27. Сопоставление ролей субъектов классам обрабатываемой информации.

27. Модель качественной оценки информационных рисков.

Главный принцип расчетов – сумма затрат на предотвращение рисков не должна превышать стоимость информации.

Управление рисками – процесс, направленный на определение, анализ, оценку, снижение или устранение риска.

Методика оценки риска:

1. Модель качественной оценки рисков.

2. Модель обобщенного стоимостного результата.

3. Количественная модель оценки рисков.

1. Модель качественной оценки информационных рисков:

Оценка производится на основе экспертной оценки специалистов. Выделяются 3 зоны: белая, серая, черная.

Не могу понять что в этом столбце 

Важность Риск	Обычная	Важная
Низкий	Б	С
Средний	Б	С	С
Высокий	С	Ч

Если массив в белой зоне – затраты минимальны. Если массив в черной зоне – затраты возрастут пропорционально важности информации.

Преимущества:

- высокая скорость и простота расчетов

- не требуется оценивать информационные активы в денежном выражении

- не требуется вычислять размер ущерба

- не требуется сопоставлять угрозы-меры защиты

Недостаток:

- большая погрешность

27. Модель обобщенного стоимостного результата Миорры.

Модель не учитывает наступление событий с очень большим ущербом. Определяется время простоя системы. Определяется срок последствий и их стоимость.

Модель учитывает:

- прямой осязаемый ущерб

- косвенный осязаемый ущерб (потери будущие)

- неосязаемый ущерб (репутация)

Достоинства:

- быстрота «прикидок»

Недостатки:

- зависимость от квалификации экспертов

- невозможно просчитать затраты

27. Количественная модель оценки информационных рисков.

Для оценки необходимо знать:

- годовая частота происшествия (ARO)

- ожидаемый единичный ущерб (SLE) – ущерб, полученный в результате реализации 1 события.

- ожидаемый годовой ущерб (ALE) ALE=ARO*SLE

Стоимость информационных активов определяется по:

- осязаемым (все ПО, железо, сеть, кабели и т.д.) активам

- неосязаемым (расходы по замене ПО, железа, затраты на восстановление данных) активам

40. Методическая работа с персоналом.

Методическо-организационные мероприятия:

1. Обеспечение персонала организационно распорядительными документами

2. Организация регулярного обучения и инструктирования

3. Консультационная работа по вопросам информационных рисков и их управления

4. Организация взаимодействия с другими подразделениями безопасности

5. Организация взаимодействия со службой персонала и юридической службой

6. Антикризисная работа в области ЗИ

7. Обеспечение ТОР-менеджеров регулярными отчётами по ИБ

40. Работа с бывшими кадрами.

Сотрудник, покидающий организацию не должен иметь на нее обид.

Возможные «неприятности»:

- непредвиденные контакты с правоохранительными органами

- контакт с налоговой службой

- взаимодействие с конкурентами

- воздействие криминальных структур

При подготовке к увольнительной беседе, необходимо выяснить:

1. Отношение с коллективом

2. Отношение к работе

3. Уровень профессиональной подготовки

4. Наличие конфликтов

5. Степень доступа к информации ограниченного доступа

6. Период, через который эти сведения потеряют «стоимость»

7. Предполагаемое место работы

Необходимо заставить подписать увольняемого ряд документов. Основным является: «Обязательство о неразглашении информации»