Приложение 4 [к: "Рекомендации в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы РФ. Методика оценки рисков нарушения информационной безопасности" РС БР ИББС-2.2-2009" (приняты и введены в действие Распоряжением Банка России от 11.11.2009 N Р-1190)] - последняя редакция

Приложение 4

ПРИМЕРНАЯ ФОРМА
ДОКУМЕНТИРОВАНИЯ ДАННЫХ И РЕЗУЛЬТАТОВ ОЦЕНКИ СВР УГРОЗ ИБ

На примере заполнения:

тип информационного актива - "ДСП информация";

свойство ИБ - "Конфиденциальность";

способ реализации угрозы - "Несанкционированное копирование";

тип объекта среды - "Файлы данных с ДСП информацией";

источники угроз - "Внутренний нарушитель" и "Внешний нарушитель".

┌───────────────┬────────────┬──────────┬───────────┬───────────┬────────────────┬──────────────┬───────────┐
│      Тип      │Тип объекта │ Источник │Свойства ИБ│   Способ  │  Используемые  │Прочие данные,│Оценка СВР │
│информационного│   среды    │угрозы ИБ │типа инфор-│ реализации│    априорные   │ определяющие │ угроз ИБ  │
│     актива    │            │          │мационного │  угроз ИБ │  защитные меры │ СВР угроз ИБ │           │
│               │            │          │актива     │    <*>    │                │              │           │
├───────────────┼────────────┼──────────┼───────────┼───────────┼────────────────┼──────────────┼───────────┤
│"ДСП           │Файлы данных│Внутренний│Конфиден-  │Несанкцио- │Проведение      │Пользователь, │  высокая  │
│информация"    │с "ДСП      │нарушитель│циальность │нированное │кадровой работы.│имеющий право │           │
│               │информацией"│          │           │копирование│Мониторинг и    │доступа к     │           │
│               │            │          │           │           │протоколирование│файлам данных,│           │
│               │            │          │           │           │доступа к файлам│имеет         │           │
│               │            │          │           │           │данных.         │возможность   │           │
│               │            │          │           │           │Использование   │совершить     │           │
│               │            │          │           │           │антивирусной    │противоправное│           │
│               │            │          │           │           │защиты          │действие      │           │
│               │            ├──────────┼───────────┼───────────┼────────────────┼──────────────┼───────────┤
│               │            │    ...   │           │           │                │              │           │
│               │            ├──────────┼───────────┼───────────┼────────────────┼──────────────┼───────────┤
│               │            │Внешний   │Конфиден-  │Несанкцио- │Контроль и      │Нет данных    │минимальная│
│               │            │нарушитель│циальность │нированное │протоколирование│              │           │
│               │            │          │           │копирование│доступа к файлам│              │           │
│               │            │          │           │           │данных.         │              │           │
│               │            │          │           │           │Организация     │              │           │
│               │            │          │           │           │физической      │              │           │
│               │            │          │           │           │защиты зданий и │              │           │
│               │            │          │           │           │помещений.      │              │           │
│               │            │          │           │           │Использование   │              │           │
│               │            │          │           │           │антивирусной    │              │           │
│               │            │          │           │           │защиты          │              │           │
└───────────────┴────────────┴──────────┴───────────┴───────────┴────────────────┴──────────────┴───────────┘

--------------------------------

<*> Степень детализации и порядок группировки для рассмотрения способов реализации угроз ИБ определяется организацией БС РФ.

Примечание.

В ячейках "Оценка СВР угроз ИБ" требуется указать значение из следующего перечня: нереализуемая; минимальная; средняя; высокая; критическая.

Приложение 4. ПРИМЕРНАЯ ФОРМА ДОКУМЕНТИРОВАНИЯ ДАННЫХ И РЕЗУЛЬТАТОВ ОЦЕНКИ СВР УГРОЗ ИБ