Инциденты информационной безопасности АСУ ТП зарубежных государств

При составлении данного аналитического отчёта специалистами НТЦ «Станкоинформзащита» использовалась общая система оценки уязвимостей версии 2 (CVSS v2), которая позволяет наиболее ёмко описать свойства уязвимости и соответствующие риски, которые она может за собой повлечь. CVSS v2 разбита на три группы описательных метрик: базовые, временные и метрики окружения.
Базовые метрики
описывают основные свойства уязвимости;

Временные метрики
описывают характеристики, изменяющиеся с течением времени, среда применения уязвимости (окружения) не влияет на их изменение;

Метрики окружения
свойства уязвимости, характерные определённой среде применения уязвимости

К каждой из групп определены параметры, значения которых подсчитываются по специальной методике. После выставления соответствующих значений, результат вычисления градируется по шкале от 1 до 10, пропорциональной шкале от низкого уровня критичности до высокого.

Для тех уязвимостей, подсчёт показателей CVSS v2 которых не проводился, были проведены дополнительные описания с выставлением значений групп метрик по сведениям информационно-аналитических ресурсов, зафиксировавших появление уязвимости (ленты уязвимостей «Bugtrack», ресурсы технической поддержки пользователей на официальных сайтах производителей программной продукции).

После определения свойств уязвимостей в программных продуктах элементов АСУ ТП проводился сравнительный анализ угроз реализации НСД в отношении АСУ ТП с использованием:
1) организации апробации уязвимости в стендовых условиях лаборатории;
2) анализа категории безопасности (КБ, SC) и соответствующего суммарного ущерба (Impact), который может быть нанесён информационной системе на примере информационных систем федерального уровня зарубежных государств в соответствии с документом FIPS 199 «Standards for Security Categorization of Federal Information and Information Systems»;

В основе методики лежит описание ущерба от воздействия на каждую из составляющих информационной системы по критериям показателей раскрытия конфиденциальности, нарушения целостности и доступности.
Значения показателей нанесённого ущерба:
— низкий уровень ущерба
НИЗКИЙ, раскрытие конфиденциальности, нарушение целостности и доступности влекут несущественные, ограниченные или предотвратимые последствия;

— средний уровень ущерба
СРЕДНИЙ, раскрытие конфиденциальности, нарушение целостности и доступности влекут существенные негативные последствия в отношении деятельности Владельца информационной системы, её пользовательских активов;

— высокий уровень ущерба
ВЫСОКИЙ, раскрытие конфиденциальности, нарушение целостности и доступности влекут катастрофические последствия;