1.7 Анализ рисков

При проектировании системы защиты информации необходимо определить, насколько серьезный ущерб может принести фирме реализация той или иной угрозы. Этот этап носит название "вычисление рисков". В первом приближении риском называется произведение "возможного ущерба от атаки" на "вероятность такой атаки". Существует множество схем вычисления рисков, остановимся на одной из них.

Ущерб от атаки может быть представлен неотрицательным числом в приблизительном соответствии с таблицей 1.

Таблица 1. Оценка величины ущерба.

Величина ущерба	Описание
0	Раскрытие информации принесет ничтожный моральный и финансовый ущерб.
1	Ущерб от атаки есть, но он незначителен, основные финансовые операции и положение не затронуты.
2	Финансовые операции не ведутся в течение некоторого времени, за это время организация терпит убытки, но ее положение изменяется минимально.
3	Значительные потери в прибыли.
4	Потери очень значительны. Для восстановления положения требуются крупные финансовые займы.
5	Организация прекращает существование.

Вероятность атаки представляется неотрицательным числом в приблизительном соответствии с таблицей 2.

Таблица 2. Оценка вероятности реализации угрозы.

Вероятность	Средняя частота появления
0	Данный вид атаки отсутствует
1	реже, чем раз в год
2	около 1 раза в год
3	около 1 раза в месяц
4	около 1 раза в неделю
5	практически ежедневно

Следующим этапом составляется таблица рисков предприятия (таблица 3.) Она имеет следующий вид:

Таблица 3. Таблица рисков предприятия

Угроза	Вероятность	Потери	Риск
Утечка информации по каналам ПЭМИН	1	1	1
Кража носителей информации	0	0	0
Несанкционированное отключение средств защиты	2	1	2
Взлом локальной сети	3	2	6
Компьютерные вирусы	3	1	3
Недекларированные возможности системного ПО и ПО для обработки персональных данных	1	1	1
Внедрение аппаратных закладок сотрудниками организации	0	0	0
Внедрение аппаратных закладок обслуживающим персоналом (ремонтными организациями)	1	1	1
Сбой системы электроснабжения	0	0	0
Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке	2	1	2
Перехват в пределах контролируемой зоны внутренними нарушителями	1	1	1
Непредсказуемые потери	1	0	0
Суммарный риск	17

Суммарный риск подсчитывается как сумма максимальных величин риска для каждого элемента информации.

Максимальный риск – это риск, который понесет организация при осуществлении угроз на все элементы информации. Максимальный риск рассчитывается как произведение суммарной цены всех элементов информации на максимальную величину возможности реализации угрозы. Максимальный риск составляет 17 ед.

Исходя из шкалы, различные угрозы осуществляются примерно раз в год.

Итак, анализ рисков позволяет решить следующие задачи:

• Выявить угрозы, которые необходимо блокировать или уменьшить вероятность их реализации в первую очередь (угрозы с наибольшим риском);

• Оценить общую защищенность существующей системы (на основе интегральной оценки рисков);

• Оценить эффективность внедряемой системы защиты (на основе сравнения интегральных оценок рисков).