Угрозы информационной системе хозяйствующего субъекта. Возможный ущерб

Только понимание всего спектра угроз ИС позволит построить эффективную систему защиты.

На рис.2 представлена схема упрощённой классификации угроз предпринимательской деятельности

Рис. 1. Классификация угроз предпринимательской деятельности

По отношению к предприятию угрозы делятся на:

- внутренние - - занесение вируса в сеть сотрудниками, кража информации сотрудниками

- внешние - хакерская атака на компьютеры компании

По намеренности угрозы могут быть:

- преднамеренными - вредоносное ПО или человек, угрожающие компании;

- непреднамеренными. - случайное удаление данных сотрудником.

По цели можно выделить угрозы, направленные на:

- получение, уничтожение или изменение данных;

- нарушение работы или контроль над работой ПО и прочие.

Одной из наиболее частых хакерских атак на компьютеры предприятий является получение закрытых сведений для дальнейшего их незаконного использования (пароли к интернет-банкам, учётным записям электронной почты, финансовой и личной информации и т.д.). Такую угрозу можно классифицировать как внешнюю преднамеренную угрозу, направленную на получение данных.

При нарушении защищенности ИС предприятия, как и любого хозяйствующего субъекта, злоумышленник имеет возможность получить доступ к информации, содержащей сведения:

· характеризующие финансовое состояние и планы организации (финансовые отчеты, различная бухгалтерская документация, бизнес-планы, договоры и др.);

· персональные данные клиентов и сотрудников организации;

· технологические и конструкторские разработки, ноу-хау компании и т. п.;

· внутренние (служебные записки, аудиозаписи совещаний, презентации «только для сотрудников» и т. д.);

· технические сведения, необходимые для несанкционированного доступа в сеть либо на сайт организации третьих лиц (логины и пароли, сведения об используемых средствах защиты и т. п.).

Хищение информации такого рода принесет компании как прямой, так и косвенный ущерб.

Можно выделить три основных вида прямого ущерба:

· потеря конкурентного преимущества;

· иски от потерпевших в результате утечек клиентов и партнеров;

· штрафы со стороны правоохранительных или надзорных органов.

Потеря конкурентного преимущества – наиболее существенный вид ущерба, поскольку она может привести к самым большим убыткам, для компании. Например, на устранение несанкционированных изменений в информации или коде сайта компании могут потребоваться внушительные материальные и временные затраты.

Прямой ущерб от хищения информации определяется стоимостью конструкторских разработок, реализации бизнес-планов и многого другого, которые просто посчитать, т.к. она обычно уже заранее известна.

Размеры косвенного ущерба оценить гораздо труднее, а иногда о нем можно и никогда не узнать, но именно он приносит наибольшие убытки, т.к. выражается в потере деловой репутации компании.

Однако имеет смысл оценивать его в год, когда произошла утечка, суммой, равной удвоенной величине самого крупного из заключенного в этот период контракта (для B2B-сектора) или месячному обороту компании (для B2C), поскольку, как показывает практика, именно такие показатели характерны для известных в России случаев реализации репутационных рисков.