Учебно-методическое пособие по написанию курсовой работы по дисциплине Теория информационной безопасности и методология защиты инфокоммуникаций

В ходе проведения плановых мероприятий уязвимости, отмеченные серым цветом, были устранены и больше не представляют угрозы.

Проведём расчет риска информационной безопасности на основе модели угроз и уязвимостей. Рассмотрим расчет рисков для одного из информационных активов предприятия, т.к. для остальных риск рассчитывается аналогично.

Зададим вероятности реализации угрозы через данную уязвимость в течение года, а также критичность реализации угрозы через уязвимость.

9.2. Уровень угрозы

9.4. Риск ресурса Критичность ресурса (ущерб, который понесет Компания от потери ресурса)

– 100 у.е.

Таким образом, получим риск ресурса, рассчитанный по модели угроз и уязвимостей.

10. Оценка рисков информационной безопасности А) Матрица с предопределёнными значениями

В методах оценки риска этого типа фактические или предложенные физические активы оценены в терминах замены или стоимости реконструкции (т.е. количественные измерения).

Для каждого актива учитываются относящиеся к нему уязвимости и соответствующие угрозы. Если есть уязвимость без соответствующей угрозы или угроза без соответствующей уязвимости, то это означает, что в

15

настоящее время риска нет (однако следует принимать определенные меры в случае изменения ситуации). Соответствующий ряд в матрице определяется ценностью актива, а соответствующая колонка – вероятностью возникновения угрозы и легкостью использования уязвимости. Например, если значение актива – 3, угроза “высокая” и уязвимость “низкая”, величина риска – 5.

Вероятность инцидентного сценария

Вероятность инцидентного сценария дана угрозой, эксплуатирующей уязвимость с определённой вероятностью

Таблица отображает вероятность успешного осуществления угрозы путем использования уязвимости на фоне влияния на бизнес, связанного со сценарием инцидента. Результирующий риск измеряется по шкале от 0 до 8, который может оцениваться по критериям принятия рисков. Данная шкала рисков также может быть сведена к простому общему рейтингу риска, например:

•низкий риск: 0-2,

•средний риск: 3-5,

•высокий риск: 6-8.

Б) Ранжирование мер угроз риска Матрица или таблица, такая как приведённая ниже, может

использоваться для соотнесения факторов последствий (ценность актива) и вероятности возникновения угрозы (с учетом аспектов уязвимости). Первый этап – оценка последствий (ценность актива) по заранее определенной шкале, например, от 1 до 5, для каждого актива, находящегося под угрозой (колонка “b” в таблице). Второй этап – оценка вероятности возникновения угрозы по заранее определенной шкале, например, от 1 до 5, для каждой

16

угрозы (колонка “с” в таблице). Третий этап – определение величины риска путем умножения (b x c). В конечном счете, угрозы можно ранжировать по соответствующей величине риска. Обратите внимание, что в данном примере 1 принимается как самое низкое последствие и самая низкая вероятность возникновения.

Данная процедура позволяет сравнивать и ранжировать в порядке приоритета различные угрозы с различными последствиями и вероятностью возникновения. В некоторых случаях потребуется связывать денежные значения с эмпирическими шкалами, использованными в данном примере.

Вывод:

Оценка рисков является эффективным механизмом управления информационной безопасностью в компании, позволяющим:

идентифицировать и оценить существующие информационные активы компании;

оценить необходимость внедрения средств защиты информации;

оценить эффективность уже внедренных средств защиты информации.

17

СПИСОК ЛИТЕРАТУРЫ

1.Ховард М., Лебланк Д. Защищенный код. Пер. с англ. – Изд. 2-е, испр. - М.: Издательско-торговый дом «Русская редакция», 2004. – 704 с.: ил.

2.SO/IEC 27005 Информационная технология - Методы защиты – Менеджмент рисков информационной безопасности. Международный стандарт.

