4. Методы и методики проектирования Анализ рисков

Под риском следует понимать – следствие действия либо бездействия, в результате которого существует реальная возможность получения неопределенных результатов различного характера, как положительно, так и отрицательно влияющих на деятельность рассматриваемого объекта. При выполнении полного анализа рисков необходимо провести ряд мероприятий:

• определить ценность ресурсов;

• составить полный список угроз БИ и оценить их параметры;

• оценить уязвимость ресурсов;

• оценить риски;

• выбрать контрмеры (оценить существующие средств обеспечения информационной безопасности) и оценить их эффективность;

Определение ценности ресурсов

Для оценки ценности ресурсов выбирается подходящая система критериев. Критерии должны позволять описать потенциальный ущерб, связанный с нарушением конфиденциальности, целостности, доступности. Ресурсы обычно подразделяются на несколько классов, например, физические программные и данные. Для каждого класса должна существовать своя методика оценки ценности элементов.

Оценка характеристик факторов риска

Ресурсы должны быть проанализированы с точки зрения оценки воздействия возможных угроз безопасности. Кроме того, необходимо идентифицировать уязвимости – слабости в системе защиты, которые делают возможным реализацию угроз. Для того чтобы конкретизировать вероятность реализации угрозы, рассматривается некоторый отрезок времени, в течение которого предполагается защищать ресурс. Вероятность того, что угроза реализуется, определяется несколькими факторами (привлекательностью ресурса, возможностью использования ресурса для получения дохода, простотой использования уязвимости при проведении атаки).

В настоящее время известно множество методов оценивания угроз, большинство из которых построены на использовании таблиц. Такие методы сравнительно просты в использовании и достаточно эффективны. Однако не стоит говорить о «лучшем» методе, так как в различных случаях они будут разными.

1. Ранжирование угроз: в матрице или таблице можно наглядно отразить связь факторов негативного воздействия (показателей ресурсов) и вероятностей реализации угрозы с учетом показателей уязвимостей.

1. оценивается негативное воздействие (показатель ресурса) по заранее определенной шкале, например от 1 до 5, для каждого ресурса, которому угрожает опасность (колонка b в таблице);

2. по заранее заданной шкале, например от 1 до 5, оценивается вероятность реализации каждой угрозы (колонка c в таблице);

3. вычисляется показатель риска. В простейшем варианте методики:

d=b*c,

но необходимо помнить, что операция умножения определена для количественных шкал. Для ранговых (качественных) шкал измерения, каковыми являются показатель негативного воздействия и вероятность реализации угрозы, должна быть разработана методика оценивания показателей рисков применительно к конкретной организации;

4. угрозы ранжируются по значениям их фактора риска.

Дискриптор угрозы	Показатель негативного воздействия	Вероятность реализации угрозы	Показатель риска	Ранг угрозы
a	b	c	d	e
Угроза A
Угроза B
Угроза C
Угроза D
Угроза E
Угроза F

Данная процедура позволяет сравнивать и ранжировать по приоритету угрозы с различными негативными воздействиями и вероятностями реализации:

Уровень угрозы
Низкий			Средний				Высокий
уровни уязвимости
низкий (Н)	средний (С)	высокий (В)	Н	С	В	Н		С	В
0	1	2	1	2	3	2		3	4

2. Оценка угроз проводится также в несколько этапов:

1. каждому ресурсу присваивается определенное значение, соответствующее потенциальному ущербу от воздействия угрозы. Такие показатели присваиваются ресурсу по отношению ко всем возможным угрозам;

2. оценивается показатель частоты повторяемости. Частота зависит от вероятности возникновения угрозы и простоты использования уязвимости. Показатель частоты является субъективной мерой возможности реализации угрозы и оценивается, как правило, в качественных шкалах, примером является 2-ая таблица, где заданы субъективные частоты реализации события в шкале 0 (крайне редко) – 4 (очень часто) для разных уровней угроз и уязвимостей.

3. определяется субъективная шкала рисков в зависимости от показателя ценности ресурса и частоты.

Эти значения должны отражать позицию организации по отношению к рассматриваемым рискам.