Исследование устройств класса TrustScreen

Введение

Рост краж средств с расчетных счетов клиентов банков при использовании систем дистанционного банковского обслуживания (ДБО) увеличивает нагрузку на клиентскую службу, службу информационной безопасности и негативно сказывается на имидже банков.

Основной проблемой безопасности клиента систем ДБО является организационная и техническая сложность создания доверенной среды для осуществления операций со счетом. Следствием этого является возможность совершения мошеннических действий на компьютере клиента с помощью шпионского ПО. Злоумышленник, при помощи специализированного ПО, получает удаленный контроль над средой, в которой выполняется приложение клиент-банка. Специализированное ПО обеспечивает злоумышленнику полный доступ к файловой системе и оперативной памяти компьютера «жертвы»,  позволяет осуществлять контроль портов ввода-вывода и отслеживать сетевой обмен. При этом злоумышленник не имеет физического доступа к пользователю и его рабочему месту. Используя перечисленные возможности, злоумышленник может совершать следующие атаки на систему безопасности клиента ДБО:

1.Хищение ключей электронной подписи с использованием шпионского ПО:

Кража ключей хранящихся в виде файлов на флешках, дисках, дискетах, на жестком диске и т. д.

Кража ключей из оперативной памяти, в случае использования клиентом средства защищенного хранения ключей – токенов с извлекаемыми ключами.

2.Несанкционированный доступ к криптографическим возможностям токена/смарт-карты с неизвлекаемыми ключами с использованием шпионского ПО:

Атака при помощи средств удаленного управления компьютером клиента.

Атака с использованием удаленного подключения к USB-порту (USB-over-IP).

3.Подмена документа при передаче его на подпись в токен  с неизвлекаемыми ключами. Атака возможна с использованием шпионского ПО и/или за счет ошибок реализации ПО клиент-банка.  Пользователь видит на экране монитора одну информацию, а на подпись отправляется другая.

Использование в системе ДБО токена с неизвлекаемыми ключами (доверенная среда для формирования подписи) позволяет эффективно бороться с хищением ключей электронной подписи обозначенным в п.1.

Доверенная среда, формируемая с помощью модулей доверенной загрузки или с помощью загрузки «чистой» операционной системы с доверенного носителя,  может использоваться для защиты от угроз, обозначенных в п. 1 и п.2. Гарантировать защиту от угрозы по п.3 таким способом невозможно, поскольку часть атак на подмену платежной информации  реализуется  за счет ошибок в системах клиент-банка. Например, используя ошибки, приводящие к возможности выполнения крос-сайт-скриптинга (XSS) на web-серверах банков. При таком способе атаки, даже доверенная операционная система, запущенная на рабочем месте оператора, не может гарантировать безопасности при совершении платежа. Кроме того, загрузка с доверенного носителя накладывает ряд неудобств, на использование клиент-банка  в связке с системами автоматизированного управления предприятиями. 

 Для обеспечения защиты от всех перечисленных угроз необходимо обеспечить доверенную среду для выполнения всех ниже перечисленных операций:

· Аутентификация пользователя;

· Визуальный контроль подписываемого документа;

· Подтверждение пользователем запроса на подпись;

· Аппаратное формирование кода подтверждения (подписи) с помощью не извлекаемых ключей.  

В силу того, что обеспечить безопасность платежей чисто программными способами не представляется возможным, ряд разработчиков средств защиты предлагают вывести эти критически важные операции на внешнее доверенное устройство. При использовании таких устройств в системе ДБО, безопасность платежей основывается не на защите ПО клиент-банка, среды выполнения или коммуникаций, а на невозможности модификации данных, отображаемых на экране внешнего устройства, и невозможности выполнения операции подписи без участия законного пользователя системы. Этот класс устройств имеет неофициальное название TrustScreen.

