2.3. ГРИФ

ГРИФ – комплексная система анализа и управления рисками ИС компании. ГРИФ дает полную картину защищенности информационных ресурсов в системе и позволяет выбрать оптимальную стратегию защиты информации компании.

Система ГРИФ:

•анализирует уровень защищенности всех ценных ресурсов компании;

•оценивает возможный ущерб, который понесет компания в результате реализации угроз ИБ;

•позволяет эффективно управлять рисками при помощи выбора контрмер, наиболее оптимальных по соотношению цена/качество.

На сегодняшний день существует две основные методики оценки рисков ИБ (рис. 2), основанные соответственно на построении:

•модели информационных потоков;

•модели угроз и уязвимостей.

Рис. 2

2.3.1. Алгоритм «Анализ модели информационных потоков».

Анализ рисков ИБ осуществляется с помощью построения модели информационной системы (ИС) организации.

Владельцу ИС требуется сначала описать архитектуру своей сети:

• все ресурсы, на которых хранится ценная информация (сервер, рабочая станция, мобильный компьютер и т.д.);

8

•сетевые группы (сегмент сети), в которых находятся физически взаимосвязанные ресурсы системы (т.е. физические связи ресурсов друг с другом);

•отделы, к которым относятся ресурсы;

•виды ценной информации (например, бухгалтерская информация, информация о продажах);

•ущерб для каждого вида информации по трем видам угроз;

•бизнес-процессы (производственные процессы), в которых обрабатывается ценная информация;

•группы пользователей, имеющих доступ к ценной информа-

ции;

•класс группы пользователей (анонимные и авторизованные ин- тернет–пользователи, менеджеры, мобильные пользователи, пользователи, осуществляющие доступ из офиса через Интернет, обычные пользователи (осуществляющие локальный и удаленный доступ к информации), системные администраторы и офицеры безопасности, топ–менеджеры);

•доступ группы пользователей к информации;

•характеристики этого доступа (вид (локальный или удаленный)

иправа доступа);

•средства защиты информации - средства защиты ресурса, на котором расположена информация и средства защиты самой информации, т.е. применяемые к конкретному виду информации, а не ко всему ресурсу;

•средства защиты рабочего (клиентского) места группы пользователей, т.е. ресурса, с которого пользователь осуществляет доступ к информации.

При изучении методики для наглядности будем рассматривать пример расчета риска для ИС из двух ресурсов: сервера и рабочей станции (рис. 3).

На сервере хранятся бухгалтерский отчет и база клиентов. На рабочей станции расположена база данных наименований товаров. К бухгалтерскому отчету на сервере имеет локальный доступ главный бухгалтер. К базе клиентов, также расположенной на сервере имеют удаленный доступ бухгалтер (с рабочей станции) и финансовый директор (через Интернет). К базе данных наименований товаров, расположенной на рабочей стации имеет локальный доступ бухгалтер.

9

Бухгалтер при удаленном доступе к серверу является группой обычных пользователей, а финансовый директор – группой авторизованных пользователей. Бухгалтер имеет удаленный доступ к серверу через коммутатор.

Риск оценивается отдельно по каждой связи «группа пользователей – информация» по трем основным угрозам:

•конфиденциальность;

•целостность;

•доступность.

Риск рассчитываем для связей «информация – группа пользователей».

Расчет рисков по угрозам конфиденциальность и целостность:

1)Определяем для группы пользователей:

•вид доступа к информации (удалённый, локальный);

•права доступа к информации (при доступе «только чтение» целостность информации нарушить нельзя);

•класс группы пользователей, от чего зависит вероятность реализации угрозы, которая наиболее велика для анонимных интернетпользователи, причем для интернет-пользователей нельзя определить средства защиты их рабочего места (табл. 1);

10

2) определяем эффективность средств защиты ресурса, информации и рабочего места группы пользователей, как сумма весов входящих в их состав средств защиты (табл. 2). Сами веса отдельных средств защиты задаются в свойствах проекта (рис. 4).

11

• коэффициент удаленной защищенности информации на ресурсе КУЗИ как сумма эффективностей средств корпоративной сетевой защиты (МЭ, обманные системы, антивирус) (табл. 2, 3).

Из них выбираем минимальный коэффициент, т.е. важно учесть наименее защищенное место в ИС. При УД c использованием VPN к полученному результату прибавляем эффективность VPN шлюза ЭVPN.

Крез = Min (КЛЗ; КЛЗРМ; КУЗИ) + ЭVPN;

3) С учетом числа пользователей в группе N1и наличие у группы выхода в Интернет (N2 = 2, если выход есть и N2 = 1, если нет) определяем для связи «группа пользователей–информация» итоговый коэффициент:

При расчете итогового коэффициента целостности учитывается дополнительно сумма эффективностей резервного копировании ресурса и информации на ресурсе и коэффициент N3, который равен 4 при отсутствии резервного копирования и разрешении записи и удаления и 1 при наличии резервного копирования.

4) далее полученный итоговый коэффициент нужно умножить на базовую вероятность реализации угрозы ИБ, определяемой на основе метода экспертных оценок. Группа экспертов, исходя из классов групп пользователей, получающих доступ к ресурсу, видов и прав их доступа к информации, рассчитывает базовую вероятность реализации угрозы ИБ для каждой информации. Они задаются в соответствующей закладке свойств проекта (рис. 5).

Если на ресурсе сетевой группы, хранится информация, доступная разным группам, то итоговая базовая вероятность определяется по наихудшей базовой вероятности по всем видам информации на всех ресурсах сетевой группы, т.к. злоумышленник, проникнув на ресурс ИС, сможет получить доступ к разной информации.

13

Таблица 3

14

Чтобы получить риск для ресурса в целом (с учетом всех видов информации, хранимой и обрабатываемой на ресурсе), необходимо просуммировать риски по всем видам информации.

Расчет рисков по угрозе отказ в обслуживании. Если для це-

лостности и конфиденциальности вероятность реализации угрозы рассчитывается в процентах, то для доступности аналогом вероятности является время простоя ресурса, содержащего информацию Тпр баз. Это время, в течение которого доступ к информации ресурса невозможен из-за неадекватной работой программного или аппаратного обеспечения ресурса. Оно определяется в часах в год на основе экспертных оценок (рис. 6). Итоговое базовое время простое определяется аналогично итоговой базовой вероятности реализации угрозы.

Рис. 6

Риск по угрозе отказ в обслуживании по-прежнему считается для связки «информация – группа пользователей».

Определяем коэффициент защищенности Kдост связки «информация – группы пользователя» для угрозы доступности (отказ в обслуживании), учитывая права доступа группы пользователей к информации

16

и средства резервирования, а затем и итоговый коэффициент защищенности Китог с учетом коэффициента N2 наличия связи с Интернетом (табл. 4).

Умножая итоговый коэффициент защищенности на время простоя информации, получим время простоя в часах в год информации с учетом средств защиты информации.

Оно суммируется с временем простоя сетевого оборудования Тпр.сет, получаем итоговое время простоя для связи «информация – группа пользователей».

Tпр итог = Kитог дост*Тпр баз итог+Тпр.сет

группы пользователей, имеющих к ней доступ, вычисляется по следующей формуле:

Tinf = 1−∏n 1−Tид.п Tmax ,

i=1 Tmax

где Tmax – максимальное критичное время простоя, значение которого является критичным для организации; Tид.п – время простоя для связи «информация – группа пользователя».

17