Кастомизация таблицы назначений

В отдельных случаях возможны другие сценарии повреждений, которые не включены в шесть сценариев, перечисленных выше, и в каждом случае таблицу следует расширить соответствующим образом. Для всех повреждений, которые не могут быть описаны в этих сценариях, также необходимо установить границы между "нормально", "высокой" и "очень высоко".

Кроме того, должны приниматься во внимание индивидуальные обстоятельства организации. Потеря 200 000€ может быть довольно незначительной в сравнении с оборотами и бюджетов ИТ в большой компании; тогда как для маленькой организации потеря даже 10 000€ может привести к неспособности выжить. Поэтому уместно выразить границы в процентах от общего оборота, общего дохода или ИТ бюджета.

Подобные рассуждения используют по отношению к требованиям доступности. Поэтому, напр., в некоторых организациях простой в 24 часа может быть допустим. Но если несколько из таких сбоев случатся, напр., более чем раз в неделю, результат может быть недопустимым.

При обсуждении границ между "нормально", "высоко" и "очень высоко", следует рассмотреть тот факт, что стандарт IT-Grundschutz для мер защиты должен соответствовать обычным требованиям безопасности. Обсуждение следует документировать в концепции безопасности, т.к. от этого зависят выбор мер безопасности ИТ и, следовательно, косвенные затраты.

Шаг 2: Рассмотрение сценариев повреждений

Начиная от возможности потери конфиденциальности, целостности или доступности ИТ-приложения или относящейся к ним информации, рассматривают максимальное последующее повреждение, которое может возникнуть в такой ситуации. Используя вопросы "Что случится, если…?", создаются реальные сценарии повреждения с точки зрения пользователя и описываются ожидаемые материальные или нематериальные повреждения. Степень возможного повреждения, в конечном счете, определяет требования безопасности ИТ-приложения. Важно спросить личную оценку у ответственных лиц и пользователей рассматриваемых ИТ-приложений. У них скорее всего будут идеи о том, какие повреждения произошли, и могут сделать полезный вклад при сборе данных.

Чтобы облегчить процесс расчета возможного повреждения, ниже предоставляется набор вопросов для каждого упомянутого сценария повреждений, как инструмент для проверки возможных влияний. Не утверждается, что эти предложения полные; они предоставляются как руководство. В каждом случае необходимо рассматривать специфическую работы и ситуацию организации, а вопросы, предоставленные в данном руководстве, должны соответственно дополняться.

Работа с помощью сценариев повреждения, перечисленных ниже, включая относящиеся к ним вопросы, рекомендуется для каждого зарегистрированного ИТ-приложения. Наконец, таблицы, определенные выше, используются для определения требований безопасности относительно конфиденциальности, целостности и доступности, а затем категория требований защиты назначается.

Сценарий повреждения "Нарушения законов, нормативов или контрактов"

Такие повреждения могут стать результатом потери конфиденциальности, целостности или доступности. Серьезность повреждения зависит от определенных юридических последствий для организации.

Примеры соответствующего немецкого законодательства:

Конституция, Гражданский кодекс, Уголовный кодекс, Федеральный закон об охране информации и законодательство защиты данных отдельных областей, Кодекс социальной безопасности, Коммерческий кодекс, Закон представления персонала, Закон представления сотрудников, Закон об авторском праве, Закон о патентах, Закон о службах информации и связи, Закон о контроле и прозрачности в бизнесе.

Примеры соответствующих нормативов:

Административные нормативы, указы и правила использования.

Примеры контрактов:

Контракты по обслуживанию в области обработки данных, контракты по безопасности, регулирующие коммерческие/промышленные тайны.

Вопросы:

Потеря конфиденциальности

Конфиденциальность данных требуется законом?

Разглашение информации способно повлечь за собой уголовную ответственность или возмещения убытков?

Привлечены ли контракты, которые включают поддержку конфиденциальности важной информации?

Потеря целостности

Требуется ли целостность законом?

Насколько потеря целостности нарушит законы и нормативы?

Потеря доступности

Сбой ИТ-приложения приведет к нарушению каких-либо нормативов или даже законов? Если да, то в какой степени?