Устройства TrustScreen оснащаются экраном для отображения платежной информации, имеют интерфейс для взаимодействия с пользователем, обладают собственными криптографическими возможностями или используют внешний криптографический модуль (смарт-карта или usb-токен). Для взаимодействия с компьютером могут использоваться различные интерфейсы. Стандартный сценарий использования TrustScreen выглядит следующим образом:

· Клиент ДБО формирует платежное поручение стандартными средствами.

· Платежка в специальном формате отправляется на подпись в доверенное устройство.

· Пользователь производит визуальную проверку платежной информации на дисплее доверенного устройства.

· В случае, если информация корректна, пользователь подтверждает операцию подписи.

· Доверенное устройство собственными средствами или с помощью внешнего криптографического модуля вычисляется хэш данных и вычисляет подпись.

· Подпись возвращается в клиентское ПО и вместе с «платежкой» отправляется в банк.

Исследование

Мною было произведено исследование трех устройств,  присутствующих на российском рынке:

· Биометрическая идентификационная AGSES-карта;

· Считыватель смарт-карт SafeTouch;

· Устройство Рутокен PINPad.

Биометрическая идентификационная AGSES-карта

Производство компании AGSES International General Agency GmbH. http://www.agses.net

Согласно информации, предоставляемой производителем, биометрическая идентификационная AGSES-карта предназначена для обеспечения строгой аутентификации и подтверждения операций в различных информационных системах. Ключевыми особенностями устройства являются возможность биометрической идентификации владельца карты и оптический интерфейс, который представляет собой канал односторонней связи между вычислительной системой и AGSES-картой. Устройство питается от встроенного аккумулятора, зарядка аккумулятора производится через microUSB разъем.

PIC1

Устройство имеет набор внешних элементов:

• кнопка включения;

• сканер отпечатка пальца для ввода биометрических данных пользователя и ПИН-кода;

• дисплей для отображения информации;

• разъем microUSB для зарядки;

• набор оптических датчиков для считывания информации с экрана.

В системы аутентификации на AGSES-картах возможно использование публичных серверов аутентификации компании AGSES или использование собственных серверов аутентификации, приобретаемых у производителя. 

В процессе работы устройство использует следующие криптографические алгоритмы – AES256, SHA-1, HMAC. Подробного описание протоколов аутентификации и протоколов взаимодействия с сервером не представлено.

В результате анализа устройства и его механизмов работы отмечен ряд достоинств и недостатков решения:

Канал между сервером и картой.

Оригинальный механизм обмена информацией сервера с картой полностью  нивелирует угрозу, связанную с несанкционированным доступом к криптографическим возможностям устройства, так как для работы с устройством пользователь должен лично поднести его к экрану компьютера.

PIC2

Однако шифрование канала между сервером и картой не гарантирует, что в устройство невозможно передать подложные данные, так как сервер получает данные в открытом виде из интерфейса пользователя, который может находиться под контролем злоумышленника. То есть шифрование канала не является значимым в рамках данной модели нарушителя.

Несомненным достоинством решения является полная независимость от платформы пользователя, AGSES-карта работает с устройствами любых производителей, имеющими размер дисплея не менее 7,5 см.

Однако стоит отметить, что односторонний канал сильно ухудшает юзабилити устройства, для подтверждения каждой операции вручную приходится набирать код подтверждения на клавиатуре компьютера.

Протокол аутентификации

Производитель не представил подробного описания протокола аутентификации и подтверждения транзакции. Исходя из того, что устройство использует симметричные алгоритмы, сервер должен хранить секретный код устройства. Такое подход имеет более низкий уровень безопасности по сравнению с использованием ассиметричных алгоритмов, так как существует теоретическая возможность утечки базы данных кодов устройств на стороне сервера.   

Так же стоит отметить, что подтверждение транзакции с помощью AGSES-карты не является юридически значимым.

Выпускается две версии устройств:

1. Стандарт.  Возможность использования сервисов MyAgses и других публичных серверов аутентификации. Ориентировочная стоимость устройства  5500 руб.

