Риски информационной безопасности веб-приложений

Информационная безопасность*, Блог компании Pentestit.

Использование информационных систем и технологий связано с определенной совокупностью рисков. Оценка рисков необходима для контроля эффективности деятельности в области безопасности, принятия целесообразных защитных мер и построения эффективных экономически обоснованных систем защиты.

Основу риска образуют возможные уязвимости и угрозы для организации, поэтому выявление потенциальных или реально существующих рисков нарушения конфиденциальности и целостности информации, распространения вредоносного программного обеспечения и финансового мошенничества, классификация угроз информационной безопасности является одной из первичных задач по защите веб-приложения.

Риски нужно контролировать постоянно, периодически проводя их переоценку. Отметим, что добросовестно выполненная и тщательно документированная первая оценка может существенно упростить последующую деятельность. Управление рисками, как и любую другую деятельность в области информационной безопасности, необходимо интегрировать в жизненный цикл информационной системы. Тогда эффект оказывается наибольшим, а затраты — минимальными. Можно выделить основные этапы жизненного цикла информационной системы:

• · инициация, согласно бизнес-процессам компании;
• · установка;
• · эксплуатация;
• · выведение из эксплуатации.

Информационная система и её составляющие Первым шагом в процессе оценки рисков является определение объекта оценки, то есть границ анализируемой информационной системы, а также ресурсов и информации, образующих ИС. О системе необходимо собрать следующую информацию:

• · архитектура ИС;
• · используемое аппаратное обеспечение;
• · используемое программное обеспечение;
• · системные интерфейсы (внутренняя и внешняя связность);
• · топология сети;
• · присутствующие в системе данные и информация;
• · поддерживающий персонал и пользователи;
• · миссия системы (то есть процессы, выполняемые ИС);
• · критичность системы и данных;
• · чувствительность (то есть требуемый уровень защищенности) системы и данных.

Действия: оценка технического задания функционала системы и её фактических составляющих.

Управление рисками Управление рисками включает в себя два вида деятельности, которые чередуются циклически:

• · регламентную оценку рисков;
• · выбор эффективных и экономичных защитных средств (нейтрализация рисков).

По отношению к выявленным рискам возможны следующие действия:

• · ликвидация риска (например, за счет устранения уязвимости);
• · уменьшение риска (например, за счет использования дополнительных защитных средств или действий);
• · принятие риска (и выработка плана действия в соответствующих условиях).

Управление рисками можно подразделить на следующие этапы:

• · инвентаризация анализируемых объектов;
• · выбор методики оценки рисков;
• · идентификация активов;
• · анализ угроз и их последствий;
• · определение уязвимостей в защите;
• · оценка рисков;
• · выбор защитных мер;
• · реализация и проверка выбранных мер;
• · оценка остаточного риска.

Для определения основных рисков можно следовать следующей цепочке: источник угрозы > фактор (уязвимость) > угроза (действие) > последствия (атака).

• · Источник угрозы — это потенциальные антропогенные, техногенные или стихийные носители угрозы безопасности.
• · Угроза (действие) — это возможная опасность (потенциальная или реально существующая) совершения какого-либо деяния (действия или бездействия), направленного против объекта защиты (информационных ресурсов), наносящего ущерб собственнику, владельцу или пользователю, проявляющегося в опасности искажения и потери информации.
• · Фактор (уязвимость) — это присущие объекту информатизации причины, приводящие к нарушению безопасности информации на конкретном объекте и обусловленные недостатками процесса функционирования объекта информатизации, свойствами архитектуры автоматизированной системы, протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой, условиями эксплуатации.
• · Последствия (атака) — это возможные последствия реализации угрозы (возможные действия) при взаимодействии источника угрозы через имеющиеся факторы (уязвимости).

Действия: внедрение политики информационной безопасности компании.

Источник угрозы Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Методы противодействия напрямую зависят от организаторов защиты информации.

В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Или, простыми словами — это либо хакер-злоумышленник или их группа, либо персонал компании, мотивированный теми или иными факторами на противоправные или противозаконные деяния. Субъекты (источники), действия которых могут привести к нарушению безопасности информации могут быть как внешние, так и внутренние.

Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. К ним относятся:

• · криминальные структуры;
• · потенциальные преступники и хакеры;
• · недобросовестные партнеры;
• · технический персонал поставщиков телематических услуг;
• · представители надзорных организаций и аварийных служб;
• · представители силовых структур.

Внутренние субъекты (источники), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомы со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации, имеют возможность использования штатного оборудования и технических средств сети. К ним относятся:

• · основной персонал (пользователи, программисты, разработчики);
• · представители службы защиты информации.

Действия: составление вероятностной шкалы источников угроз.