6.4. Подходы к оценке ущерба от нарушений иб

Результатом реализации угроз информации может быть ее утрата (разрушение, уничтожение), утечка (разглашение, извлечение, копирование), искажение (модификация, подделка) или блокирование. Возможную совокупность и результаты реализации всех ни и m угроз нанесения ущерба для конкретного предприятия определить заранее трудно, поэтому модель потенциальных угроз на-т\гния ущерба должна создаваться на этапах разработки и созда­нии КСЗИ и уточняться в ходе ее эксплуатации.

Количественная оценка ценности информации имеет особенности и связана с большими трудностями, поэтому наиболее ха­ки н-рна экспертная (качественная) оценка ценности объекта ИБ. Пример такой оценки приведен в табл. 6.2.

При реализации угрозы в отношении конкретного объекта ИБ можно говорить об ущербе этому объекту. Традиционно под ущербом понимаются материальные потери, оцениваемые в количественном или стоимостном исчислении, но при этом, как правило, игнорируются иные отрицательные результаты, которые при­сутствуют при реализации угроз. По этой причине более корректно выделение не только «материального», но и «нематериального» ущерба. Нематериальным ущербом можно считать ущерб, нанесенный имиджу, репутации, конкурентным и другим преимуществам предприятия. Расчет нематериального ущерба очень ело жен, поскольку нематериальные потери оцениваются экслертш на основе субъективных показателей. Например, вводится показатель «величина ущерба» и для него определяются лингвистические значения, как это показано в табл. 6.3 [24].

Таблица 6.2. Пример оценки ценности объекта ИБ

Ценность объекта ИБ	Семантическая характеристика ценности объекта ИБ
Малоценный	От объекта ИБ не зависят критически важные задачи. При нанесении ущерба объекту ИБ на восстановление не требуется больших затрат времени и средств
Средняя	От объекта ИБ зависит ряд важных задач. При нанесе­нии ущерба объекту ИБ время и стоимость восстанов­ления находятся в допустимых пределах
Ценный	От объекта ИБ зависят критически важные задачи. При нанесении ущерба объекту И Б время и стоимость восстановления превышают допустимые значения

Таблица 6.3. Пример оценки ущерба

Лингвистические значения показателя «величина ущерба»	Семантическая характеристика значения показателя «величина ущерба»
Ничтожный	Ущербом (угрозой) можно пренебречь
Незначительный	Ущерб легко устраним, затраты на ликвидацию последствий реализации угрозы невелики. Финансовые операции не ведутся некоторое время. Положение на рынке и количество клиентов меняют­ся незначительно
Умеренный	Ликвидация последствий реализации угрозы не связана с крупными затратами и не затрагивает критически важные задачи. Положение на рынке ухудшается, j Потеря части клиентов
Серьезный	Затрудняется выполнение критически важных задач. Утрата на длительный пе­риод (например, до года) положения на рынке. Ликвидация последствий реализации угрозы связана со значительными финансовыми инвестициями, в том числе займами
Критический	Реализация угрозы приводит к невозможности решения критически важных задач, Организация прекращает существование

Таблица 6.4. Пример оценки вероятности угрозы

частота реализации угрозы	Значение вероятности	Семантическая характеристика вероятности реализации угрозы
—	Около нуля	Угроза практически никогда не реализуется
1 раз в несколько лет	Очень низкая	Угроза реализуется редко
1 раз за год	Низкая	Скорее всего, угроза не реализуется
1 раз в месяц	Средняя	Скорее всего, угроза реализуется
1 раз в неделю	Выше средней	Угроза почти обязательно реализуется
1 раз за день	Высокая	Шансов на положительный исход нет

Частоту реализации угрозы за определенный период времени также можно определить семантически (табл. 6.4) [24].

