3.2.2.2.2.5 Оценка рисков

На заключительном этапе анализа риска должна быть проведена суммарная оценка риска. Активы, имеющие ценность и характеризующиеся определенной степенью уязвимости, всякий раз подвергаются риску в присутствии угроз.

Оценка риска представляет собой оценку соотношения потенциальных негативных воздействий на деловую деятельность в случае нежелательных инцидентов и уровня оцененных угроз и уязвимых мест.

Величина риска зависит от:

• ценности активов;

• угроз и связанной с ними вероятности возникновения опасного для активов события;

• легкости реализации угроз в уязвимых местах с оказанием нежелательного воздействия;

• существующих или планируемых средств защиты, снижающих степень уязвимости, угроз и нежелательных воздействий.

Задача анализа риска состоит в определении и оценке рисков, которым подвергается система информационных технологий и ее активы, с целью определения и выбора целесообразных и обоснованных средств обеспечения безопасности. При оценке рисков рассматривают несколько различных его аспектов, включая воздействие опасного события и его вероятность.

Данный пункт должен включать:

а) обоснование выбора методики оценки риска;

б) описание проведения процедуры оценки рисков, с указанием:

• должностных лиц, участвующих в оценке;

• способов (форм) представления исходной информации;

• способов (форм) представления результатов оценки рисков

в) результаты проведения оценки риска, проведенные с учетом ценности информационных активов, наличия уязвимостей, степени угроз и состояния действующей в организации системы защиты информации.

г) определить (при наличии) приемлемые риски, обосновать данное решение.

Результаты проведения оценки целесообразно свести в таблицу, которая должна содержать риски наиболее ценным информационным активам, ранжированные в порядке убывания.

Таблица 6 - Результаты оценки рисков информационным активам организации

Риск	Актив	Ранг риска

3.2.2.2.3 Характеристика комплекса задач

3.2.2.2.3.1 Выбор комплекса задач обеспечения информационной безопасности (далее иб)

Кроме общих угроз информационной безопасности специфика деятельности предприятия накладывает и специфические угрозы. Отсюда, при общем анализе возможных угроз предприятию необходимо провести глубокий анализ специфических рисков, следует выбрать те основные задачи или совокупность задач, для которых будет в дальнейшем разрабатываться дипломный проект и провести обоснование.

3.2.2.2.3.2 Детализация задач иб и защиты информации (далее зи)

В этом разделе необходимо кратко специфицировать комплекс задач, подлежащих дальнейшему решению. Необходимо отразить причину сделанного выбора и место задачи в комплексе задач.

При описании целесообразно выделить:

• границы рассматриваемой задачи (от какого состояния до какого трансформируется объект);

• взаимосвязи с другими задачами и комплексами задач предприятия;

• важность задачи в целом для предприятия;

• задействованных в решении специалистов;

• основные определения и понятия, свойственные рассматриваемой области;

• описание перечня результатных показателей, рассчитываемых на базе использования совокупности исходных показателей в процессе выполнения этих функций;

• указать на особенности методов расчета показателей;

• указать исполнителей этапов и регламенты их исполнения.

Данный пункт призван описать внешнее окружение задачи и ее внутреннее содержание. Описание задачи должны быть выполнено в виде единого связного текста и может сопровождаться диаграммами и обобщающими таблицами или разъясняющими схемами.