Анализ рисков, связанных с внедрением ИС в ПФР и их снижение

Прежде, чем оценивать риски, определим угрозы безопасности информации. Угрозу будем считать актуальной в том случае, если предполагаемый нарушитель сможет её реализовать и её реализация нанесет ущерб организации вследствие нарушения конфиденциальности, целостности и/или доступности информации.
В качестве критически важных объектов определены – система 1С: «Смета бюджетного учреждения», система «ПТК-НВП», операционные системы серверов Windows Server 2012.
В результате проведенного аудита определены следующие актуальные угрозы безопасности информации:
Несанкционированный доступ к информации системы 1С: «Смета бюджетного учреждения»;
Несанкционированный доступ к операционным системам серверов Windows Server 2012 организации;
Несанкционированный доступ к системе «ПТК-НВП»;
Блокирование информации в информационной системе 1С: «Смета бюджетного учреждения»;
Блокирование информации на серверах, работающих под управлением Windows Server 2012;
Блокирование информации в информационной системе «ПТК-НВП»;
Уничтожение информации в информационной системе 1С: «Смета бюджетного учреждения»;
Уничтожение информации на серверах, работающих поl управлением Windows Server 2012.
Таким образом, выявлено 8 актуальных угроз безопасности, присвоим им соответствующие номера: угроза №1, угроза №2,...,угроза №8.
Актуальные угрозы безопасности реализуются через имеющиеся уязвимости. С целью выявления уязвимостей, эксплуатация которых нарушителем повлечет за собой реализацию актуальных угроз безопасности, организация провела внутренний пентест (тестирование на проникновение) критически важных объектов.
По результатам пентеста выявлены следующие уязвимости критически важных объектов:
Уязвимость ИС 1С: «Смета бюджетного учреждения» позволяющая злоумышленнику несанкционировано получить пароль администратора;
Уязвимость ИС 1С: «Смета бюджетного учреждения», позволяющая злоумышленнику получить неавторизованный доступ к системе;
Уязвимость CVE-2016-3227 в сервисе Windows DNS

. В случае успешной эксплуатации нарушитель получает привелегии Local System;
Уязвимость CVE-2014-1817 usp10.dll позволял добавить в файл шрифта EMF+ специальную запись, в результате чего нарушитель мог исполнить произвольный код или нарушить работоспособность Windows Server 2012;
Уязвимость ИС «ПТК-НВП» позволяющая получить пароль администратора.
Таким образом, тестирование на проникновение выявило 5 уязвимостей, присвоим им номера по вышеуказанному порядку (уязвимость №1, уязвимость №2,....,уязвимость №5). Соответственно, для информационной системы 1С: «Смета бюджетного учреждения» выявлены уязвимости №1, №2. На Windows Server 2012выявлены уязвимости №3 и №4. Для информационной системы «ПТК-НВП» выявлена уязвимость №5. Составим таблицу соответствия актуальных угроз безопасности и выявленных уязвимостей:
Уязвимость №1 Уязвимость №2 Уязвимость №3 Уязвимость №4 Уязвимость №5
Угроза №1 + + - - -
Угроза №2 - - + + -
Угроза №3 - - - - +
Угроза №4 + + - - -
Угроза №5 - - + + -
Угроза №6 - - - - +
Угроза №7 + + - - -
Угроза №8 - - + + +
Таблица №3 – Соответствие актуальных угроз и уязвимостей
Экспертной оценкой определены следующие показатели, применимые в совокупности, как для внешних, так и для внутренних нарушителей в соответствии с моделью нарушителя:
Вероятность выявления злоумышленником имеющихся уязвимостей– P(v)
Вероятность реализации угрозы нарушителем через выявленную уязвимость – P(r)
Критичность реализации угрозы через выявленную уязвимость (степень влияния угрозы на ресурс) – K(r)
Данные по вышеуказанным показателям определены в таблице:
Вероятность выявления уязвимости Вероятность реализации угрозы Критичность реализации угрозы
Уязвимость №1 0,4 0,95 0,3
Уязвимость №2 0,2 1 0,9
Уязвимость №3 0,3 0,9 1
Уязвимость №4 0,2 0,9 1
Уязвимость №5 0,5 0,8 1
Таблица №4 – расчет показателей для уязвимостей
Экспертной оценкой определены следующие показатели:
Уровень угрозы уязвимости, Th = P(v) * P(r) * K(r)
Уровень угрозы по всем уязвимостям для КВО,
UUh = 1-i=1n(1-Th)
Данные по вышеуказанным показателям определены в таблице:
Уровень угрозы Th
Уровень угрозы по всем уязвимостям UUh
Угроза №1/Уязвимость №1 0,114 0,2735
Угроза №1/Уязвимость №2 0,18
Угроза №2/Уязвимость №3 0,27 0,4014
Угроза №2/Уязвимость №4 0,18
Угроза №3/Уязвимость №5 0,4 0,6
Угроза №4/Уязвимость №1 0,114 0,2735
Угроза №4/Уязвимость №2 0,18
Угроза №5/Уязвимость №3 0,27 0,4014
Угроза №5/Уязвимость №4 0,18
Угроза №6/Уязвимость №5 0,4 0,6
Угроза №7/Уязвимость №1 0,114 0,2735
Угроза №7/Уязвимость №2 0,18
Угроза №8/Уязвимость №3 0,27 0,4014
Угроза №8/Уязвимость №4 0,18
Таблица №5 – расчет показателей уровня угроз
Экспертной оценкой установлен следующий показатель – общий уровень угроз для КВО, UUhR = UUhR=1-i=1n(1-UUh)