отчет 1 маша

Цель

Целью практического занятия является изучение рисков информационной безопасности предприятия и методик для ее оценки.

Краткие теоретические сведения

Риск информационной безопасности – это возможность того, что данная угроза сможет воспользоваться уязвимостью актива или группы активов и тем самым нанесет ущерб предприятию.

Риск ИБ измеряется, исходя из комбинации вероятности события и его последствия.

Коммуникация риска – это обмен информацией о риске или совместное использование этой информации лицом, принимающим решение, и другими причастными сторонами.

Количественная оценка риска – это процесс присвоения значений вероятности и последствий риска.

Идентификация риска – это процесс нахождения, составления перечня и описания элементов риска.

Снижение риска – это действия, предпринятые для уменьшения вероятности и негативных последствий, связанных с риском.

Сохранение риска – это принятие бремени потерь или выгод от конкретного риска.

Перенос риска – это разделение с другой стороной бремени потерь или выгод от риска.

Установление контекста включает определение основных критериев, необходимых для менеджмента риска ИБ.

Критерии оценки рисков разрабатывают с учетом:

–стратегической ценности обработки бизнес-информации;

–критичности затронутых информационных активов;

–законодательно-нормативных требований и договорных обязательств;

–оперативного значения и значения для бизнеса доступности, конфиденциальности и целостности;

–ожидания и реакции причастных сторон, а также негативных последствий для нематериальных активов и репутации.

Задание

Рассчитать риск нанесения злоумышленниками ущерба отдельным информационным объектам предприятия { О1, О2, …, О8}, а также общий риск, если при проведении экспертизы было установлено, что соответствующий вектор относительных ценностей этих объектов { V1, V2, …, V8} по шкале {1 < … < 20}, законы распределения времени до возникновения ущерба определяются в соответствии с данными из таблицы 1, причем при ущербе одному из объектов стоимость других не снижается, а цена объекта О1 составляет С’1 ден. ед. (см. таблицу 2). Построить график зависимости общего риска нанесения злоумышленниками ущерба информационным объектам от времени работы предприятия t, когда t изменяется от 0 до 10 6 часов с шагом 105 часов.

Таблица 1 – Исходные данные к заданию (часть 1)

Законы распределения времени до возникновения ущерба

Примечание: О1 ÷ О8 – информационные объекты 1 ÷ 8 предприятия;

Exp(λ/10-8) – экспоненциальное распределение;

N(m/104, σ/104) – нормальное распределение;

TN(m0/104, σ0/104) – усеченное нормальное распределение;

W(α, β/104) – распределение Вейбулла;

R(λ/10-14) – распределение Рэлея; Г(α, β/103) – Гамма распределение

Таблица 2 – Исходные данные к заданию (часть 2)

Примечание: О1 ÷ О8 – информационные объекты 1 ÷ 8 предприятия

Расчеты

Расчеты усеченного нормального распределения:

Расчеты распределения Рэлея:

Расчеты экспоненциального распределения:

Расчеты Гамма распределения:

Расчеты нормального распределения:

Расчеты распределения Вейбулла:

Построение графика зависимости общего риска нанесения злоумышленниками ущерба информационным объектам от времени работы предприятия:

Таблица 4 – Данные по результатам расчетов (часть 2)

Собщ.(t) 0,063 13,687 43,393 74,276 109,326155,844213,244269,208 311,33 338,914355,982

Выводы

Выполнив данную работу, глядя на график, можно сделать несколько выводов:

-чем дольше остается неизменной защита информации, тем проще злоумышленнику получить к ней доступ;

-со временем ущерб увеличивается. Благодаря нашим расчетам можно рассчитать эффективную модель защиты информации и сделать ее наиболее выгодной и надежной.

Ответы на контрольные вопросы

1.Риск информационной безопасности предприятия – возможность того, что данная угроза сможет воспользоваться уязвимостью актива или группы активов и, тем самым, нанесет ущерб предприятию.

2.Эффективность обработки риска информационной безопасности предприятия зависит от результатов оценки риска. Обработка риска может не обеспечить приемлемый уровень остаточного риска. Тогда может понадобится еще одна итерация оценки риска с измененными параметрами, за которой последует очередная процедура обработки риска.

3. На предприятии должны учитываться следующие критерии оценки рисков:

-Стратегической ценности разработки бизнес-информации;

-Критичности затронутых информационных активов;

-Законодательно-нормативных требований и договорных обязательств;

-Оперативного значения и значения для бизнеса доступности, конфиденциальности и целостности;

-Ожидания и реакции причастных сторон, а также негативных последствий для нематериальных активов и репутации.

Кроме того, критерии оценки рисков могут использоваться для определения приоритетов при обработке рисков.

4.При реализации снижения риска должны учитываться следующие ограничения:

-Временные ограничения;

-Финансовые ограничения;

-Технические ограничения;

-Операционные ограничения;

-Этические ограничения;

-Ограничения, связанные с окружающей средой;

-Юридические ограничения;

-Ограничения, связанные с простотой использования;

-Кадровые ограничения;

-Ограничения, касающиеся интеграции новых и существующих мер и средств контроля и управления.

5.В рамках аддитивной модели оценка возможных потерь строится на основе полученных стоимостей компонентов исходя из прогноза возможных угроз этим компонентам. Возможности угроз оцениваются вероятностями соответствующих событий , а потери считываются как математическое ожидание потери компоненты данной стоимости по распределению возможных угроз.