С |
Неисправная работа оборудования | С | |
Насыщение информационной системы | С, У | |
Нарушение функционирования программного обеспечения | С | |
Нарушение сопровождения информационной системы | С, У | |
Несанкционированные действия | Несанкционированное использование оборудования | У |
Мошенническое копирование программного обеспечения | У | |
Использование контрафактного или скопированного программного обеспечения | С, У | |
Искажение данных | У | |
Незаконная обработка данных | У | |
Компрометация функций | Ошибка при использовании | С |
Злоупотребление правами | С, У | |
Фальсификация прав | У | |
Отказ в осуществлении действий | У | |
Нарушение работоспособности персонала | С, У, П |
Особое внимание следует уделять источникам угроз, происходящих от деятельности человека (см. таблицу С.2).
Таблица С.2 - Источники угрозы
Источник угрозы | Мотивация | Действие угрозы |
Хакер, взломщик | Вызов Самомнение Бунтарство Статус Деньги | Хакерство Социальная инженерия Проникновение в систему, взлом Несанкционированный доступ к системе |
Лицо, совершающее компьютерное преступление | Разрушение информации Незаконное раскрытие информации Денежная выгода Несанкционированное изменение данных | Компьютерное преступление (например, компьютерное преследование) Мошенническая деятельность (например, воспроизведение, выдача себя за другого, перехват) Информационный подкуп Получение доступа обманным путем Проникновение в систему |
Террорист | Шантаж Разрушение Использование в личных интересах Месть Политическая выгода Охват среды (передачи данных) | Взрыв/Терроризм Информационная война Системная атака (например, распределенный отказ в обслуживании) Проникновение в систему Порча системы |
Промышленный шпионаж (сведения секретного характера компании, иностранные правительства, другие правительственные объединения) | Конкурентное преимущество Экономический шпионаж | Получение оборонного преимущества Получение информационного преимущества Экономическая эксплуатация Хищение информации Покушение на неприкосновенность личной жизни Социальная инженерия Проникновение в систему Несанкционированный доступ к системе (доступ к секретной информации, являющейся собственностью фирмы и/или связанной с технологией) |
Инсайдеры (плохо обученные, недовольные, злонамеренные, беспечные, нечестные или уволенные служащие) | Любопытство Самомнение Разведка Денежная выгода Месть Ненамеренные ошибки и упущения (например, ошибка ввода данных, ошибка в составлении программы) | Нападение на служащего Шантаж Просмотр информации, являющейся собственностью фирмы Неправильное использование компьютера Мошенничество и хищение Информационный подкуп Вредоносное программное обеспечение (например вирус, логическая бомба, Троянский конь) Продажа информации личного характера "Жучки" в системе Проникновение в систему Вредительство в системе Несанкционированный доступ к системе |