Деятельность предприятия, сопряженная с вероятностным показателем ущерба, считается рисковой. Риск обычно представляется произведением вероятности наступления ущерба на величину этого ущерба. Рисками необходимо управлять. Суть работы по пыилению рисками состоит в том, чтобы оценить их размер, рцмоотать меры по уменьшению этого размера и затем убедиться, что риски заключены в приемлемые рамки. Таким образом, управление рисками включает два вида деятельности [5]: оценку (измерение) рисков; выбор эффективных и экономичных защитных регуляторов.

Процесс управления рисками можно подразделить на следующие этапы [411:

Определение среды, границ и идентификация активов автоматизированной системы. При определении среды и границ ИТ фиксируются:

• границы контролируемой зоны объекта эксплуатации, ИТ;

• меры и средства физической защиты;

• организационные меры обеспечения безопасности;

• пользователи ИТ;

• внешние интерфейсы ИТ,

• потоки информации;

• внешняя среда ИТ.

В состав активов ИТ включаются:

• аппаратные средства;

• программное обеспечение;

• информация;

•средства обеспечения безопасности.

2. Анализ мер и средств обеспечения безопасности и идентиификация уязвимостей. Целью анализа является определение уязвимостей, связанных с активами и средой ИТ, использований которых может привести к нарушению безопасности ИТ.

Для определения состава уязвимостей используются следующие источники:

• результаты анализа соответствия используемых мер и средств обеспечения безопасности установленным требованиям безопасности ИТ;

. печатные и электронные источники, содержащие известные уязвимости средств обеспечения безопасности ИТ;

• результаты работы автоматизированных средств выявлении уязвимостей;

. результаты тестирования средств обеспечения безопаснос­ти ИТ.

3. Идентификация угроз безопасности. При идентификации угроз безопасности должны быть выявлены все имеющиеся и по« тенциально возможные угрозы безопасности ИТ следующих кате горий:

• объективные и субъективные;

• внутренние и внешние;

• случайные и преднамеренные.

Описание угрозы безопасности должно содержать:

• источник угрозы;

. способ (метод) реализации угрозы;

• используемая уязвимость;

• вид защищаемых активов, на которые воздействует угроза;

• вид воздействия на активы;

• нарушаемое свойство безопасности активов. Описание источника угрозы должно содержать:

• тип;

• мотивацию;

. компетентность;

. используемые ресурсы.

4. Определение вероятности реализации угрозы. При определении вероятности реализации угрозы должны быть учтены:

. мотивация, компетентность источника угрозы и используемые им ресурсы;

• имеющиеся уязвимости;

. наличие и эффективность мер и средств обеспечения безопасности ИТ.

5. Оценка уровня ущерба. Уровень ущерба от реализации угрозы определяется как максимальный.

6. Оценка риска. Значение риска от реализации угрозы опреляется как функция вероятности возникновения ущерба жизни и in иоровью граждан, имуществу физических или юридических inn. iосударственному или муниципальному имуществу, который Может быть нанесен в результате невыполнения функций, возлагается на ИТ, и нарушения условий ее эксплуатации. Значение Виска нарушения безопасности ИТ определяется как максималь­ное шачение риска из рисков для всех рассмотренных угроз без­опасности ИТ.

Опенка рисков может быть выполнена различными способами в зависимости от выбранной методологии оценки. Целью оценки ни 1ИСТСЯ получение ответа на два вопроса: приемлемы ли существуюшие риски и, если нет, то какие защитные средства эконо­мически выгодно использовать. Значит, оценка должна быть ко­личественной, допускающей сопоставление с заранее выбранны­ми фаницами допустимости и расходами на реализацию новых регуляторов безопасности.

Так, в целях оценки рисков часто используются табличные методы [24]. В простейшем случае используется субъективная оценка двух факторов: вероятности угрозы и величины ущерба. Двухфакторная оценка моделирует ситуацию отсутствия у предприя­тии какой-либо КСЗИ. В этом случае реализованная угроза ведет к нанесению ущерба объекту ИБ.

