Рассмотрим угрозы информационной безопасности систем, построенных по технологии «Умный дом». Считаем, что базовыми классическими угрозами информационной безопасности являются нарушение конфиденциальности, целостности и доступности информации.
Под конфиденциальностью информации мы понимаем невозможность утечки конфиденциальной информации организаций (лиц), эксплуатирующих «Умный дом», через его подсистемы (например, через телекоммуникационную сеть).
Под доступностью информации мы понимаем такое состояние системы, при котором легальные пользователи (и сама система), используя элементы «Умного дома», могут реализовывать разрешенные в системе действия (открывать двери, включать кондиционирование или систему пожаротушения, мониторить ситуацию и т.д.). Нарушение доступности информации может привести к невозможности системы реагировать на различные ситуации, в том числе и аварийные.
Под целостностью информации мы понимаем такое состояние системы, при котором легальные пользователи (и сама система) получают достоверную информацию о состоянии подсистем «Умного дома». Получение системой недостоверной информации о температуре в помещениях, наличии пожара, утечки газа и воды и т.п. приведет к неадекватным ее действиям (например, к включению системы пожаротушения, перекрытию воды и т.д.).
Из примеров видно, что нарушение конфиденциальности, целостности и доступности информации в системе, построенной по технологии «Умный дом», может привести как к дезорганизации работы организаций (лиц), ее эксплуатирующих, так и к катастрофическим последствиям.
Значение риска информационной безопасности будем рассчитывать на основе вероятности (частоты) реализации угроз на уязвимые элементы системы, эффективности угроз в случае их реализации, а также возможного ущерба для активов системы. Для определения значения риска будем использовать качественную шкалу оценки, которая дает возможность выработать понимание о степени уязвимости систем, построенных по анализируемой технологии. Ниже приведены примеры качественных шкал оценки рисков информационной безопасности.
Под классом актива будем понимать роль той или иной подсистемы (элемента подсистемы) «Умного дома» в обеспечении качества функционирования системы (ущерба функционированию всей системы). Так, например, ложное срабатывание датчика утечки воды и датчика пожарной сигнализации, может привести к различным последствиям.
Качественная шкала оценки уровня класса актива может выглядеть в следующем виде.
Высокое влияние на систему (ВВ) - влияние на конфиденциальность, целостность и доступность элементов системы может причинить организации (владельцам) значительный или катастрофический ущерб.
Среднее влияние на систему (СВ) - влияние на конфиденциальность, целостность и доступность элементов системы может причинить организации (владельцам) средний ущерб. Средний ущерб не вызывает значительных или катастрофических изменений, однако нарушает нормальную работу организации (нормальную жизнедеятельность).
Низкое влияние на систему (НВ) – влияние на конфиденциальность, целостность и доступность элементов системы не причиняет организации (владельцам) какого – либо серьезного ущерба.
Оценку вероятности реализации угрозы на уязвимые элементы системы, построенной по технологии «Умный дом», будем оценивать через частоту реализации угрозы за определенный период.
1. Высокая. Вероятно, реализация одного или нескольких угроз в пределах года.
2. Средняя. Угроза может возникнуть в пределах двух-трех лет.
3. Низкая. Возникновение угрозы в пределах трех лет маловероятно.
Оценку эффективности реализации угрозы на уязвимые элементы данной системы будем оценивать по следующей шкале:
1. Высокая подверженность воздействию. Значительный или полный ущерб для актива.
2. Средняя подверженность воздействию. Средний или ограниченный ущерб.
3. Низкая подверженность воздействию. Незначительный ущерб или отсутствие такового.
Так, например, такой канал утечки конфиденциальной информации, как съем злоумышленником побочных электромагнитных излучений сервера, имеет разную эффективность в различных условиях и может принимать значение от низкой до высокой подверженности воздействию. Для вычисления уровня риска будем использовать подход, предложенный компанией Microsoft. На первом этапе, на основании значения класса актива и оценки подверженности актива воздействию (эффективности реализации угрозы) определяется уровень влияния (таблица 1).
