Ликбез: классификация угроз

Говоря об угрозах информационной безопасности, мы обычно имеем в виду какой-то достаточно ограниченный спектр угроз, с которым приходилось сталкиваться на практике данной конкретной организации. Именно поэтому важно знать, какими угрозы могут быть в принципе и на какие классы их можно поделить.

Классифицируя угрозы по компонентам информационной системы, на которые они направлены, обычно выделяют следующие подклассы: угрозы, направленные на данные; на аппаратуру; на программное обеспечение; на каналы связи; на ИТ-персонал компании. Несмотря на кажущуюся сомнительность включения ИТ-персонала в данную структуру угроз, данный подход позволяет создать исчерпывающую структуру классификации угроз по их объекту.

По природе источника угрозы выделяют искусственные и естественные угрозы. Данная классификация нуждается в дополнительных пояснениях. Под естественными понимаются угрозы, существование которых заложено в самой информационной системе организации. Например, это различные угрозы, связанные с уязвимостями в программном обеспечении или возможными сбоями аппаратуры. Под искусственными угрозами, соответственно, понимают все те угрозы, которые не подпадают под данный критерий. В первую очередь, конечно же, в списке искусственных угроз стоят различные виды атак. Также к естественным угрозам относят различные форс-мажоры (чрезвычайные происшествия, стихийные бедствия и т.д.).

По расположению источника угрозы принято выделять внутренние и внешние угрозы. Источники внешних угроз расположены за пределами защищаемой информационной системы, в то время как источники внутренних угроз расположены в ней самой. Приведем примеры. К внешним относятся атаки на корпоративные сервера, попытки незаконного проникновения в корпоративную локальную сеть, вредоносное и шпионское программного обеспечение. Нередко сюда же относят и спам, который является одним из главных источников вредоносных приложений, проникающих во внутреннюю сеть организации. Что касается внутренних угроз, то к ним относятся угрозы уничтожения или утечки информации из-за преднамеренных действий сотрудников или из-за их халатности.

По характеру реализации угрозы принято различать случайные и преднамеренные угрозы, а также активные и пассивные угрозы. Случайные угрозы, как правило, относятся к естественным, хотя в ряде случаев к ним добавляются и различные действия сотрудников. Все преднамеренные угрозы по своей природе искусственны и связаны с действием как внутренних, так и внешних злоумышленников. Что касается разделения угроз на пассивные и активные, то здесь всё просто: активные угрозы вносят изменения в информационную систему организации, а пассивные этим свойством не обладают. То есть, можно говорить о разрушающем характере активных угроз для ИС. В то же время, необходимо понимать, что с точки зрения функционирования всей организации, а не только её ИС, зачастую пассивные угрозы также могут носить разрушающий характер. К примеру, утечка конфиденциальной информации может не представлять угрозы для информационной системы организации, однако при этом нанести непоправимый удар по самому бизнесу.

По способу доступа к компонентам информационной системы выделяют угрозы, использующие стандартный доступ, и угрозы, использующие нестандартный доступ. Частным случаем второго вида угроз является угроза использования недекларированных возможностей информационной системы (наиболее характерный пример – так называемые «бэкдоры»). При использовании стандартного доступа часто злоумышленниками применяются приемы так называемой социальной инженерии либо технические средства для незаконного получения реквизитов, необходимых для доступа к корпоративной ИС (логин, пароль).

Нарушаемое в результате реализации угрозы требование к информационной системе организации – сравнительно редко употребляемый критерий классификации угроз, однако в ряде случаев о нем полезно помнить так же, как и о других возможных критериях. Основными требованиями в данном случае являются доступность, целостность, конфиденциальность; соответственно, именно по нарушению данных требований проводится классификация по данному критерию.

По характеру ущерба от реализации угрозы можно провести классификацию по следующим видам ущерба: моральный, материальный, физический. Более подробная классификация может включать в себя механизм нанесения ущерба в результате реализации угрозы, к примеру, можно выделить моральный и материальный ущерб, наносимый в результате репутационных потерь от утечек информации; ущерб от уничтожения информации; физический ущерб в результате неправильной работы управляемых системой производственных агрегатов и т.д. Стоит отметить, что по данному критерию возможно попадание угрозы сразу в несколько категорий, поскольку значительная часть угроз наносит ущерб сразу различными способами.