Безопасность связана с защитой активов. Активы — это сущности, представляющие ценность для кого–либо. Примеры активов включают:
- содержание файла или сервера;
- подлинность голосов, поданных на выборах;
- доступность процесса электронной коммерции;
- возможность использовать дорогостоящий принтер;
- доступ к средствам ограниченного доступа.
Но так как ценность — это весьма субъективное понятие, то почти все, что угодно, может рассматриваться в качестве активов.
Среда, в которой размещаются эти активы, называется средой функционирования. Примерами (аспектами) среды функционирования являются:
- компьютерное помещение в банке;
- компьютерная сеть, подключенная к Интернету;
- локальная вычислительная сеть (ЛВС);
- обычная офисная среда.
Многие активы представлены в виде информации, которая хранится, обрабатывается и передается продуктами ИТ таким образом, чтобы удовлетворить требования владельцев этой информации. Владельцы информации вправе требовать, чтобы доступность, распространение и модификация любой такой информации строго контролировались и активы были защищены от угроз контрмерами. Рисунок 2 иллюстрирует высокоуровневые понятия безопасности и их взаимосвязь.
Рисунок 2 — Понятия безопасности и их взаимосвязь
За сохранность рассматриваемых активов отвечают их владельцы, для которых эти активы имеют ценность. Существующие или предполагаемые нарушители также могут придавать значение этим активам и стремиться использовать их вопреки интересам их владельца. Примерами источников угрозы являются хакеры, злонамеренные пользователи, незлонамеренные пользователи (которые иногда делают ошибки), компьютерные процессы и сбои.
Владельцы активов будут воспринимать такие угрозы как потенциальную возможность нанесения такого ущерба активам, при котором ценность активов для владельцев уменьшилась бы. Специфичный для безопасности ущерб обычно состоит в следующем (но не ограничивается этим): потеря конфиденциальности активов, потеря целостности активов или потеря доступности активов.
Таким образом, эти угрозы увеличивают риски для активов, зависящие от вероятности реализации угрозы и ущерба активам при реализации рассматриваемой угрозы. Для того чтобы уменьшить риски для активов, реализуются контрмеры. Эти контрмеры могут включать ИТ–контрмеры (такие как межсетевые экран и смарт–карты) и не–ИТ–контрмеры (такие как охрана и процедуры). Более широкое рассмотрение контрмер (мер безопасности), а также способов их реализации и управления ими представлено в ИСО/МЭК 27001 и ИСО/МЭК 27002.
Поскольку за активы могут нести (несут) ответственность их владельцы, то им следует иметь возможность отстаивать принятое решение о приемлемости риска для активов, создаваемого угрозами.
При отстаивании этого решения должна иметься возможность продемонстрировать два важных момента, что:
- контрмеры являются достаточными, если контрмеры выполняют то, что заявлено, и угрозам, направленным на активы, обеспечивается противостояние;
- контрмеры являются корректными, если контрмеры выполняют то, что заявлено.
Многие владельцы активов не имеют знаний, опыта или ресурсов, необходимых для вынесения суждения о достаточности и корректности контрмер, и при этом они могут не захотеть полагаться исключительно на утверждения разработчиков этих контрмер. Вследствие этого данные потребители могут захотеть повысить свою уверенность в достаточности и корректности некоторых или всех контрмер путем заказа оценки этих контрмер.
Рисунок 3 иллюстрирует понятия, используемые при оценке, и их взаимосвязь.
Рисунок 3 — Понятия, используемые при оценке, и их взаимосвязь
[из 6.2 Активы и контрмеры ГОСТ Р ИСО/МЭК 15408–1–2012]