Определение и классификация возможных угроз, потенциальные риски

Risk Assessment

В первой части нашей статьи связаной с безопасностью в организациях мы будем рассматривать потенциальные угрозы и оценивать возможные риски.

Для примера мы будем использовать некую среднюю по размерам организацию в вакууме на примерно 15-50 человек. Построение, да и качество самого построения инфраструктуры зависит от разных факторов:

  • Компетентность сотрудников
  • Финансовые возможности
  • Заинтересованность руководства
  • Отсуствие или наличие обязательного соответствия международным (и/или локальным) требованиям, а так же прохождение аудитов
  • Оценка ситуации по затратам: выгоднее снижать потенциальные риски или разгребать их последствия

Многие организации таких размеров частенько любят использовать пиратское ПО в целях снижения финансовых затрат, но если посмотреть на такую ситуацию с другой стороны — очень велика вероятность того, что в таком ПО будет вирус или закладка, соответственно тут уже надо готовить бюджеты на борьбу с последствиями. Какие могут быть последствия? Крякнутое ПО может крашиться (произвольно выключаться), может возникать множество ошибок, неполноценно работать функционал, врядли будут какие-то обновления или поддержка, отсюда вытекают следующие последствия:

  • Отсутствие обновлений (включая обновления безопасности), для некоторых продуктов это очень критично (к примеру ОС)
  • Может отвалиться к примеру функция бекапирования, в случае чего — не будет данных для восстановления
  • Придется костылить функционал, который не работает корректно в ломаной версии (а это рабочие часы сотрудников) да и качество реализации такого подхода остается под вопросом и без каких либо гарантий
  • Врядли вы сможете полноценно проверить такое вот ПО на наличие бекдоров или вирусы

Возникает целое множество разных НО от которых будет зависеть сохранность и доступность критически важной для вашей организации информации. В интересах владельца организации постараться максимально снизить уровень потенциальных рисков.

Смотрите так же   Обзор корпоративных решений для защиты мобильных устройств и информации

С какими типами угроз чащего всего сталкиваются организации?

  1. Инсайдеры
  2. Автоматические системы сканирования безопасности (разные сервисы, скрипты и т.д. в интернете)
  3. Безответственность сотрудников
  4. Целевые атаки на системы, которые выполняются профессионалами с целью получения доступа к внутренней информации для личной выгоды
  5. Целевые атаки на системы, которые выполняются новичками без определенной цели, либо из личного интереса
  6. Атаки на отказ в обслуживании (DoS / DDoS)
  7. Форс мажорные обстоятельства

В отличии от угроз, список рисков будет немного меньше, но это так же стоит отметить:

  1. Утечка конфиденциальной информации
  2. Нарушение целостности и полная утеря критически важной информации
  3. Отказ в доступности и обслуживании систем
  4. Если компания проходит аудиты, то могут возникнуть определенные трудности, не будет соответствовать требованиям, не сможет работать

К чему это приведет?

  1. Репутационные потери
  2. Финансовые потери
  3. Компания может полностью развалиться (прецеденты имеются из реальных случаев)

Информационная безопасность предполагает обеспечение защиты данных от хищений или изменений как случайного, так и умышленного характера. Чтобы снизить количество потенциальных рисков и угроз, прорабатывать треубется всё не только технически, но и так же не стоит обходить стороной организационные моменты. Предназначение всех этих мер сводится к тому, чтобы обеспечить целостность, конфиденциальность и доступность нашей информации для конкретных пользователей.

На самом деле список рисков гораздо больше того, что приведен выше и полный список всегда можно найти в разного рода официальных документах, регламентах, стандартах. Нас конечно же, больше интересует техническая сторона вопроса.

Может быть интересно:

Добавьте комментарий