2.8. Количественная оценка угроз информационной безопасности

Согласно документам ETSI для разных систем связи могут использоваться разные методы количественной оценки угроз информационной безопасности. Основные из них:

- метод оценки каждого вида угроз (используется для СПС третьего поколения UMTS и услуги UPT ИСС);

- метод оценки угроз с помощью характеристики чувствительности (используется для глобальной ИСС).

Кроме того, существует количественная характеристика суммарного воздействия всех угроз информационной безопасности, относящаяся ко всем системам связи. Отметим, что выбор метода количественной оценки угроз безопасности требует высокой квалификации специалистов-экспертов, а также использования или разработки необходимого для этого математического аппарата. Приведем краткое описание методов оценки угроз информационной безопасности, изложенных в документах ETSI.

2.8.1. Метод количественной оценки каждого вида угрозы безопасности для umts

используется для приведенных выше видов угроз информационной безопасности. В качестве примера приведем метод оценки величины угроз, изложенный в документе ETSI и предложенный для СПС третьего поколения UMTS. Он заключается в следующем:

- проводится оценка воздействия ("I") на каждый подвергающийся угрозе субъект;

- определяется уровень вероятности воздействия ("О") каждой угрозы;

- рассчитывается коэффициент подверженности для каждой угрозы, представляющий собой произведение двух предыдущих величин ("I×O");

- составляется список степени угроз, ранжированный по коэффициенту подверженности. Используются четыре возможные значения степени угрозы - высокая (3), средняя (2), низкая (1), нулевая или незначительная (0);

- представляется вся информация в виде таблицы величин угроз.

Пример оценки величины трех видов угроз для UMTS дан в табл. 2.3.

Таблица 2.3

Угроза	Величина воздействия("I")	Уровень вероятности воздействия ("О")	Коэффициент подверженности ("I×O")	Степень угрозы
Т5а Т8а Т9а	2 1 3	2 1 2	4 1 6	Средняя (2) Низкая (1) Высокая (3)

2.8.2. Метод количественной оценки каждого вида угрозы безопасности для услуги upt исс

В данном случае количественная оценка каждой угрозы выражается одномерным массивом из трех элементов, два из которых (величина воздействия и уровень вероятности воздействия) являются теми же, что и в приведенном выше примере, но с тремя возможными значениями (1,2,3). Третий элемент, являющийся результирующей величиной степени угрозы, определяется по этим двум параметрам, но не умножением, как в табл. 2.3.

Кроме указанных значений каждая угроза характеризуется еще двумя количественными характеристиками - сложностью реализации мер по защите безопасности. Приняты следующие характеристики сложности мер по защите безопасности:

0 - меры по защите от угрозы уже существуют;

1 - меры по защите от угрозы легко осуществимы;

2 - меры по защите от угрозы сложные;

3 - меры по защите от угрозы трудно осуществимы.

Для операторов сетей ЦСИС н ИСС ВСС России эти характеристики могут оказаться весьма важными в случаях, когда установка механизмов безопасности в основное оборудование, находящееся в эксплуатации в течение многих лет, может представлять сложную или трудно осуществимую задачу.

В табл. 2.4 приведен пример количественных оценок угроз для услуги UPT ИСС в отношении входящего вызова.

Под результирующей величиной остаточной угрозы примем количественную характеристику угрозы, которая остается после реализации защитных мер.

В скобках приведены значения остаточных угроз с учетом использования механизмов безопасности. Согласно документу ETSI для защиты от указанных угроз используются следующие специфические механизмы:

- от угрозы inc1 - фильтрация входящих вызовов;

- от угрозы inc3 - оповещение пользователей и операторов;

- от угрозы inc4 - счета с детализацией данных.

Таблица 2.4

Угроза	Величина воздействия ("I")	Уровень вероятности воздействия ("O")	Результирующая величина угрозы	Сложность реализации
incl	1	1	Низкая – 1 (Нулевая)	1
inc2	1	2	Низкая – 1 (Нулевая)	1
inc4	2	2	Средняя – 2 (Низкая – 1)	1

Согласно стандарту ETSI специфические способы обеспечения безопасности не всегда полностью защищают от конкретных угроз. В качестве примера неполной защиты приводится низкая остаточная результирующая величина угрозы inc4, т.е. единица.