2. Limited Edition. Использование только собственных серверов аутентификации. Банк должен приобрести у компании Agses сервер аутентификации. Ориентировочная стоимость устройства  2500 руб. То есть при небольшом количестве устройств стоимость устройств может значительно возрасти за счет включенной в них стоимости сервера аутентификации.

Считыватель смарт-карт SafeTouch

        

Производство компании SafeTech. http://safe-tech.ru

На сайте производителя отмечается, что считыватель смарт-карт  SafeTouch применяется в качестве замены обычному считывателю смарт-карт, или, в сочетании со смарт-картой, реализующей криптографические алгоритмы, в качестве замены токену. Криптографические алгоритмы реализуются средствами смарт-карты. Считыватель SafeTouch не производит никаких преобразований с данными, что позволяет использовать его в качестве интерфейсного устройства с функциями отображения данных.

        

PIC3

Устройство SafeTouch оснащено разъемом для стандартной смарт-карты, четырехстрочным монохромным дисплеем и двумя кнопками управления. Устройство подключается к компьютеру посредством miniUSB разъема. Для функционирования устройство необходимо наличие CCID драйвера, штатно присутствующего в системах Windows XP sp3 и старше.

         Устройство не обладает собственными криптографическими возможностями, выполняя только задачи по отображению данных и запроса подтверждения подписи этих данных.  Подпись осуществляется аппаратно на устанавливаемой в SafeTouch смарт-карте.         Устройство SafeTouch поддерживает возможность формирования подписи на смарт-карте  по алгоритму ГОСТ Р 34.10-2001.

Канал взаимодействия между SafeTouch и рабочей станцией не имеет дополнительных механизмов защиты. Данные, включая PIN-код,  передаются в открытом виде, однако это не является угрозой безопасности в данной модели нарушителя, так как защита от подмены в устройствах TrustScreen основывается на визуальном контроле информации.

Особенностью работы устройства является режим «подписи непроверенных данных». В данном режиме устройство может подписать хэш от неизвестных данных, после подтверждения этой операции пользователем. То есть, если в системе пользователь время от времени подписывает документы в режиме «непроверенных данных», то нет никакой гарантии, что вместо легитимного документа не будет подписано платежное поручение. Так же режим «подписи непроверенных данных» оставляет больший маневр злоумышленнику при использовании методов социальной инженерии.

Спорным также является использование отторгаемого носителя. Пользователь, устав постоянно подтверждать платежи кнопкой на устройстве SafeTouch, может подключить смарт-карту к компьютеру через обычный картридер и подписывать все платежи не глядя.

Нарекание вызывает низкое разрешение экрана устройства. Устройство отображает только четыре строки платежного поручения, как показывать большее количество полей неясно. Кроме того, каждое строка может иметь ограниченное количество символов, превышение которого  приводит к эффекту «бегущей строки», что, в свою очередь, вызывает неудобство при проверке информации пользователем.

Ориентировочная стоимость устройства 1600 руб. без носителя.

Устройство Рутокен PINPad

Производство компании Актив. http://pinpad.rutoken.ru

Устройство Рутокен PINPad является характерным представителем устройств класса TrustScreen. Устройство оснащено сенсорным дисплеем для контроля информации и управления операцией подписи. PINPad имеет разъем miniUSB для подключения устройства к компьютеру. Для работы устройства требуется CCID драйвер, штатно присутствующей в ОС Windows XP sp3 и выше.

PIC4

         Компания Актив выпускает два типа устройств – PINPad IN и PINPad ЕХ. По заявлению производителя, устройства обладают следующей функциональностью:

· Просмотр документа перед подписью на сенсорном экране устройства (в доверенной среде) с возможностью пролистывания больших документов.

