2.2 Анализ инструментальных средств оценки и управления рисками информационной безопасности.

Учет требований времени, интенсификация научных исследований в различных сферах чело­веческих знаний, стремительное развитие совре­менных информационных и компьютерных техно­логий существенно опережают темпы разработки рекомендательной и нормативно-правовой базы руководящих документов, действующих на терри­тории России в области информационной безопас­ности. Положение усугубляется и тем обстоятель­ством, что требования к оценке уровня безопасности корпоративной информационной системы непрерывно изменяются и повышаются. В этой связи возникают вопросы разработки критериев оценки эффективности защиты методов и методик оценки рисков.

Экспансия информационных технологий в про­изводство и управление современных организаций предопределяют рост информационных инфра­структур организаций, что зачастую приводит к неструктурированному гетерогенному характеру компьютерных сетей и является основой неконтро­лируемого роста уязвимостей, а также к увеличению возможностей несанкционированного доступа к информации ⁵⁷.

Практика использования отдельных решений по обеспечению информационной безопасности показывает, что не всегда учитывается фундаменталь­ная проблема достаточность и эффективность систем защиты с точки зрения пользователя. При внедрении различных средств защиты необходимо определить баланс между возможным ущербом от несанкционированной утечки информации и раз­мером вложений, которые потрачен для обеспе­чения защищенности информационных ресурсов.

Одним из наиболее важных соображений при выборе методики оценки риска является то, что полученные результаты должны быть эффективны при реализации обеспечения системы защиты информации. Использование сложной методики, тре­бующей точных исходных данных и имеющей на выходе неоднозначные результаты, вряд ли помо­жет создать эффективную защиту.

Цель оценки риска состоит в том, чтобы опре­делить риск утечки информации из корпоративной сети предприятия. Процесс оценки риска прово­дится в два этапа. На первом этапе определяют границы сети для анализа и детальную конфигу­рацию корпоративной сети, т. е. определяется мо­дель компьютерной сети предприятия. На втором этапе проводится анализ риска. Анализ риска раз­бивается на идентификацию ценностей, угроз и уязвимых мест, оценку вероятностей и измерение риска. Показатели ресурсов, значимости угроз и уязвимостей, эффективности средств защиты могут быть определены как количественными методами, например, при определении стоимостных характе­ристик, так и качественными, например, учиты­вающими штатные или чрезвычайно опасные воз­действия внешней среды.

В настоящее время известно множество таблич­ных методов оценки информационных рисков ком­пании. Эти методы оценивания рисков рекомендованы международными стандартами информацион­ной безопасности, главным образом ISO 17799 (BS 7799) [103]. Существенно, что в этих рекомендуе­мых методах количественные показатели сущест­вующих или предлагаемых физических ресурсов компании оцениваются с точки зрения стоимости их замены или восстановления работоспособности ресурса. А существующие или предполагаемые про­граммные ресурсы оцениваются так же, как и физические, т. е. с помощью определения затрат на их приобретение или восстановление.

Наибольшее распространение среди методик оценки рисков получила методика "матрицы рис­ков". Это достаточно простая методика анализа рисков. В процессе оценки экспертами определя­ются вероятность возникновения каждого риска и размер связанных с ним потерь (стоимость риска). Причем оценивание производится по шкале с тре­мя градациями: "высокая", "средняя", "низкая". На базе оценок для" отдельных рисков выставляет­ся оценка системе в целом (в виде клетки в такой же матрице), а сами риски ранжируются. Дан­ная методика позволяет быстро и корректно про­извести оценку. Но, к сожалению, дать интерпре­тацию полученных результатов не всегда возможно ⁵⁸ .Кроме того, в данной области разработан ме­ханизм получения оценок рисков на основе нечет­кой логики, который позволяет заменить прибли­женные табличные методы грубой оценки рисков современным математическим методом, адекват­ным рассматриваемой задаче. Механизм оценивания рисков, на основе нечет­кой логики по существу является экспертной сис­темой, в которой базу знаний составляют правила, отражающие логику взаимосвязи входных величин и риска. В простейшем случае это "табличная" ло­гика, в общем случае - более сложная логика, отражающая реальные взаимосвязи, которые могут быть формализованы с помощью продукционных правил вида "Если ..., то". Кроме того, механизм нечеткой логики требует формирования оценок ключевых параметров и представления их в виде нечетких переменных. При этом необходимо учитывать множество источ­ников информации и качество самой информации. В общем случае это достаточно сложная зада­ча. Однако в каждом конкретном случае могут быть найдены и формально обоснованы ее реше­ния ⁵⁹.