Должна ли определенная информация быть доступна в любое время по закону?

Должны ли устанавливаться конечные сроки, которые необходимо соблюдать при использовании ИТ-приложения?

Есть ли какие-либо условия контракта для определенных конечных сроков, которые следует соблюдать?

Сценарий повреждения "Снижения права на информационное самоопределение"

При внедрении и работе ИТ-систем и приложений существует риск нарушения информационного самоопределения или даже злоупотребления личными данными.

Примеры нарушения права информационного самоопределения:

• Запрещенный сбор личных данных без законного основания или согласия человека;

• Запрещенный сбор информации во время обработки или передачи личных данных;

• Запрещенное разглашение личных данных;

• Использование личных данных для целей, отличных от тех, для которых они собирались;

• Повреждение личных данных в ИТ-системах или во время передачи данных.

Следующие вопросы может использоваться для оценки последствий и размеров каких-либо нарушений:

Вопросы:

Потеря конфиденциальности

Какой ущерб может быть нанесен человеку, если не соблюдена конфиденциальность личных данных?

Обрабатываются ли какие-либо личные данные с запрещенной целью?

Возможна ли обработка личных данных по уважительной причине, напр., в связи со здоровьем человека или экономической ситуацией?

Какие потери или повреждения могут возникнуть из-за злоупотребления сохраненных личных данных?

Потеря целостности

Какой ущерб может быть нанесен человеку, если личные данные случайно искажены (повреждены) или умышленно подделаны?

Когда потеря целостности личных данных может быть впервые замечена?

Потеря доступности

Если в ИТ-приложении произошел сбой, или личные данные были потеряны или даже подделаны во время проблемной передачи данных, возможно ли, что затронутый человек испытает отрицательное влияние на свое социальное положение либо личные или экономические неудобства?

Сценарий повреждения "Физические повреждения"

Неисправная работа ИТ-системы или ИТ-приложения может привести к несчастному случаю, недееспособности или даже смерти. Размер повреждения должен быть оценен на основе повреждения человека.

Примеры таких ИТ-приложений и систем:

• Компьютеры медицинского контроля;

• Системы медицинского диагностирования;

• Компьютеры контроля полетов;

• Системы маршрутизации движения транспорта.

Вопросы:

Потеря конфиденциальности

Может ли человек получить физическую или психологическую травму из-за разглашения личных данных?

Потеря целостности

Может ли вмешательство в последовательность программ или данных подвергнуть опасности здоровье людей?

Потеря доступности

Может ли сбой ИТ-приложения или системы напрямую угрожать здоровью людей?

Сценарий повреждения "Нарушение выполнения обязанностей"

Именно потеря доступности ИТ-приложения или целостности данных может значительно повлиять на возможность компании или госучреждения выполнять свои задачи. В таком контексте, серьезность любого ущерба зависит от длительности повреждения и степени, до которой ограничены предоставляемые услуги.

Примеры:

• Несоблюдение конечных сроков в связи с задержками в обработке административных процедур;

• Поставка с опозданием из-за задержанной обработки заказов;

• Некачественная продукция из-за неверных параметров контроля;

• Недостаточная проверка качества из-за сбоя системы тестирования.

Вопросы:

Потеря конфиденциальности

Есть данные, конфиденциальность которых критична для выполнения задачи (напр., информация о судебном преследовании, решения расследования)?

Потеря целостности

Могут ли изменения данных ограничить выполнение задач так, что организация не сможет работать?

Был бы значительный ущерб вызван, если бы задачи выполнялись с использованием искаженных данных? Когда были впервые замечены запрещенные изменения данных?

Могут ли искаженные данные рассматриваемых ИТ-приложений привести к ошибкам в других ИТ-приложениях?

Если данные были неправильно присвоены человеку, который на самом деле их не создавал, какие могут быть последствия?

Потеря доступности

Может ли сбой ИТ-приложения настолько серьезно повлиять на работу организации, что простои больше недопустимы?

Будут ли какие-то другие ИТ-приложения затронуты при сбое данного ИТ-приложения?