При наличии КСЗИ модель риска должна учитывать способности системы противодействовать реализации угрозы. Для этого Милель может быть дополнена фактором уязвимости КСЗИ, а риск должен учитывать вероятность преодоления КСЗИ при реализа­ции угрозы. Поэтому вероятность нанесения ущерба уже не равна Приятности реализации угрозы и может быть определена по фор­муле: Р_т = Р_УЦ1Р_У, где Р_уш, Ругр, Р_у — соответственно вероятности ущерба, угрозы и уязвимости. Тогда риск R определяется по фор­муле: R = PyrpPy U, где U — величина ущерба.

Рассмотренный ранее экспертно-лингвистический подход к опенке рисков нарушения И Б сопряжен с рядом трудностей прак­тической реализации: малочисленностью экспертов соответствующей киалификации, значительной нечеткостью оценок и др. Вследствие этого весьма интересен экспертно-аналитический метод, Понижающий требования к квалификации экспертов, а также нечеткость и трудоемкость оценок. В соответствии с этим методом рпюсительным показателем величины ущерба является фактор Иотсрженности воздействию (ФП) — процент потери, который может нанести конкретному активу реализованная угроза.

Наличие значений ценности актива и ФП позволяет опреде­лить величину ущерба, который может быть нанесен объекту при реализации конкретной угрозы. В качестве показателя ущербе можно использовать ожидание единичной потери (ОЕП), которое представляется выражением: ОЕП = ЦА ФП, где ЦА — цен­ность актива; ФП — фактор подверженности воздействию определенной угрозы.

Ожидаемые за год финансовые потери актива от одной опре­деленной угрозы характеризуются показателем «ожидание еже­годной потери» (ОГП). Для определения ОГП также используется) понятие «частота реализации угрозы» (ЧР) — ожидаемое число реализаций j-угрозы по отношению к i-объекту ИБ. Тогда ОГП = ОЕП*ЧР. Из этой формулы видно, что понятие «ожида­ние ежегодной потери близко к понятию «риск».

При проведении оценок необходимо учитывать следующие обстоятельства. Рисковые события имеют разную частоту проявления: некоторые случаи могут происходить раз в несколько лет или десятилетий, а другие — ежедневно или много раз в день, Естественно, такими временными интервалами трудно опериро­вать. Например, в табл. 6.4 оцениваемый период имеет значения: неделя, месяц и т.д. Удобнее работать с временными интервалами, кратными 10. Тогда три года, можно считать, приближение равны 1 000 дням. Это позволяет оценивать события как с ним кой, так и высокой вероятностью возникновения.

Кроме того, при анализе риска точное знание частоты реали­зации угрозы не принципиально (восемь или двенадцать случаев в год). Поэтому для упрощения анализа достаточно иметь оценку с точностью до порядка, т. е. частоту f_j представлять численно кратной 10. Тогда при оценке частоты возникновения 1 раз в 300 лет можно считать yj= 1. Иные значения установленной зависимости представлены в табл. 6.5.

Аналогичные рассуждения можно привести в отношении ушерба: не существенна разница при оценке ущерба между величине ми 1 100 000 руб. или 1 200 000 руб. Поэтому можно полагать, чти при величине ущерба 100 руб. Uy= 1. Иные значения этого логического правила представлены в табл. 6.6.

Таблица 6.5. Возможная шкала частоты угроз

Частота	1/300 лет	1/30 лет	1/3 года	1/100 лисп	1/10 дней	1/1 день	10/1 день	100/1 лень
/	1	2	3	4	5	6	7	X

Таблица 6.6. Возможная шкала ущерба

Руб.	100	1000	10000	100000	1000000	10000000	НЮ 000 000	1000 000 С
и	1	2	3	4	5	6	7	8

138

Как было показано, ожидание ежегодной потери (ОГП) — pe­ls п.гаг реализации угрозы и частоты ее возникновения. Исходя I и i шачений/и /', значение ОГП можно определить по следующей формуле:

Необходимо отметить, что оценку ущерба при реализации уг-

|М)н.1 наиболее квалифицированно может провести руководство

и|»шриятия или пользователь информации. Оценку вероятности

реализации угрозы целесообразно проводить силами специалис-

I urn по ИБ или ИТ-персонала.