Можно выделить следующие подходы разра­ботчиков программных средств анализа рисков к решению поставленной задачи:

1.Получение оценок рисков только на качествен­ном уровне;

2.Вывод количественных оценок рисков на базе качественных, полученных от экспертов;

3.Получение точных количественных оценок для каждого из рисков;

4.Получение оценок механизмом нечеткой логики.

Ценность инструментального средства анализа рисков определяется в первую очередь той мето­дикой, которая положена в его основу. В настоя­щее время определенную известность получили такие программные продукты, как RiskWatch (США), CRAMM (Великобритания), COBRA (Великобритания), "АванГард" (Россия), ГРИФ (Россия), КОНДОР+ (Россия) и ряд других. Эти программные продукты базируются на различных подходах к анализу рисков и решению различных аудиторских задач. Остановимся несколько под­робнее на анализе этих продуктов.

Программное обеспечение RiskWatch является мощным средством анализа и управления рисками, более ориентированным на точную количествен­ную оценку соотношения потерь от угроз безопас­ности и затрат на создание системы защиты. Надо также отметить, что в этом продукте риски в сфе­ре информационной и физической безопасности компьютерной сети предприятия рассматриваются совместно. В семейство RiskWatch входят сле­дующие программные продукты: для физических методов защиты, для информационных рисков, для оценки требований к стандарту ISO 17799.

В основу продукта RiskWatch положена мето­дика анализа рисков, которая состоит из четырех этапов:

- первый - определение предмета исследова­ния. Здесь описываются такие параметры, как тип организации, состав исследуемой системы, базовые требования в области безопасности;

- второй - ввод данных, характеризующих основные параметры системы. На этом этапе под­робно описываются ресурсы, потери и классы инцидентов. Последние выводятся путем сопоставле­ния категории потерь и категории ресурсов. Кроме того, задаются частота возникновения каждой из выделенных угроз, степень уязвимости и ценность ресурсов. Все это используется в дальнейшем для расчета эффекта от внедрения средств защиты;

- третий - количественная оценка. На этом этапе рассчитывается профиль рисков, и выбира­ются меры обеспечения безопасности. Фактически риск оценивается с помощью математического ожидания потерь за год. Эффект от внедрения средств защиты количественно описывается с по­мощью показателя ROI (Return on Investment - отдача от инвестиций), который показывает отдачу от сделанных инвестиций за определенный период времени;

- четвертый - генерация отчетов ⁶⁰.

Программное обеспечение RiskWatch имеет массу достоинств, а к недостаткам продукта можно отнести его относительно высокую стоимость.

CRAMM - инструментальное средство, реа­лизующее одноименную методику, которая была разработана компанией BIS Applied Systems Limited no заказу британского правительства. Ме­тод CRAMM позволяет производить анализ рисков и решать ряд других аудиторских задач: обследо­вание информационной системы, проведение ауди­та в соответствии с требованиями стандарта BS 7799, разработка политики безопасности.

Данная методика опирается на оценки качест­венного характера, получаемые от экспертов, но на их базе строит уже количественную оценку. Метод является универсальным и подходит и для больших, и для мелких организаций как прави­тельственного, так и коммерческого сектора. Грамотное использование метода CRAMM позво­ляет получить очень хорошие результаты, наибо­лее важным из которых, пожалуй, является возможность экономического обеспечения органи­зации для обеспечения информационной безопас­ности непрерывности бизнеса. Экономически обос­нованная стратегия управления рисками позволяет в конечном итоге избегать неоправданных расходов.