· Ввод PIN-кода  на сенсорном экране устройства (ввода PIN-кода в доверенной среде)

· В устройстве Рутокен PINPad IN аппаратно реализованы российские криптографические алгоритмы (электронная подпись по ГОСТ Р 34-10.2001, вычисление хэш-функции по ГОСТ Р 34-11.94, шифрование по ГОСТ 28147-89,) что позволяет подписывать документы “на борту” Рутокен PINPad.

· Рутокен PINPad EX содержит USB-разъем, через который можно подключить USB-токен Рутокен ЭЦП и использовать его для электронной подписи (Рутокен ЭЦП сертифицирован в ФСБ по классу КС2).

· Кеширование PIN-кода внутри Рутокен PINPad для удобства пользователей. Код вводится один раз при аутентификации, далее при подписи серии платежных документов не нужно вводить его повторно. Пользователь просматривает каждый из документов и нажимает кнопку «Подписать».

Как и устройство SafeTouch, PINPad не имеет защиты канала взаимодействия с компьютером. Отличительной особенностью Рутокен PINPad Ext возможность доверенного набора PIN кода к Рутокен ЭЦП на экране устройства, что является дополнительной степенью безопасности. Также, в отличие от устройства SafeTouch, PINPad не позволяет формировать подпись «непроверенных данных».

Рутокен PINPad IN позиционируется компанией Актив как средство подтверждения платежа. То есть, формируемая на «борту» устройства подпись является «технологической» в дополнение к подписи формируемой «штатной» криптографией, используемой в системе клиент-банк. Такой подход позволит создавать разработчикам систем ДБО гибкие схемы работы с подписью при массовых платежах, когда все платежки подписываются юридически значимой подписью, а подтверждение с доверенным просмотром требуется только для «рискованных» платежей.

Оба устройства компании Актив обладают четким цветным дисплеем, что облегчает возможность контроля подписываемой информации.

Ориентировочная стоимость устройства 3000 руб.

Заключение

   Атаки на программные библиотеки, поставляемые вместе с устройствами, показали возможность контроля и модификации предаваемых в устройство данных. Контроль и модификация передаваемых в устройство данных также возможна на уровне приложений или USB интерфейса. В настоящий момент, именно такими атаками, известные банковские трояны подменяют данные, отправляемые на подпись. Также трояны, без ведома пользователя, могут использовать установленный в USB порт криптографический токен. Результаты тестов были показаны на конференциях. Борьба с такими атаками путем визуального контроля и подтверждения платежа является основным функциональным назначением данных устройств. То есть при подмене данный на программном уровне, тестируемые устройства отображали подмененные данные, обнаружив подмену, пользователь мог отказаться от проведения платежа. Проведение мошеннической операции возможно только при невнимательности пользователя. Осуществить подпись платежного поручения без непосредственного участия пользователя не удается, также не удается отобразить одни данные, а получить на выходе подпись других. Моделирование различных атак на аппаратную составляющую решений, также не принесли результата.

 

Вопросы со 151 по 200 из CISM (перевод)

151. Какая стадия разработки приложения НАИБОЛЕЕ подходит для проведения оценки рисков?

А. Анализ осуществимости;

Б. Дизайн;

В. Программирование;

Г. Тестирование.

152. Какой НАИБОЛЕЕ эффективный путь управления рисками ИС в организации?

А. Разработка политик;

Б. Управление изменениями;

В. Тренинг персонала;

Г. Регулярный мониторинг.

153. Что является САМЫМ полезным при определении времени восстановления систем (RTO)?

А. Анализ разрывов;

Б. Регрессионный анализ;

В. Анализ рисков;

Г. Анализ влияния на бизнес.

154. Какой стадией завершается восстановление системы?

А. Декларацией о восстановлении;

Б. Восстановлением из резервной копии;

В. Восстановлением работоспособности;

Г. Восстановлением бизнес операций.

155. Какой результат процесса оценки рисков БОЛЬШЕ подходит для принятия решений?

А. Контролируемые риски;

Б. Неотъемлемые риски;

В. Показанные риски;

Г. Остаточные риски.

156. Какие меры должны применяться вначале к новым рискам ИС?

