Определение уровня критичности объектов защиты

Целью процедуры определения уровня критичности объектов защиты компании является оценка важности обеспечения их ИБ для бизнеса.

В рамках процедуры определения уровня критичности объектов защиты компании решаются следующие задачи:

Выделим основные этапы в рамках процедуры определения уровня критичности объектов защиты.

Этап 1: оценка ущерба от нарушения ИБ информационных активов. На данном этапе Комиссия по классификации объектов защиты проводит оценку возможного ущерба от нарушения основных свойств ИБ информационных активов: конфиденциальности, целостности и доступности. При этом в компании могут быть выделены дополнительные свойства ИБ (например, свойство неотказуемости), нарушение которых существенно для компании. По каждому из свойств ИБ оценка ущерба осуществляется отдельно.

Дать объективную оценку возможного ущерба от нарушения ИБ информационных активов в целом сложно, поэтому оценка возможного ущерба от нарушения свойств ИБ информационных активов осуществляется по каждому из видов ущерба отдельно.

Оценка возможного ущерба от нарушения ИБ информационных активов осуществляется методом экспертных оценок. Всем членам комиссии предоставляется комплект опросных листов и копия перечня объектов защиты, при этом опросном листе перечислены все объекты защиты компании в том же порядке, в котором они расположены в Перечне объектов защиты. Каждый член комиссии осуществляет оценку возможного ущерба от нарушения ИБ объектов защиты по каждому из видов ущерба руководствуясь сведениями, содержащимися в Перечне объектов защиты. Оценка возможного ущерба дается в виде цифры, означающий ту или иную степени критичности, в соответствии с Порядковой шкалой уровней критичности (1–максимальная степень критичности, 2 – средняя, 3 – минимальная). В случае, если участник Комиссии затрудняется дать оценку возможного ущерба от нарушения ИБ объектов защиты, в соответствующем поле он ставит прочерк.

Фрагмент заполненного опросного листа, формируемого каждым членом Комиссии, показан в таблице 2.4.

Таблица 2.4. Фрагмент заполненного опросного листа для оценки возможного ущерба от нарушения ИБ информационных активов

По результатам оценки возможного ущерба от нарушения уровня критичности объектов защиты, специалисты по классификации объектов защиты формируют проект документа «Результаты оценки ущерба от нарушения ИБ информационных активов», в котором отражаются итоговые оценки возможного ущерба. При этом в случае расхождения оценок на один порядок, итоговая степень ущерба берется максимальной. Если же разница в оценках составляет 2 порядка, итоговую оценку степени возможного ущерба от нарушения данного свойства ИБ осуществляется Председатель Комиссии.

Этап 2: определение уровня критичности объектов защиты. На данном этапе на основании проведенной оценки возможного ущерба от нарушения ИБ информационных активов осуществляется расчет следующих величин.

Уровень критичности информационных активов (промежуточный) рассчитывается как максимальный из степеней критичности данного информационного актива по всем видам ущерба. В таблице 2.5показан фрагмент перечня информационных активов с результатами оценки возможного ущерба от нарушения их ИБ. В последнем столбце таблицы указан уровень критичности информационного актива.

Таблица 2.5. Определение уровня критичности информационных активов

Отметим, что на данном шаге определяется промежуточный уровень критичности информационных активов, который будет пересмотрен в дальнейшем с учетом уровня критичности бизнес-функций.

Уровень критичности бизнес-функций устанавливается как максимальный из уровней критичности информационных активов, формируемых на выходе бизнес-функции. В таблице 2.6 показан пример расчета уровня критичности бизнес функций:

Таблица 2.6. Определение уровня критичности бизнес-функций

Уровень критичности информационных активов (итоговый) получается из промежуточного уровня критичности с учетом взаимосвязей между информационными активами. В данном случае, взаимосвязь между информационными активами определяется их использованием при выполнении бизнес-функций: если при выполнении определенной бизнес-функции на ее вход поступают информационные активы, уровень критичности которых ниже уровня критичности бизнес-функции, то уровень критичности информационных активов, поступающих на вход бизнес-функции должен быть повышен до уровня критичности самой бизнес-функции.

Действительно, если, например, выходом бизнес-функции является отчет максимального уровня критичности, а для его формирования требуются сведения из базы данных среднего уровня критичности, то уровень критичности базы данных должен быть увеличен до максимального, иначе в случае нарушения доступности бизнес-функция не сможет быть выполнена.

Уровень критичности коммуникационного и периферийного оборудования определяется как максимальный из уровней критичности бизнес-функций, при выполнении которых используется данное оборудование. Пример расчета уровня критичности коммуникационного и периферийного оборудования приведен в таблице 2.7.

Таблица 2.7. Определение уровня критичности коммуникационного и периферийного оборудования.

Уровень критичности ИС определяется как максимальный из уровней критичности бизнес-функций, выполняемых с применением данных ИС компании. Пример расчета уровня критичности ИС приведен в таблице 2.8.

Таблица 2.8. Определение уровня критичности ИС.

Уровень критичности инфраструктурных служб определяется как максимальный из уровней критичности ИС, функционирование которых поддерживается данными инфраструктурными службами. Пример расчета уровня критичности инфраструктурных служб приведен в таблице 2.9.

Таблица 2.9. Определение уровня критичности инфраструктурных служб.

Уровень критичности ПО и оборудования определяется аналогично как максимальный из уровней критичности ИС и инфраструктурных служб, в состав которых они входят.

Отметим, что при расчете уровня критичности всех объектов защиты учитываются все взаимосвязи между ними; полученный уровень критичности объектов защиты адекватно отражает степень его значимости для бизнеса компании и должен быть использован в качестве основного показателя при предъявлении требований к обеспечению ИБ объектов защиты.

Таким образом, процедура определения уровня критичности объектов защиты состоит из следующих шагов:

специалистами по классификации объектов защиты на основании Перечня объектов защиты и Порядковой шкалы уровней критичности подготавливаются опросные листы для членов Комиссии для оценки возможного ущерба от нарушения ИБ информационных активов;

члены Комиссии осуществляют оценку возможного ущерба от нарушения ИБ информационных активов;

специалисты по классификации объектов защиты анализируют полученные оценки, рассчитывают итоговые оценки и предоставляют их Председателю Комиссии на согласование;

Председатель Комиссии определяет итоговые оценки по тем информационным активам, где оценки экспертов различались на 2 порядка и утверждает Результаты оценки ущерба от нарушения ИБ информационных активов;

специалисты по классификации объектов защиты рассчитывают уровень критичности:

специалисты по классификации объектов защиты формируют итоговый перечень объектов защиты компании с группировкой объектов защиты по ИС или инфраструктурным службам, при этом одни и те же информационные активы, ПО и оборудование могут входить в состав нескольких ИС и инфраструктурных служб;

специалисты по классификации объектов защиты формируют проект Акта классификации объектов защиты;

руководитель компании утверждает Акт классификации объектов защиты; Специалисты по классификации объектов защиты вносят сведения об уровне критичности объектов защиты в электронную базу данных объектов защиты.

Блок-схема порядка идентификации объектов защиты (Рисунок 2.15).

Рис. 2.15. Блок-схема порядка определения уровня критичности объектов защиты