Таблица 1
Определение уровня влияния
| Класс актива | Высокое влияние | Средний | Высокий | Высокий |
| Среднее влияние | Низкий | Средний | Высокий | |
| Низкое влияние | Низкий | Низкий | Средний | |
| Низкая | Средняя | Высокая | ||
| Уровень подверженности воздействию |
На втором этапе, на основании уровня влияния и вероятности реализации угрозы определяется итоговый риск информационной безопасности (таблица 2).
Таблица 2
Определение итогового риска
| Влияние (из таблицы 1) | Высокий | Средний | Высокий | Высокий |
| Средний | Низкий | Средний | Высокий | |
| Низкий | Низкий | Низкий | Средний | |
| Низкий | Средний | Высокий | ||
| Уровень вероятности реализации угрозы |
Проведем оценку рисков информационной безопасности системы, построенной по технологии «Умный дом». В качестве примера возьмем помещение офиса, в котором циркулирует конфиденциальная информация, существуют требования по обеспечению доступности и целостности информации, а также требования по нормальной жизнедеятельности сотрудников. Все офисное оборудование подключено через единую сеть, которую контролирует центральный контролер. Необходимо отметить, что точная оценка рисков информационной безопасности должна осуществляться для конкретных условий существования организации, к которым относятся степень важности информации, циркулирующей в организации, ее расположение, используемые механизмы управления информационной безопасностью и т.д. Выделим наиболее вероятные угрозы, через которые может произойти нарушение информационной безопасности «Умного дома» при использовании централизованного подхода.
Таблица 3
Угрозы информационной безопасности «Умного дома»
| № | Тип атаки | Уязвимость | Возможные последствия |
| Хакерские атаки на центральный сервер | Подключение сети «Умного дома» к Интернет. Отсутствие (неэффективность) механизмов защиты периметра сети | Нарушение работы, либо выход из строя центрального сервера, а следовательно и всей системы. Нарушение конфиденциальности, целостности и доступности информации (КЦД) | |
| Влияние вирусных и троянских программ на работу системы | Подключение сети «Умного дома» к Интернет. Отсутствие (неэффективность) механизмов защиты периметра сети | Сбои в ПО системы, а, следовательно, нарушение работы либо вывод из строя аппаратуры системы. Нарушение КЦД информации, находящейся внутри сети | |
| Перехват информации, передаваемой по проводным и беспроводным каналам связи | Возможность доступа злоумышленника к проводным каналам или к зоне устойчивого перехвата радиосигналов сети. Отсутствие (неэффективность) механизмов защиты трафика | Нарушение конфиденциальности информации, передаваемой по каналу. Возможен захват управления системой | |
| Доступ злоумышленника с правами администратора на центральный сервер с помощью хищения паролей и других реквизитов разграничения доступа | Отсутствие (неэффективность) механизмов аутентификации и идентификации | Нарушение КЦД информации, находящейся внутри сети | |
| Доступ к сети неавторизованных пользователей. | Отсутствие (неэффективность) механизмов аутентификации и идентификации | Нарушение КЦД информации, находящейся внутри сети | |
| Наличие нарушителей в числе обслуживающего персонала (охранники, наладчики, уборщики и др.) | Отсутствие (неэффективность) организационных мероприятий по отбору и контролю за персоналом | Нарушение КЦД информации. Возможны сбои в системе из-за неправильного обслуживания оборудования. Уровень опасности зависит от степени доступа инсайдера к системе | |
| Ошибки пользователя. | Отсутствие (неэффективность) механизмов защиты системы от неправильных действий пользователей | Нарушение КЦД информации. Возможны сбои в системе из-за неправильного использования оборудования | |
| Кража (злоумышленный вывод из строя аппаратуры) системы «Умного дома» | Отсутствие (неэффективность) – физической охраны объекта | Нарушение КЦД информации | |
| Перебои в сети электропитания | Отсутствие системы автономного электропитания | Дезорганизация работы системы | |