А. Контроль за уменьшением;

Б. Оценка влияния;

В. Оценка вероятности;

Г. Частота возникновения инцидентов.

157. Принятие рисков является компонентом:

А. оценки рисков;

Б. уменьшения рисков;

В. развития рисков;

Г. мониторинга рисков.

158. Программа управления рисками должна разрабатываться, чтобы уменьшить риски до:

А. столь малого уровня, чтобы его было трудно измерить;

Б. уровня, при котором выгода превосходит затраты;

В. уровня, что организация может принять;

Г. уровня, при котором происходит возврат затрат на защиту.

159. Как должна проводиться оценка рисков?

А. Ежегодно для каждого бизнес процесса;

Б. Каждые 3-6 месяцев для важных бизнес процессов;

В. Внешней компанией, чтобы достичь лучших результатов;

Г. Ежегодно или при заметных изменениях.

160. В чем заключается САМАЯ важная функция программы оценки рисков?

А. В количественной оценке всех рисков;

Б. В минимизации остаточных рисков;

В. В исключении неотъемлемых рисков;

Г. В увеличении сумм ожидаемых ежегодных потерь.

161. Какие риски могут быть ЛУЧШЕ оценены качественными методами?

А. Воровство ПО;

Б. Напряжение в электросети за последние сутки;

В. Постоянное раскрытие конфиденциальных данных клиентов;

Г. Временная неработоспособность корпоративной почты.

162. Что ЛУЧШЕ предотвращает внешние атаки?

А. Статическая IP адресация;

Б. Сетевая трансляция адресов;

В. Проверка уровня знаний временных сотрудников;

Г. Анализ логов систем доступа.

163. При проведении оценки рисков, какая стоимость сервера берется в расчет в случае выхода его из строя?

А. Стоимость покупки;

Б. Стоимость установленного ПО;

В. Стоимость ожидаемых годовых потерь;

Г. Стоимость замены.

164. Анализ влияния на бизнес это ЛУЧШИЙ инструмент для расчета:

А. полной стоимости владения;

Б. приоритетности восстановления;

В. ожидаемых годовых потерь;

Г. остаточных рисков.

165. Что делать, когда остаточные риски минимизированы?

А. Принять оставшиеся риски;

Б. Передать принятые риски;

В. Контролировать уменьшенные риски;

Г. Ничего, т.к. риски уже переданы.

166. Для каких данных БОЛЬШЕ подходит количественная оценка рисков?

А. Включающих восприятие заказчиков;

Б. Содержащих процентные ожидания;

В. Не содержащие специфических деталей;

Г. Содержащие объективную информацию.

167. Что наиболее подходит для использования Gap-анализа?

А. Оценка результатов анализа влияния на бизнес;

Б.  Разработка бизнес карт;

В. Демонстрация отношений между контролями;

Г. Определение текущего состояния и сравнение его с желаемым состоянием в будущем.

168. Что позволяет делать менеджеру проектов идентификация и приоритезация бизнес рисков?

А. Проводить внедрения поэтапно;

Б. Уменьшать количество неэффективно используемого времени;

В. Решать задачи по их значимости;

Г. Улучшить конкуренцию критичных задач.

169. Анализ рисков должен:

А. включать оценку подобных компаний;

Б. проводиться в равной степени для всех активов;

В. учитывать размер и вероятность потерь;

Г. считать вероятность более важным параметром, чем размер потерь.

170. Для чего требуется определение точки восстановления?

А. Для декларирования о произошедшем;

Б. Для определения момента восстановления;

В. Для восстановления системы;

Г. Для обработки после восстановления.

171. Основываясь на представленной информации, какая ситуация представляет САМЫЙ большой риск ИБ для организации, состоящей из большого числа маленьких офисов на территории одной страны?

А. Трудно обеспечить процедуры управления системами;

Б. Процедуры управления изменениями весьма скудные;

В. Разработка ИС отдана на аутсорсинг;

Г. Собственных сотрудников не хватает на управление своими системами.

