5.3. Этап «реализация» процедур соиб

Задача этапа «РЕАЛИЗАЦИЯ» заключается в выполнении всех планов, связанных с построени­ем, вводом в действие и совершенствованием СУИБ, определенных на этапе «ПЛАНИРОВАНИЕ» и/ или реализации решений, определенных на этапе «СОВЕРШЕНСТВОВАНИЕ» и не требующих вы­полнения деятельности по планированию соответствующих улучшений.

В рамках выполнения процессов этапа «РЕАЛИЗАЦИЯ» СОИБ предусматривается проведение следующих основных работ:

1. Внедрение системы управления рисками.

2. Внедрение системы управления инцидентами.

3. Внедрение системы интегрального мониторинга ИБ.

5. Внедрение системы «Анализ функционирования СОИБ».

6.Внедрение типовой системы «Обеспечение непрерывности бизнеса».

5.3.1. Внедрение системы управления рисками

Управление рисками — процесс циклический. По существу, последний этап — это оператор конца цикла, предписывающий вернуться к началу. Проведение оценки рисков и выбор контрмер, как было обозначено, проводится на этапе «ПЛАНИРОВАНИЕ», на этапе «ВНЕДРЕНИЕ» выбранные контрмеры внедряются в СИБ, далее на этапе «МОНИТОРИНГ» осуществляется контроль и оценка эффективности внедренных контрмер, которая служит основанием для переоценки рисков на этапе «СОВЕРШЕНСТВОВАНИЕ» и на этапе «ПЛАНИРОВАНИЕ» цикл завершается планированием корректировки контрмер, которые, в свою очередь, внедряются далее на этапе «ВНЕДРЕНИЕ».

Для эффективного управления ИБ, в т. ч. управления рисками ИБ, разработаны различные специальные методики и инструментальные средства на основе международных и национальных стандартов ISO 15408, ISO 17799, РС БР ИББС, BS 7799-2:2005, ISO 27001, ISO 13335, BSI, COBIT, NIST 80030, COSO, SAS , Software Tool, MethodWare, Risk Advisor, CRAMM, RiskWatch, COBRA, ГРИФ, АванГард и др. [7, 8, 42, 43, 47-55].

На отечественном рынке имеется ряд продуктов указанного класса позволяющие осуществить управление рисками ИС с учетом различного уровням зрелости организаций. Указанные методики управления рисками разработаны, как правило, на основе требований международного стандарта ISO 17799.

Приведем краткое описание некоторых отечественных и зарубежных инструментальных средства управления информационными рисками (с учетом возможности их адаптации и применения в отечественных условиях), возможности которых приведены в [42, 43, 55].

5.3.1.1. Внедрение количественных методик и инструментальных средств управления рисками

К наиболее востребованных в нашей стране классу количественных методик и инструментальных средств управления рисками из зарубежных продуктов относятся CRAMM, RiskWatch, Risk Advisor, а также отечественная экспертная система «АванГард».

CRAMM. Управление рисками в методике СRAMM осуществляется в несколько этапов, на которых:

1) определяются границы исследуемой информационной системы организации, состав и структура ее основных информационных активов и транзакций;

2) идентифицируются активы, и определяется их стоимость;

3) идентифицируются и оцениваются угрозы и уязвимости информационных активов организации;

4) проводится анализа рисков, который позволяет получить качественные и количественные оценки рисков (расчет ущерба). Для оценки возможного ущерба предлагается ряд способов обработки рисков;

5) поиск адекватных контрмер (меры и средств уменьшения или уклонения от риска). На этом этапе CRAMM генерирует несколько вариантов контрмер, адекватных выявленным рискам и их уровням.

CRAMM имеет средства генерации ряда отчетов, необходимых при проведении аудита информационной безопасности в соответствии с требованиями стандарта BS 7799 (ISO 17799).

CRAMM – пример методики анализа рисков и управления рисками, в которой первоначальные оценки даются на качественном уровне, и потом производится переход к количественной оценке (в баллах).

Указанная методика также может быть применима в отечественной практике, хотя требования по ИБ российских РД и зарубежных стандартов различаются. Недостаток метода CRAMM с позиции отечественного потребителя состоит также в сложности русификации и большом объеме выходных документов (сотни страниц).

Методика RiskWatch. В основе продукта RiskWatch положена методика анализа рисков, которая состоит из четырех этапов.

1) Этап определение предмета исследования. Используются шаблоны по типу ИС организации (коммерческая ИС, государственная ИС и т. д.). В шаблонах в соответствии с типом ИС надо выбрать из указанных перечней: категорию защищаемых ресурсов, потерь, угроз, уязвимостей и мер защиты.

2) Этап ввода данных. Описывающих конкретные характеристики системы (ресурсы, потери и классы инцидентов). С помощью опросного листа выявляются возможные уязвимости. Задается частота возникновения угроз, степень уязвимости и ценность ресурсов.

3) Этап количественной оценки риска (рассчитывается профиль рисков и выбираются контрмеры).

4) Этап генерации отчетов.

К достоинству RiskWatch можно отнести простота и масштабируемость применения, легкая адаптация к требованиям ИБ отечественных регуляторов.

Risk Advisor (организация MethodWare). ПО Risk Advisor позволяет идентифицировать риски и угрозы, а также определить ущерб по результату реализации угроз и предложить контрмеры.

По сравнению с CRAMM методика Risk Advisor значительно проще в применении и требует существенно меньшей трудоемкости.

Экспертная система АванГард (Институт системного анализа РАН) [49]. Типовой пакет программ системы АванГард включает два программных продукта: «АванГард-Анализ» и «АванГард-Контроль». При этом ПО «АванГард-Анализ» решает задачи управления ИБ (анализ рисков, формулирование целей безопасности и требований политики безопасности), а ПО «АванГард-Контроль» - решает задачу контроля уровня защищенности ИС (определение уязвимых мест защиты, т.е. таких мест в ИС, где требования ИБ не выполняются).

Экспертная система АванГард может использоваться для построения корпоративных методик анализа и управления рисков с учетом требования ПИБ организации и РД по ИБ отечественных регуляторов.

Единой методики, по которой можно было бы определить количественную величину риска, на сегодняшний день не существует. Во-первых, это обусловлено отсутствием необходимого объема статистической информации о возможности возникновения какой-либо конкретной угрозы. Во-вторых, играет немаловажную роль тот факт, что определить величину стоимости конкретного информационного ресурса порой очень трудно.  Например, владелец информационного ресурса легко может указать стоимость оборудования и носителей, однако назвать точную стоимость данных, находящихся на этом оборудовании и носителях, он фактически не в состоянии. Поэтому самой часто используемой является качественная оценка информационных рисков, главные задачи которой – это идентифицировать факторы риска, определить возможные уязвимые области риска и оценить воздействие каждого из видов. [55].