Министерство по развитию информационных технологий и коммуникаций республики узбекистан каршинский филиал ташкентского университета

Контрольные вопросы. 
1. Что такое комплексные инструменты анализа рисков? 
2. Приведите примеры использования метода CRAMM и модели COBIT. 
3. Каковы средства компании? 
4. Описать классификацию ресурсов, угроз и мер противодействия 
CRAMM. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

---

67 
14-Практическая работа 
Тема: Принятие риска информационной безопасности. 
Цель работы: Во время этого практического упражнения студенты 
узнают, как управлять потенциальными рисками в организации. 
Теоретическая часть: Особенно уязвима информация, обрабатываемая 
в корпоративных сетях организации. В настоящее время возможность 
несанкционированного использования или изменения информации, а также 
возможность попадания в оборот недостоверной информации обусловлены: 
- увеличение объема обрабатываемой, передаваемой и хранимой на 
компьютере информации; 
- сбор информации с разным уровнем важности и конфиденциальности 
в базе данных; 
- расширение круга пользователей информации, хранящейся в базе 
данных и ресурсах вычислительной сети; 
- увеличение количества удаленных рабочих мест; 
- широкое использование глобальной сети Интернет и различных 
каналов связи для связи пользователей; 
- 
автоматизация обмена информацией между компьютерами 
пользователей. 
Под угрозой информационной безопасности организации понимаются 
действия, предпринимаемые в отношении защищаемого объекта, приводящие 
к риску повреждения или утраты информации. Заранее можно сказать, что 
речь идет не обо всей информации, а только о ее части, которая, по мнению 
собственника недвижимости, имеет коммерческую ценность. 
Анализируем 
распространенные 
угрозы 
для 
современных 
корпоративных сетей и систем. Следует учитывать, что источники угроз 
безопасности могут находиться внутри корпоративной информационной 
системы (внутренний источник) и вне ее (внешний источник). Это 
разграничение правильное, так как для одной и той же угрозы (например, 
угона) способы действия на внешние и внутренние источники разные. Знание 
возможных угроз и слабых мест корпоративной информационной системы 
необходимо для выбора наиболее эффективных средств защиты. 
К частым и опасным (по размеру ущерба) угрозам относятся 
непреднамеренные ошибки пользователей, операторов, администраторов и 
иных лиц, обслуживающих корпоративные информационные системы. 
Иногда такие ошибки (неправильно введенные данные, системные сбои или 
сбои, вызванные программными ошибками) приводят к прямому ущербу. 
Иногда они создают уязвимости, которыми могут воспользоваться 
злоумышленники. Работа в глобальной информационной сети делает этот 
фактор достаточно актуальным. При этом источником ущерба может быть как 
пользователь организации, так и пользователь сети, последний особенно 

---

68 
опасен. 
Второе место по ущербу занимают хищения и подлог. В большинстве 
исследованных случаев виновниками были сотрудники в штате организации, 
хорошо знакомые с режимами работы и мерами защиты. При наличии 
мощного информационного канала, подключенного к глобальным сетям, 
отсутствие достаточного контроля за его работой создает дополнительную 
возможность для такой деятельности. 
Недовольные сотрудники (даже бывшие сотрудники) знакомы с 
организационной структурой и могут очень эффективно нанести ущерб. При 
увольнении работника с работы необходимо контролировать аннулирование 
его права пользования информационными ресурсами. 
В настоящее время умышленные попытки несанкционированного 
доступа по внешним коммуникациям составляют 10% от всех возможных 
взломов. Хотя этот размер может показаться не таким уж большим, опыт 
работы в Интернете показывает, что почти каждый интернет-сервер 
подвергается нескольким попыткам вторжений в день. При анализе рисков 
необходимо учитывать, недостаточно ли защищены корпоративные или 
локальные сетевые компьютеры организации для противодействия атакам 
или, если нет, для фиксации фактов нарушений информационной 
безопасности. Например, тесты Агентства по защите информационных систем 
(США) показывают, что 88% компьютеров имеют чувствительные области с 
точки зрения информационной безопасности, которые они могут активно 
использовать для несанкционированного использования. Отдельно следует 
рассмотреть точки удаленного использования информационной структуры 
организации. 
Перед составлением политики защиты необходимо оценить риск, 
которому подвергается компьютерная среда в организации, и принять 
необходимые меры. Очевидно, что затраты организации на контроль угрозы 
защите и принятие необходимых мер не должны превышать ожидаемых 
потерь, если не были приняты меры по защите активов и ресурсов 
организации. 
Как правило, вычислительная среда организации подвергается угрозам 
двух типов: 
1. Потеря или изменение данных. 
2. Прекращение обслуживания. 
Выявить источники угроз непросто. Они могут варьироваться от 
вредоносных вторжений до компьютерных вирусов. 
Человеческая 
ошибка 
представляет 
собой 
серьезную 
угрозу 
безопасности. На рис. 1.1 представлена круговая диаграмма, отображающая 
статистику источников нарушений безопасности в корпоративных 
информационных системах. 