172. Что лучше описывает область применения анализа рисков?

А. Ключевые финансовые системы;

Б. Активы организации;

В. Ключевые системы и инфраструктура;

Г. Элементы систем и соответствие требованиям.

173. Кем определяется решение о том, что  риски ИБ должны быть снижены до приемлемого уровня?

А. Требованиями организации;

Б. Требованиями ИС;

В. Требованиями ИБ;

Г. Международными стандартами.

174. Какая ПЕРВОСТЕПЕННАЯ причина программы управления рисками?

А. Позволить организации исключить риски?

Б. Является должной частью обязанностей добросовестного руководства;

В. Позволить удовлетворить требования аудиторов и регуляторов;

Г. Помочь увеличить уровень возврата инвестиций.

175. Какая группа является ЛУЧШЕЙ для проведения анализа рисков для бизнеса?

А. Внешние аудиторы;

Б. Рабочая группа, состоящая из сотрудников подобных организаций;

В. Собственники направлений;

Г. Специализированные консультанты.

176. К чему должна приводить успешная программа управления рисками?

А. К оптимизации уменьшаемых рисков с точки зрения их стоимости;

Б. К определению и включению уровня потерь в ежегодный бюджет;

В. К идентификации и ликвидации угроз человеческого фактора;

Г. К исключению или передаче всех рисков.

177. Какие риски ЛУЧШЕ всего оценивать количественным методом?

А. Утечка данных заказчика;

Б. Напряжение электрической сети;

В. Атака на web-сайт компании;

Г. Уход группы разработчиков.

178. Как вычислить ущерб от неработоспособности сети передачи данных с течение 6 часов?

А. Умножением стоимости часа на время;

Б. Умножением стоимости данных на их количество;

В. Вычислением уровня компенсации всем бизнес пользователем;

Г. Вычислением финансовых потерь от не функционирования бизнес подразделений.

179. Что ЛУЧШЕ всего использовать после проведения анализа рисков ИБ?

А. Отчет об анализе влияния на бизнес;

Б. Список действий по уменьшению рисков;

В. Сопоставление рисков с собственниками процессов;

Г. Количественные данные о рисках.

180. Что ЛУЧШЕ использовать при проведении анализа рисков ИБ?

А. Древовидную диаграмму;

Б. Диаграмму Венна;

В. Обычный график;

Г. Столбчатую диаграмму.

181. Кто является ЛУЧШЕЙ позицией для определения точки восстановления бизнес приложения?

А. Координатор непрерывности бизнеса;

Б. Исполнительный директор;

В. Менеджер ИБ;

Г. Внутренний аудитор.

182. Какая пара компонентов должна быть оценена в ПЕРВУЮ очередь при проведении анализа рисков?

А. Видимость и течение;

Б. Вероятность и ущерб;

В. Вероятность и частота;

Г. Ущерб и течение.

183. Для анализа рисков менеджер ИБ должен:

А. определить оптимальную стратегию восстановления;

Б. увеличить возврат инвестиций;

В. предоставить документы для аудитора и регулятора;

Г. Качественно связать риски с целями.

184. Что САМОЕ важное в оценке рисков?

А. Провести оценку всех типов ИТ активов;

Б. Использовать показатели подобных организаций;

В. Рассчитать уровни потерь и их вероятности;

Г. Сфокусировать внимание на угрозах и текущих потерях.

185. Когда группа по выявлению инцидентов обнаруживает свидетельства того, что хакеры проникли к вам в сеть и модифицировали клиентские данные, кого ПЕРВЫМ делом об этом должен уведомить менеджер ИБ?

А. Комитет управления ИБ;

Б. Клиентов, чьи данные пострадали;

В. Владельцев ресурсов с данными;

Г. Регулятора в области защиты.

186. За что в ПЕРВУЮ очередь отвечают владельцы данных при определении способов уменьшения выявленных рисков?

