1.2.Основные понятия и особенности модели

Базовые угрозы информационной безопасности – нарушение конфиденциальности,

нарушение целостности и отказ в обслуживании.

Ресурс – любой контейнер, предназначенный для хранения информации, подверженный

угрозам информационной безопасности (сервер, рабочая станция, переносной компьютер).

Свойствами ресурса являются: перечень угроз, воздействующих на него, и критичность

ресурса.

Угроза – действие, которое потенциально может привести к нарушению безопасности.

Свойством угрозы является перечень уязвимостей, при помощи которых может быть

реализована угроза.

Уязвимость – это слабое место в информационной системе, которое может привести к

нарушению безопасности путем реализации некоторой угрозы. Свойствами уязвимости

являются: вероятность (простота) реализации угрозы через данную уязвимость и критичность реализации угрозы через данную уязвимость.

Критичность ресурса (АС)–степень значимости ресурса для информационной системы, т.е.как сильно реализация угроз информационной безопасности на ресурс повлияет на работу информационной системы. Задается в уровнях (количество уровней может быть в диапазоне от 2 до 100) или в деньгах. В зависимости от выбранного режима работы, может состоять из критичности ресурса по конфиденциальности, целостности и доступности (АСс, АCi, ACa).

Критичность реализации угрозы (ER)– степень влияния реализации угрозы на ресурс, т.е.как сильно реализация угрозы повлияет на работу ресурса. Задается в процентах. Состоит из критичности реализации угрозы по конфиденциальности, целостности и доступности (ERc,ERi, ERa).

Вероятность реализации угрозы через данную уязвимость в течение года (P(V))– степень возможности реализации угрозы через данную уязвимость в тех или иных условиях.

Указывается в процентах.

Максимальное критичное время простоя (Tmax)– значение времени простоя, которое

является критичным для организации. Т.е. ущерб, нанесенный организации при простаивании ресурса в течение критичного времени простоя, максимальный. При простаивании ресурса в течение времени, превышающего критичное, ущерб, нанесенный организации, не увеличивается.