Важно ли для организации, чтобы доступ к ИТ-приложениям, включая программы и данные, был обеспечен в любое время?

Сценарий повреждения "Отрицательное внутреннее или внешнее влияние"

Различные отрицательные внутренние и внешние влияния могут быть вызваны потерей одной из трех основных ценностей: конфиденциальности, целостности или доступности, например:

• Компрометация образа организации;

• Потеря доверия в организации;

• Потеря трудовой дисциплины;

• Ухудшение коммерческих отношений между компаниями партнерами;

• Потеря доверия к качеству работ организации;

• Потеря конкурентоспособности.

Уровень повреждений зависит от серьезности потери доверия или степени распространения внутреннего или внешнего влияния.

Такое повреждение может иметь много причин:

• Неспособность организации действовать при сбое ИТ-системы;

• Неверные публикации из-за подтасовки данных;

• Неверное размещение заказов из-за поврежденной программы контроля запасов;

• Несоблюдение соглашений конфиденциальности;

• Обвинение не тех людей;

• Один отдел не способен выполнить свои обязанности из-за ошибок на других участках;

• Передача "списка разыскиваемых" заинтересованным третьим лицам;

• Утечка конфиденциальных данных в прессу.

Вопросы:

Потеря конфиденциальности

Какое значение для организации будет иметь неразрешенная публикация важных данных, хранящихся в ИТ-приложении?

Может ли потеря конфиденциальности сохраненных данных вызвать ослабление конкурентоспособности?

Может ли разглашение конфиденциальных данных вызвать сомнения в соблюдении служебной тайны?

Может ли публикация данных привести к политической или социальной уязвимости?

Могут ли сотрудники потерять доверие к организации из-за неразрешенной публикации данных?

Потеря целостности

Какой ущерб может быть из-за обработки, распространения или передачи некорректных или неполных данных?

Станет ли общеизвестным подделка данных?

Может ли публикация искаженных данных привести к потере престижа?

Может ли публикация искаженных данных привести к политической или социальной уязвимости?

Могут ли искаженные данные привести к снижению качества продукции и поэтому к потере престижа?

Потеря доступности

Ограничит ли сбой в ИТ-приложении информационные сервисы, предоставляемые внешним организациям?

Препятствует ли сбой ИТ-приложений достижению целей организации?

Когда сбой ИТ-приложения становится заметным внешне?

Сценарий повреждений "Финансовые последствия"

Прямой или непрямой финансовый ущерб может возникнуть из-за потери конфиденциальности данных, которые требуют защиты, изменений в данных или сбоя ИТ-приложения. Примеры:

• Неразрешенное оглашение научно-исследовательских результатов;

• Махинации с финансовыми данными в системах учета;

• Сбой в ИТ-контролируемой промышленной системе, что приводит к снижению продаж;

• Получение информации по маркетинговой стратегии или данным товарооборота;

• Сбой системы бронирования в туристическом агентстве;

• Сбой на сервере электронной торговли;

• Сбой банковских платежных транзакций;

• Воровство или уничтожение аппаратуры.

Общий уровень повреждений состоит из затрат, понесенных напрямую или косвенно, напр., из-за повреждения собственности, а также претензий за ущерб и дополнительных затрат (напр., на восстановление).

Вопросы:

Потеря конфиденциальности

Может ли публикация конфиденциальных данных привести к требованиям возмещения убытков?

Есть ли в ИТ-приложениях данных, которые могут обеспечить финансовые выгоды, если они попадут к третьим лицам (напр., конкурентам)?

Есть ли данные исследований значительной ценности, сохраненные с помощью ИТ-приложений? Что произойдет, если такие данные скопируют и передадут без разрешения?

Может ли какое-либо повреждение быть вызвано преждевременной публикацией важных данных?

Потеря целостности

Могут ли какие-либо данные, относящиеся к учету, изменяться из-за манипулирования данными, направленного на создание финансовых потерь?

Может ли разглашение неверной информации привести к требованиям возмещения убытков?

Может ли нарушенный порядок данных привести к финансовым потерям (напр., для выпуска продукции точно к заданному сроку)?