CRAMM предполагает разделение всей проце­дуры на три последовательных этапа. Задачей пер­вого этапа является определение достаточности для защиты системы применения средств базового уровня, реализующих традиционные функции безопасности, или необходимость проведения бо­лее детального анализа. На втором этапе произво­дится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер. Для каждого этапа определяются набор исходных данных, последова­тельность мероприятий, анкеты для проведения интервью, списки проверки и набор отчетных до­кументов⁶¹.

Достоинства метода CRAMM: хорошо структу­рированный и широко опробованный метод анали­за рисков; может использоваться на всех стадиях проведения аудита безопасности информационных систем; в основе программного продукта лежит объемная база знаний по контрмерам в области информационной безопасности, гибкость и универ­сальность данного метода позволяют его использо­вать для аудита информационной системы любого уровня сложности и назначения.

К недостаткам метода CRAMM можно отнести следующее: для его использования требуется вы­сококвалифицированный аудитор; аудит по дан­ному методу - процесс достаточно трудоемкий и может потребовать месяцы непрерывной работы; генерирует большое количество бумажной доку­ментации, которая не всегда оказывается полезной на практике; невозможно внести дополнения в ба­зу знаний CRAMM, что вызывает определенные трудности при адаптации этого метода к потребно­стям конкретной организации ⁶².

Система COBRA является средством анализа рисков и оценки соответствия информационной системы стандарту ISO 17799. Данная система реализует методы количественной оценки рисков, а также инструменты для консалтинга и проведе­ния обзоров безопасности. В систему COBRA за­ложены принцип построения экспертных систем, обширная база знаний по угрозам и уязвимостям, большое количество вопросников, с успехом при­меняющихся на практике.

Программный продукт КОНДОР+ позволяет специалистам (ИТ-менеджерам, офицерам безо­пасности) проверить политику информационной безопасности компании на соответствие требовани­ям ISO 17799. КОНДОР+ включает в себя более 200 вопросов, ответив на которые специалист по­лучает подробный отчет о состоянии существую­щей политики безопасности, а также модуль оцен­ки уровня рисков соответствия требованиям ISO 17799. В отчете отражаются все положения поли­тики безопасности, которые соответствуют и не соответствуют стандарту, а также существующий уровень риска невыполнения требований политики безопасности в соответствии со стандартом. Эле­ментам, которые не выполняются, даются коммен­тарии и рекомендации экспертов. По желанию специалиста, работающего с программой, могут быть выбраны генерация отчета, например, по ка­кому-то одному или нескольким разделам стандар­та ISO 17799, общий подробный отчет с коммента­риями, общий отчет о состоянии политики безопасности без комментариев для представления руководству. Все варианты отчетов для большей наглядности сопровождаются диаграммами. КОНДОР+ дает возможность специалисту отсле­живать вносимые на основе выданных рекоменда­ций изменения в политику безопасности, посте­пенно приводя ее в полное соответствие с требованиями стандарта. Данная система реализу­ет метод качественной оценки рисков по уровневой шкале рисков: высокий, средний, низкий.

ГРИФ - это программный комплекс анализа и контроля рисков информационных систем ком­паний. В нем разработано гибкое и, несмотря на скрытый от пользователя сложнейший алгоритм, учитывающий более 100 параметров, максимально простое в использовании программное решение, основная задача которого - дать возможность ИТ - менеджеру самостоятельно (без привлечения сторонних экспертов) оценить уровень рисков в информационной системе и эффективность суще­ствующей практики по обеспечению безопасности компании. Данный комплекс делает оценку, рисков по различным информационным ресурсам, подсчи­тывает суммарный риск по ресурсам компании, а также ведет подсчет соотношения ущерба и риска и выдает недостатки существующей политики безо­пасности. В основе продукта ГРИФ заложена ме­тодика анализа рисков, которая состоит из пяти этапов:

