Методические рекомендации по формированию требований к обеспечению информационной безопасности информационных систем и ресурсов города Москвы Москва, 2006 г
| Вид материала | Методические рекомендации |
| П.3.1.Общий классификатор угроз безопасности информационно-коммуникационных технологий |
- Концепция информационной безопасности информационных систем персональных данных в Администрации, 329.44kb.
- Правительство москвы постановление от 14 марта 2006 г. N 178-пп о создании комплексной, 2381.25kb.
- Рекомендации по обеспечению информационной безопасности Заключение, 358.69kb.
- Иально опасных объектов инфраструктуры Российской Федерации и опасных грузов, утвержденной, 84.77kb.
- Современные методы и средства обеспечения информационной и инженерно-технической защиты, 337.78kb.
- Теоретические основы информационной безопасности автоматизированных систем, 26.65kb.
- Концепция информационной безопасности информационных систем персональных данных гуз, 250.36kb.
- Некоторые задачи управления проектом защиты корпоративной информационной системы, 25.45kb.
- Рекомендации мсат по обеспечению безопасности на автомобильном пассажирском транспорте, 1583.56kb.
- Правительство москвы постановление от 7 декабря 2004 г. N 843-пп о совершенствовании, 5525.26kb.
П.3.1.Общий классификатор угроз безопасности информационно-коммуникационных технологий
| № п/п | Классификационный признак угроз безопасности | Содержание классификатора |
| 1. | По источнику угроз | Внешние Внутренние |
| 2. | По цели воздействия | Нарушение конфиденциальности Нарушение целостности Нарушение доступности Нарушение штатного режима функционирования |
| 3. | По принципу воздействия | Использование существующих (штатных) каналов доступа Использование скрытых каналов доступа Формирование новых каналов доступа |
| 4. | По способам воздействия | Нарушение структур данных Нарушение текстов, объектных и загрузочных кодов программ Нарушение функций общего программного обеспечения (ПО) Нарушение функций специального ПО Нарушение протоколов обмена данными или искажение информации в каналах связи |
| 5. | По характеру воздействия | Активное воздействие (нарушение, разрушение, искажение) Пассивное воздействие (сбор информации, наблюдение, анализ) Интерактивный режим нарушителя с объектом (субъектом) доступа Воздействие при осуществлении информационно-вычислительного процесса обработки данных |
| 6. | По объектам и субъектам воздействия | Департаменты Управления Подчиненные подразделения Внешние абоненты Обслуживающий персонал Лица, принимающие решения в органах управления |
| 7. | По средствам воздействия | Несанкционированный доступ (НСД) Воздействие компьютерными вирусами Специальное программно-техническое воздействие Проявление недекларированных возможностей Имитовоздействие на информацию Побочные электромагнитные излучения и наводки Сбои и отказы в программах и техническом оборудовании, ошибки оператора (проявление непреднамеренных дефектов) |
| 8. | По используемой ошибке | Ошибки в организационно-технических мероприятиях Ошибки в проекте системы обеспечения безопасности информации Ошибки в выборе средств защиты информации (СЗИ) в соответствии с грифом защищаемой информации и характеристиками АС Недостаточное качество средств защиты Ошибки в работе администратора локальной сети и администратора безопасности информации Ошибки в работе автоматизированных рабочих мест (АРМ) Ошибки и/или недекларированные возможности в алгоритмах и программах Ошибки в структурах данных (использование избыточных, ложных или искаженных данных) Ошибки сертификационных испытаний |
| 9. | По состоянию нарушаемых технологических процессов | Сбор, прием, передача данных, обмен информацией по сетям Осуществление информационно-вычислительного процесса Запись, считывание, хранение информации |
| 10. | По типу нарушения (нарушение конфиденциальности информации) | Несекретно Для служебного пользования, коммерческая тайна, персональные данные и др. (конфиденциальная информация) |
| 11. | По типу воздействия | Программное Программно-техническое Техническое Побочные электромагнитные излучения и наводки (радиоперехват и радиоэлектронное подавление) |
| 12. | По потенциальному ущербу | Низкий ущерб (несущественный, на уровне административных решений) Средний ущерб (требует материальных затрат) Высокий ущерб (значительный материальный ущерб) Катастрофический ущерб (ущерб на уровне затрат, приводящих к корректировке расходования бюджетных средств государства) |
| 13. | По соответствию требованиям к средствам защиты информации | Класс защищенности для автоматизированных систем (АС) Класс защищенности для средств вычислительной техники (СВТ) Класс защищенности для межсетевых экранов Класс защищенности для антивирусных средств Класс по контролю отсутствия недекларированных возможностей |
| 14. | По сценариям воздействия субъекта доступа | Внешний злоумышленник Санкционированный пользователь Санкционированный абонент удаленного доступа Зарегистрированный пользователь внешней системы Администратор АС Администратор безопасности информации Программист - разработчик |
| 15. | По этапам жизненного цикла системы | Технологические угрозы Эксплуатационные угрозы |
| 16. | По характеру возникновения | Преднамеренные воздействия Непреднамеренные воздействия |
| 17. | По виду совершенного компьютерного преступления | Неправомерный доступ к компьютерной информации Создание, использование и распространение вредоносных программ Нарушение правил эксплуатации СВТ, АС |