---

69 
Рис 1.1 Источники нарушений безопасности 
1.1. Статистические данные, представленные на рисунке, могут 
подсказать администрации и сотрудникам организации, куда необходимо 
направить действия для эффективного снижения угроз безопасности 
корпоративной сети и системы. Конечно, должны быть приняты меры для 
решения вопросов физической безопасности и снижения негативного влияния 
человеческого фактора на безопасность. При этом необходимо уделить 
серьезное внимание решению вопроса сетевой безопасности, чтобы 
предотвратить как внешние, так и внутренние атаки на корпоративную сеть и 
систему.
Если мы проанализируем статистику компьютерных преступлений, то 
получим печальную картину. Ущерб от компьютерных преступлений можно 
сравнить с прибылью от незаконного оборота наркотиков и оружия. 
ежегодный ущерб, наносимый только «электронными преступниками» в 
США, составляет около 100 миллиардов долларов. составляют доллар. 
В ближайшем будущем этот вид преступной деятельности, вероятно, 
превзойдет три вида незаконного бизнеса, которые до недавнего времени 
занимали первое место среди противоправных действий по доходности, 
обороту денежных средств и количеству лиц, участвующих в нем. Это 
незаконный бизнес - торговля наркотиками, оружием и редкими дикими 
животными. 
По 
данным 
социологического 
исследования 
деятельности 
государственных и частных компаний, в первые годы XXI века преступления 
в сфере экономики будут направлены на злоумышленные экономические 
действия, 
которые 
могут 
быть 
связаны 
с 
информационно-

---

70 
коммуникационными комплексами банковской системы. и другие системы. 
Количество компьютерных преступлений в сфере кредита и финансов 
постоянно растет. Например, до 25% мошеннических платежных операций 
зафиксировано в интернет-магазинах. Несмотря на это, в западных странах 
наблюдается активное развитие электронной коммерции, высокодоходного 
современного бизнеса. Известно, что доходы «виртуальных» мошенников 
будут расти параллельно с развитием этого направления. Мошенники уже не 
действуют в одиночку, они работают с хорошо подготовленными, хорошо 
оснащенными техническими и программными преступными группировками, 
с участием самих банковских служащих. 
По оценкам специалистов в области безопасности, доля таких 
преступников составляет 70%. «Виртуальный» вор зарабатывает намного 
больше, чем его коллега — обычный злоумышленник. Кроме того, 
«виртуальные» преступники действуют, не выходя из дома. Средний 
показатель ущерба от кражи с использованием электронных средств в 6-7 раз 
превышает среднестатистический ущерб от вооруженного ограбления банка 
только в США. 
В 1989 г. убытки в результате различных махинаций в сфере банковских 
услуг и финансовых операций составили 800 млн. грн. из долларов в 1997 году 
- 100 млрд. дошел до доллара. Эти показатели растут, более того, они могут 
быть на порядок выше, чем данные, представленные выше. Потому что многие 
потери остаются незамеченными или незарегистрированными. Своеобразную 
«политику 
молчания» 
можно 
объяснить 
нежеланием 
системных 
администраторов 
обсуждать 
подробности 
несанкционированного 
использования своей сети, опасаясь повторения этого неприятного инцидента 
и не раскрывая свой метод защиты. 
Не лучше обстоят дела и в других областях человеческой деятельности, 
где используются компьютеры. Из года в год увеличивается количество 
обращений в правоохранительные органы по поводу компьютерных 
преступлений. 
Все эксперты признают, что вместе с распространением вирусов резко 
возросли внешние атаки. Видно, что ущерб, причиняемый компьютерными 
преступлениями, неуклонно растет. Но неверно утверждать, что 
компьютерные 
преступления 
часто 
совершаются 
«виртуальными» 
мошенниками. В настоящее время угроза проникновения в компьютерные 
сети исходит от хакеров, взломщиков и компьютерных пиратов, у каждого из 
которых свои методы. 
Хакеры, в отличие от других компьютерных пиратов, иногда объявляют 
владельцам компьютеров, что намерены взломать их системы заранее, в целях 
хвастовства. Они сообщают о своих успехах на интернет-сайтах. В этом случае 
хакер не повреждает компьютеры, на которые он заходит с намерением 

---

71 
конкурировать.