4.2. Программа Гриф

ГРИФ - инструмент для анализа защищенности ресурсов информационной системы компании и эффективного управления рисками.

4.2.1. Гриф. Модель информационных потоков

4.2.1.1. Общее описание

Анализ рисков ИБ осуществляется с помощью построения модели ИС компании. Рассматривая средства защиты ресурсов с ценной информацией, взаимосвязь ресурсов между собой, влияние прав доступа групп пользователей, организационные меры, модель исследует защищенность каждого вида информации.

В результате работы алгоритма программа представляет следующие данные:

1. Инвентаризация.

2. Значения риска для каждого ценного ресурса компании.

3. Перечень всех уязвимостей, которые стали причиной полученного значения риска.

4. Значения риска для ресурсов после задания контрмер (остаточный риск).

5. Эффективность контрмер.

6. Рекомендации экспертов.

4.2.1.2. Приступая к работе

Перед заполнением программы ГРИФ необходимо провести инвентаризацию ценных ресурсов и информации компании, то есть определить, всю ценную информацию и ресурсы, на которых она хранится.

Далее владельцы информации или ответственные лица (как правило, начальники отделов, в которых ведется обработка информации) должны определить ущерб, который понесет Компания при осуществлении угроз конфиденциальности, целостности и доступности данной информации. Если владелец информации затрудняется оценить ущерб информации в деньгах, программа позволяет заносить ущерб в уровнях (количество и оценку уровней владелец выбирает самостоятельно (в диапазоне от 2 до 100), но для всех видов информации в ИС компании количество и оценка уровней должны быть одинаковы).

Отметим, что в программу ГРИФ заносятся только ресурсы, на которых обрабатывается ценная информация, т.е. информация, для которой можно оценить ущерб при реализации угроз.

Далее специалист отдела ИТ (администратор системы) предоставляет данные о группах пользователей, которые имеют доступ к информации, особенностях предоставления доступа пользователей к ресурсам компании (права доступа, вид доступа, сетевое оборудование) и средствах защиты, установленных в ИС.

Специалисты отдела ИБ предоставляют данные о расходах на ИБ.

Сотруднику, заполняющему программу, требуется внести следующие данные:

Данные, которые заносятся в программу	Сотрудник, отвечающий за предоставление данных
Виды ценной информации	Владелец информации (или начальник отдела, в котором осуществляется обработка информации)
Ущерб для каждого вида ценной информации по трем видам угроз	Владелец информации (или начальник отдела, в котором осуществляется обработка информации)
Бизнес-процессы, в которых обрабатывается информация	Владелец информации (или начальник отдела, в котором осуществляется обработка информации)
Ресурсы, на которых хранится ценная информация	Специалист службы ИТ
Сетевые группы, в которых находятся ресурсы системы (т.е. физические связи ресурсов друг с другом)	Специалист службы ИТ
Отделы, к которым относятся ресурсы	Как правило, совпадают с организационной структурой компании
Группы пользователей, имеющих доступ к ценной информации	Специалист службы ИТ
Класс группы пользователей	Специалист службы ИТ
Доступ группы пользователей к информации	Специалист службы ИТ
Характеристики доступа группы пользователей к информации (вид и права)	Специалист службы ИТ
Средства защиты, установленные в ИС	Специалист службы ИТ
Расходы на ИБ	Специалист службы ИБ