А. За безопасность ИТ платформ;

Б. за изменения доступов;

В. За обнаружение сетевых вторжений;

Г. За управление антивирусами.

187. В чем заключается ПРЕИМУЩЕСТВЕННАЯ цель программы управления рисками?

А. В защите важных ИТ активов;

Б. В установлении превентивных контролей для бизнес рисков;

В. В достижении бизнес целей;

Г. В постоянной доступности ИТ систем.

188. Для чего важно определять и классифицировать активы организации?

А. Чтобы понять стоимость защиты в зависимости от критичности активов;

Б. Чтобы защитить критичные активы;

В. Чтобы минимизировать стоимость защиты;

Г. Чтобы установить контрмеры пропорционально уровню рисков.

189. Соглашение об уровне сервиса (SLA) для ИТ систем отданных на аутсорсинг не отражает должного уровня защиты. Что должен сделать менеджер ИБ в этой ситуации?

А. Предложить провайдеру установить ответственность за потерю данных;

Б. Рекомендовать не продлевать контракт после его завершения;

В. Рекомендовать немедленно разорвать контракт;

Г. Определить требуемый уровень защищенности.

190. Менеджер ИБ занимается внедрением более запрещающих контролей. Что может в этом случае уменьшиться в ПЕРВУЮ очередь?

А. Угрозы;

Б. Утечки;

В. Уязвимости;

Г. Вероятности.

191. Что важно оценить при проведении количественного анализа рисков?

А. Производственные потери;

Б. Ущерб от раскрытия конфиденциальных данных;

В. Стоимость информации или информационных активов;

Г. Вероятность случавшихся уже угроз.

192. Что должен сделать менеджер ИБ ВНАЧАЛЕ перед проведением анализа рисков?

А. Сопоставить главные угрозы с бизнес целями;

Б. Оценить доступные ему ресурсы;

В. Понять стоимость критичных активов;

Г. Определить финансовый ущерб если угрозы осуществятся.

193. Кем должна проводиться оценка ИТ активов?

А. Менеджером ИБ;

Б. Независимым консультантом;

В. Финансовым директором;

Г. Владельцем актива.

194. Какая ПЕРВООЧЕРЕДНАЯ цель программы оценки рисков?

А. Минимизировать неотъемлемые риски;

Б. Исключить бизнес риски;

В. Внедрить эффективные контроли;

Г. Минимизировать остаточные риски.

195. Кто должен принимать решение с целью уменьшить риски после завершения оценки ИТ рисков?

А. Высшее руководство;

Б. Бизнес менеджер;

В. ИТ аудитор;

Г. Офицер ИБ.

196. Что должен сделать ПЕРВЫМ менеджер ИБ при проведении анализа рисков?

А. Установить владельцев ИТ активов;

Б. Выделить риски ИТ активов;

В. Инвентаризировать ИТ активы;

Г. Классифицировать ИТ активы.

197. В чем заключается ГЛАВНОЕ преимущество классификации информационных активов?

А. В установлении связи между требованиями ИБ и бизнес целями;

Б. В идентификации контролей соразмерно уровню рисков;

В. В определении прав доступов;

Г. В установлении владельцев.

198. Что является НАИБОЛЕЕ важным для того, чтобы программа анализа рисков была эффективной?

А. Гибкий бюджет на безопасность;

Б. Озвученные руководством основные риски;

В. Определение новых рисков;

Г. Точная отчетность по результатам анализа рисков.

199. Какая атака ЛУЧШЕ всего минимизируется использованием сложных паролей?

А. «Человек посередине»;

Б. Последовательный перебор;

В. Удаленное переполнение буфера;

Г. Повышение привилегий до максимальных.

200. Что ЛУЧШЕ всего противостоит фишингу?

А. Мониторинг безопасности;

Б. Шифрование;

В. Двухфакторная аутентификация;

Г. Программа осведомленности персонала.