- на первом - определяется полный список ин­формационных ресурсов, представляющих цен­ность в исследуемой автоматизированной системе, которые объединяются в сетевые группы;

- на втором - осуществляется ввод в систему всех видов информации, представляющей ценность для информационной системы. Введенные группы ценной информации должны быть размещены пользователем на ранее указанных на предыдущем этапе объектах хранения информации (серверах, рабочих станциях и т. д.); указывается ущерб по каждой группе ценной информации, расположен­ной на соответствующих ресурсах, по всем видам угроз (конфиденциальности, целостности);

- на третьем - вначале происходит определение всех видов пользовательских групп, затем опреде­ляется, к каким группам информации на ресурсах имеет доступ каждая из групп пользователей. В заключение определяются виды (локальный и/или удаленный) и права (чтение, запись, удаление) доступа пользователей ко всем ресурсам, содержащим ценную информацию;

- на четвертом - указывается, какими средства­ми защиты информации защищены ценная инфор­мация на ресурсах и рабочие места групп пользо­вателей. Вводится информация о затратах на приобретение всех применяющихся, средств защи­ты информации и ежегодных затратах на их тех­ническую поддержку, а также на сопровождение системы информационной без опасности;

- на завершающем этапе необходимо ответить на список вопросов по политике безопасности, реали­зованной в системе, что позволяет оценить реаль­ный уровень защищенности системы и детализиро­вать оценки риской. Этот этап необходим для получения достоверных оценок существующих в системе рисков ⁶³.

Отчетная система программного комплекса ГРИФ состоит из трех частей: первая - "Инфор­мационные риски ресурсов", вторая - "Соотноше­ние ущерба и риска", третья - "Общий вывод о существующих рисках информационной системы". Комплексная экспертная система управления информационной безопасностью "АванГард" явля­ется программным продуктом, предназначенным для решения задач управления безопасностью в больших территориально - распределенных автома­тизированных информационных системах, и при­звана облегчать задачи контроля за центральными структурами уровня обеспечения информационной безопасности на местах. Данный комплекс являет­ся одним из самых мощных инструментов анализа и контроля рисков отечественного, производства. Основные возможности комплекса: гибкая система ввода и редактирования модели предприятия, воз­можность построения модели рисков, система оценки и сравнения рисков, оценка мер противо­действия, построение вариантов комплексов мер защиты и оценка остаточного риска.

Таким образом, программный комплекс "АванГард" призван играть вспомогательную роль в решении задач управления информационной безо­пасности, а именно обеспечивать полноценный всесторонний анализ, позволяющий сформулиро­вать обоснованный набор целей безопасности, обосновать политику безопасности, гарантировать полноту требований безопасности, контроль вы­полнения которых нужно осуществлять ⁶⁴.

Рассмотренные методики позволяют оценить или переоценить уровень текущего состояния ин­формационной безопасности автоматизированной системы, снизить потенциальные потери путем по­вышения устойчивости функционирования корпо­ративной сети, разработать концепцию и политику безопасности автоматизированной системы, а так­же предложить планы защиты от выявленных уг­роз и уязвимых мест. Важно заметить, что на се­годняшний день существуют многообразные и сложные по своей структуре автоматизированные системы, для которых невозможно подобрать кон­кретную методику оценки рисков, поэтому для получения точных удовлетворительных результа­тов оценки необходимо использовать комплексный подход к оценкам рисков на основе уже сущест­вующих методик.

Таким образом, методику проведения анализа рисков АБС и инструментальные средства, поддерживающие ее, следует выбирать, учитывая следующие факторы: наличие экспертов в области оценки риска, статистики по инцидентам наруше­ния информационной безопасности, точной коли­чественной оценки или достаточно оценки на каче­ственном уровне.