3.Малюк А.А. Теория защиты информации. Учебное пособие. - М.: Горячая линия – Телеком, 2014. - 184 с.

4.Зегжда Д.П., Ивашко А.М. Основы безопасности информационных систем. - М.: Горячая линия - Телеком, 2000. – 452 с.

18

ПРИЛОЖЕНИЕ

ТЕОРЕТИЧЕСКИЕ СВЕДЕНИЯ, НЕОБХОДИМЫЕ ДЛЯ НАПИСАНИЯ КУРСОВОЙ РАБОТЫ

В общем виде процесс анализа рисков информационной безопасности (ИБ) сводится к последовательности:

1.Описание исследуемой информационной системы (ИС).

2.Идентификация и оценка угроз.

3.Идентификация и оценка уязвимостей.

4.Идентификация существующих и планируемых мер защиты информации.

5.Расчет и оценка рисков ИБ.

6.Выработка предложений по снижению рисков.

1.1.Модель анализа угроз и уязвимостей

Для того чтобы оценить риск потери информации, необходимо проанализировать все угрозы, действующие на информационную систему, и уязвимости, через которые возможна реализация угроз.

Исходя из введенных владельцем информационной системы данных, можно построить модель угроз и уязвимостей, актуальных для информационной системы компании. На основе полученной модели анализируются вероятности реализации угроз информационной безопасности на каждый ресурс и рассчитываются риски.

1.2. Основные понятия и особенности модели

Базовые угрозы информационной безопасности – нарушение конфиденциальности, нарушение целостности и отказ в обслуживании. Ресурс – любой контейнер, предназначенный для хранения информации, подверженный угрозам информационной безопасности (сервер, рабочая станция, переносной компьютер).

Свойствами ресурса являются: перечень угроз, воздействующих на него, и критичность ресурса.

Угроза – действие, которое потенциально может привести к нарушению безопасности. Свойством угрозы является перечень уязвимостей, при помощи которых может быть реализована угроза.

Уязвимость – слабое место в информационной системе, которое может привести к нарушению безопасности путем реализации некоторой угрозы. Свойствами уязвимости являются: вероятность (простота) реализации

19

угрозы через данную уязвимость и критичность реализации угрозы через данную уязвимость.

Критичность ресурса АС – степень значимости ресурса для информационной системы, т.е. как сильно реализация угроз информационной безопасности на ресурс повлияет на работу информационной системы. Задается в уровнях (количество уровней может быть в диапазоне от 2 до 100) или в деньгах. В зависимости от выбранного режима работы может состоять из критичности ресурса по конфиденциальности, целостности и доступности (АСс, АCi, ACa).

Критичность реализации угрозы KR – степень влияния реализации угрозы на ресурс, т.е. как сильно реализация угрозы повлияет на работу ресурса. Задается в процентах. Состоит из критичности реализации угрозы по конфиденциальности, целостности и доступности (KRc, KRi, KRa).

Вероятность реализации угрозы через данную уязвимость в течение года (P(V)) – степень возможности реализации угрозы через данную уязвимость в тех или иных условиях. Указывается в процентах.

Максимальное критичное время простоя Tmax – значение времени простоя, которое является критичным для организации. Т.е. ущерб, нанесенный организации при простаивании ресурса в течение критичного времени простоя - максимальный. При простаивании ресурса в течение времени, превышающего критичное, ущерб, нанесенный организации не увеличивается.

1.3. Принцип расчета рисков:

Входные данные:

-ресурсы;

-критичность ресурса;

-отделы, к которым относятся ресурсы;

-угрозы, действующие на ресурсы;

-уязвимости, через которые реализуются угрозы;

-вероятность реализации угрозы через данную уязвимость;

-критичность реализации угрозы через данную уязвимость.

С точки зрения базовых угроз информационной безопасности существует два режима работы алгоритма:

одна базовая угроза (суммарная);

три базовые угрозы.

20