9.2. Экономические последствия несанкционированного доступа к информации

1. Раскрытие коммерческой информации может привести к серьезным прямым убыткам на рынке.

2. Известие о краже большого объема информации обычно серьезно влияет на репутацию фирмы, приводя косвенно к потерям в объемах торговых операций.

3. Фирмы-конкуренты могут воспользоваться кражей информации, если та осталась незамеченной, для того чтобы полностью разорить фирму, навязывая ей фиктивные либо заведомо убыточные сделки.

4. Подмена информации как на этапе передачи, так и на этапе хранения в фирме может привести к серьезным убыткам.

5. Многократные успешные атаки на фирму, предоставляющую какой-либо вид информационных услуг, снижают доверие к фирме у клиентов, что сказывается на объеме доходов.

Ущерб от совершенной атаки может выражаться в форме:

• прямых финансовых потерь;

• упущенной выгоды;

• морального ущерба.

Ущерб от атаки может быть вычислен количественно или оценен на качественном уровне с последующим присвоением каждому уровню некоторой количественной характеристики. Во втором случае величина ущерба оценивается неотрицательным числом, например, следующим образом:

Таблица 9.1.

Предполагаемая величина ущерба

Величина ущерба	Описание
0	Раскрытие информации принесет ничтожный моральный и финан­совый ущерб фирме
1	Ущерб от атаки есть, но он незначителен, основные финансовые операции и положение фирмы на рынке не затронуты
2	Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и коли­чество клиентов изменяются минимально
3	Значительные потери на рынке и в прибыли. От фирмы уходит ощутимая часть клиентов
4	Потери очень значительны, фирма на период до года теряет поло­жение на рынке. Для восстановления положения требуются круп­ные финансовые займы
5	Фирма прекращает существование

Вероятность атаки также представляется неотрицательным числом, например, в соответствии со следующей таблицей

Таблица 9.2.

Оценка вероятности атаки

Вероятность	Средняя частота появления
0	Данный вид атаки отсутствует
1	Реже, чем 1 раз в год
2	Около 1 раза в год
3	Около 1 раза в месяц
4	Около 1 раза в неделю
5	Практически ежедневно

Оценку вероятности появления атаки лучше доверять техническим сотрудникам фирмы.

На следующем этапе составляется таблица рисков предприятия:

Таблица 9.3.

Оценка рисков предприятия

Описание атаки	Ущерб	Вероятность	Риск (Ущерб х Вероятность)
Спам (переполнение почтового ящика)	1	4	4
Копирование жесткого диска	3	1	3
Из центрального офиса	…	…	...
…	…	…	...
Итого	9	…	...

На этапе анализа таблицы рисков задаются некоторым максимально допустимым риском, например, значением 7.

Сначала проверяется каждая строка таблицы на непревышение риска этого значения. Если такое превышение имеет место, значит данная строка - это одна из первоочередных целей разработки поли­тики безопасности.

Затем производится сравнение удвоенного значения (7х2=14) с интегральным риском (ячейка «Итого»). Если интегральный риск превышает допустимое значение, значит в системе имеется множество мелких недостатков в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк таблицы рисков выбираются те, которые дают самый значительный вклад в значение интегрального риска, и производится попытка их уменьшить или устранить полностью.

На самом ответственном этапе производится собственно разработка политики безопасности предприятия, которая обеспечит надлежащие уровни как отдельных рисков, так и интегрального риска. При ее разработке необходимо, однако, учитывать объективные проблемы, которые могут встать на пути реализации политики безопасности. Такими проблемами могут стать законы страны и международного сообщества, внутренние требования корпорации, этические нормы общества.

После описания всех технических и административных мер, планируемых к реализации, производится расчет экономической стоимости данной программы. В том случае, когда финансовые вложения в программу безопасности являются неприемлемыми или просто экономически невыгодными по сравнению с потенциальным ущербом от атак, производится возврат на уровень, где задавалось значение максимально допустимого риска (7 в нашем примере) и увеличение его на один или два пункта.

В целом, выбор мероприятий защиты информации производится исходя из желаемого выполнения двух условий:

• с одной стороны, затраты на проведение мероприятий защиты информации не должны превышать ценности защищаемой информации для предприятия (ущерба от ее раскрытия/потери);

• с другой стороны, затраты на проведение успешной атаки на информацию должны превышать ценность этой информации для злоумышленника.

Завершается разработка политики безопасности ее утверждением у руководства фирмы и детальным документированием. За этим должна следовать активная реализация всех указанных в плане компонентов. Перерасчет таблицы рисков и, как следствие, модификация политики безопасности фирмы, как правило, производятся раз в два года.