Могут ли поврежденные данные привести к неправильным бизнес-решениям?

Потеря доступности

Нанесет ли ущерб сбой ИТ-приложения продукции, управлению запасами или распространению?

Если в ИТ-приложении происходит сбой, будут ли финансовые потери из-за отмененных платежей или потери процентов?

Сколько будет стоить исправить или восстановить ИТ-систему, если в ней произошел сбой, она была разрушена или украдена?

Может ли сбой ИТ-приложения привести к неплатежеспособности или к договорным неустойкам?

На скольких важных клиентов повлияет сбой ИТ-приложения?

Шаг 3: Регистрация результатов

Рекомендуется, чтобы требования безопасности, определенные выше, для различных ИТ-приложений записывались в таблицу. Такой централизованный документ предоставляет возможность использовать его во время последующего определения требований безопасности для ИТ-систем.

Здесь следует позаботиться о том, чтобы обеспечить регистрирование не только оцененные требования безопасности, но и лежащие в основе обоснования этих заключений. Эти обоснования обеспечат то, что заключения можно отслеживать и использовать повторно в дальнейшем.

Пример: Bundesamt für Organisation und Verwaltung (Федеральная служба организации и администрирования, Federal Agency for Organisation and Administration, BOV) - Часть 4

Таблица, представленная ниже, показывает основные ИТ-приложения, их требования безопасности и обоснования назначений категорий требований безопасности.

ИТ приложение	Оценка требований безопасности
No	Назва-ние	Перс. данные	Основной параметр	Требования безопасности	Обоснование
A1	Обработка данных персонала	X	Конфиден-циальность	Высокие	Данные о персонале составляют особенно важные детали, раскрытие которых может значительно повредить соответствующему человеку
			Целост-ность	Нормальные	Требования защиты нормальные, т.к. ошибки быстро обнаруживают, и данные могут быть исправлены позже
			Доступ-ность	Нормальные	Простои до недели могут управляться следующими ручными процедурами
A2	Обработка преиму-ществ	X	Конфиден-циальность	Высокие	Данные о выгодах включают персональные данные, у которых особенно высокие требования защиты. Некоторые из них могут иметь отношение к болезням и результатам мед. анализов. Разглашение этих данных может быть очень вредным для соответствующих людей
			Целост-ность	Нормальные	Требования безопасности нормальные, т.к. ошибки быстро обнаруживаются, и данные могут быть позже исправлены
			Доступ-ность	Нормальные	Простои до недели могут управляться следующими ручными процедурами

В этой точке целесообразно посмотреть за пределы это информации и рассмотреть требования безопасности также с общей точки зрения на бизнес-процессы или задачи специалистов. Это желательно для описания цели ИТ-приложения в бизнес-процессе или задаче специалиста и из этого установить ее важность. Степень важности может быть классифицирована следующим образом:

Важность ИТ-приложения для бизнес-процесса или задачи специалиста:

• Нормальная: бизнес-процесс или задача специалиста могут выполняться альтернативными средствами (напр., вручную) с приемлемым уровнем дополнительных расходов;

• Высокая: бизнес-процесс или задача специалиста могут выполняться альтернативными средствами (напр., вручную) со значительными дополнительными расходами;

• Очень высокая: бизнес-процесс или задача специалиста вообще не могут выполняться без ИТ-приложения.

Преимущество принятия таких доскональных распределений, в частности, что руководство может регулировать требования безопасности для отдельных ИТ-приложений при определении требований защиты. Например, может быть, что ответственный за ИТ-приложение видит его требования безопасности как "нормальные"; тогда как руководитель оценил бы его более высоко, высказав свое мнение о приложении в пределах более широкого бизнес-процесса или задачи специалиста.

Эти дополнительные данные также следует записать в таблицу.

Выполненные действия:

• Определение категорий "нормальных", "высоких" и "очень высоких" требований безопасности, или адаптация их к организации;

• Определение требований безопасности для зарегистрированных ИТ-приложений, используя сценарии повреждений и списки вопросов;

• Документирование требований безопасности ИТ-приложений и их отношений в таблице.

Дата добавления: 2015-11-14