Ранжирование рисков производится для формирования реше­нии но противодействию угрозам, причем целесообразно оценить кп-пень опасности каждой угрозы. Эту задачу удобно решать на I in none таблицы рисков, которая представляет собой матрицу уг-1рщ и поставленных им в соответствие рисков.

Множество количественно оцененных рисков позволяет по-■ftроить стек (последовательность убывающих значений) рисков. ш (пнища и стек рисков могут быть использованы для анализа с I Hi'чью выявления угроз (уязвимостей), которые обеспечивают наи-|По|||.ший вклад в значение интегрального риска. Именно на эти

fгрозы направляется в первую очередь риск-менеджмент. Выбор допустимого уровня риска связан с затратами на реализацию КСЗИ. Вследствие этого кроме метода уменьшения максимального риска на 25 — 30% могут быть использованы иные под­ины, в частности обеспечение так называемого базового и повышенного уровней И Б. При идентификации активов, т.е. тех ценностей, которые орга-гпи ьшия пытается защитить, следует, конечно, учитывать не толь-Ifcn компоненты информационной системы, но и поддерживаю-I тми инфраструктуру, персонал, а также нематериальные ценно-Мtit. такие как репутация компании. Тем не менее одним из глав-it #и.1ч результатов процесса идентификации активов является полу-I Чгиис летальной информационной структуры организации и спо-НвАон ее (структуры) использования.

')гапы, предшествующие анализу угроз, можно считать подго­нит гельными, поскольку, строго говоря, они впрямую не связаны с рисками. Риск появляется там, где есть угрозы |5]. Краткий |И'|11"1снь наиболее распространенных угроз был приведен выше. Кик правило, наличие той или иной угрозы является следствием Ндоостей в защите информационной системы, которые в свою [ нчгрс.ть объясняются отсутствием некоторых сервисов безопасно-.||п и ли недостатками в реализующих их защитных механизмах. Первый шаг в анализе угроз — их идентификация. Анализи-ftyi'Muc вилы угроз следует выбрать из соображений здравого смыс-К (оставив вне поля зрения, например, землетрясения или захват

организации террористами), но в пределах выбранных видов про! вести максимально полное рассмотрение.

Целесообразно выявлять не только сами угрозы, но и источник ки их возникновения, что поможет в выборе дополнительный средств зашиты. Например, нелегальный вход в систему можя стать следствием воспроизведения начального диалога, подбор! пароля или подключения к сети неавторизованного оборудования! Очевидно, для противодействия каждому из перечисленных cnoJ собов нелегального входа нужны свои механизмы безопасности. I

После идентификации угрозы необходимо оценить вероятХ ность ее осуществления. Допустимо использовать при этом TpexJ балльную шкалу: 1 — низкая, 2 — средняя, 3 — высокая вероям ность. Кроме вероятности осуществления важен размер потенА циального ущерба. Например, пожары бывают нечасто, но ущеот от каждого из них, как правило, велик. Тяжесть ушерба такж| можно оценить по трехбалльной шкале.

Если какие-либо риски оказались недопустимо высокими, не^ обходимо реализовать дополнительные защитные меры. Оцени вая стоимость защитных мер, следует учитывать не только пря, мые расходы на закупку оборудования и/или программ, но и рас; ходы на внедрение новинки, в частности, на обучение и перепод; готовку персонала.

Когда намеченные меры приняты, надо проверить их действен, ность, т.е. убедиться, что остаточные риски стали приемлемыми Если это на самом деле так, значит, все в порядке и можно спо, койно намечать дату ближайшей переоценки. В противном случае придется проанализировать допущенные ошибки и немедлен! но провести повторный сеанс управления рисками [5].