| Стихийные бедствия (пожар и др.) | Отсутствие (неэффективность) механизмов защиты | Дезорганизация работы системы | |
| Поломка аппаратуры системы | Низкая надежность оборудования, низкая квалификация персонала | Нарушение КЦД информации | |
| Ошибки программного обеспечения | Использование нелицензионного ПО, низкая квалификация персонала, отсутствие (неэффективность) тестирования закупаемого ПО | Нарушение КЦД информации | |
| Утечка информации через побочные электромагнитные излучения и наводки (ПЭМИН) | Наличие ПЭМИ компьютерной техники. Выход проводников, в которых могут быть наводки излучений, за пределы контролируемой зоны | Нарушение конфиденциальности информации, обрабатываемой на ЭВМ | |
| Утечка информации по акустоэлектрическому каналу | Наличие акустоэлектрических преобразователей (датчики охранной, пожарной сигнализации и т.д.), подключенных к проводным линиям | Нарушение конфиденциальности информации |
Таблица 4
Уровень риска для выделенных угроз ”Умного дома”
| № | Тип атаки | Вероятность атаки | Уровень подверженности воздействию | Класс актива |
| Хакерские атаки на центральный сервер | Высокая | Высокий | Высокое влияние | |
| Влияние вирусных и троянских программ на работу системы | Высокая | Высокий | Высокое влияние | |
| Перехват информации, передаваемой по проводным и беспроводным каналам связи | Средняя | Средний | Среднее влияние | |
| Доступ злоумышленника с правами администратора на центральный сервер с помощью хищения паролей и других реквизитов разграничения доступа | Низкая - средняя | Высокий | Высокое влияние | |
| Доступ к сети неавторизованных пользователей | Высокий | Среднее | Среднее – низкое | |
| Наличие нарушителей в числе обслуживающего персонала (охранники, наладчики, уборщики и др.) | Средняя | Высокий | Высокое – среднее влияние | |
| Ошибки пользователя | Высокая | Средний | Низкое влияние | |
| Кража (злоумышленный вывод из строя аппаратуры) системы «Умного дома» | Средняя | Высокий | Среднее – низкое влияние | |
| Перебои в сети электропитания | Низкая (если есть автономный источник электропитания) Высокая (если автономного электропитания нет) | Высокий | Высокое влияние | |
| Стихийные бедствия (пожар и др.) | Средняя | Высокий | Высокое влияние | |
| Поломка аппаратуры системы | Средняя | Средний | Среднее влияние | |
| Ошибки программного обеспечения | Средняя - высокая | Высокий | Высокое влияние | |
| Утечка информации через побочные электромагнитные излучения и наводки (ПЭМИН) | Средняя | Средняя | Среднее влияние | |
| Утечка информации по акустоэлектрическому каналу | Средняя | Средняя | Среднее влияние |
Заключение
Исходя из результатов оценки, самыми опасными являются те угрозы, при которых злоумышленник может брать под контроль всю систему, построенную по анализируемой технологии. Поэтому крайне необходимым является проведение мероприятий по защите телекоммуникационной сети, разграничение прав доступа пользователей, защита от инсайдеров. Опасными являются риски потери электропитания, пожар в серверной, поломки оборудования и отказ программного обеспечения, отвечающего за централизованное управление системой. Реализация данных угроз может привести к катастрофическим последствиям для всей системы. Поэтому важной задачей при проектировании подобных систем является детальная оценка риска для конкретных условий с анализом всех потенциальных угроз и уязвимостей.
Список литературы
1) «Умный дом» [Электронный ресурс] — Режим доступа: \www/ URL: https://umnydom. kiev.ua/index.php?nma=catalog&fla=stat&cat_ id=3&page=1&nums=24/ — 05.03.2011 г. — Загл. С экрана.
2) 2. Перспективы рынка систем ”Умный дом” [Электронный ресурс] / Центр инженерных технологий CENTEC. — Режим доступа: \www/ URL: https://www. centecgroup.ru/press/articles/18/ — 02.03.2011 г. — Загл. С экрана.
3) Умный дом [Электронный ресурс] - Режим доступа:URL: https://ru.wikipedia.org/wiki.
4) Роберт К. Элсенпитер, Тоби Дж. Велт «Умный Дом строим сами» издатель: Кудиц-Образ 2004 г; 362 стр.