Оценивание уровней рисков

Рассмотрим пример метода, построенного на использовании таблиц и учитывающий только стоимостные характеристики ресурсов:

1. количественные показатели информационных ресурсов оцениваются на основании опросов сотрудников (владельцев информации) – тех, кто может оценить ценность информации, определить ее характеристики и степень критичности;

2. на основе результатов опроса производится оценивание показателей и степени критичности информационных ресурсов для наихудшего варианта развития событий;

3. рассматривается потенциальное воздействие на процесс при возможном НСД к информации, изменении информации, отказе от выполнения обработки информации, недоступности на различные сроки и разрушении;

4. разрабатывается система показателей в балльных шкалах (пример – 4-хбальная шкала (от 0 до 4), приведенная ниже).

   Показатель ресурса	Показатель частоты
   	0	1	2	3	4
   0	оценка показателя в 4-хбальной шкале (от 0 до 4)
   …
   4

5. по каждой группе ресурсов, связанной с данной угрозой, оценивается уровень последней (вероятность реализации) и степень уязвимости (легкость, с которой реализованная угроза способна привести к негативному воздействию). Оценивание производится в качественных шкалах. Например, уровень угроз и уровень уязвимостей можно оценить по шкале «высокий-средний-низкий»;

Информацию собирают, опрашивая сотрудников, занимающихся техническими вопросами, и анализируя документацию.

Уровни риска определяются тремя параметрами: ценностью ресурса, уровнями угрозы и уязвимости. Каждому значению уровня риска должно быть поставлено в соответствие описание, позволяющее однозначно его трактовать разным людям и понимать, где проходит граница между значениями. Например, показатель риска измеряется в шкале от 0 до 8 со следующими определениями уровней риска:

1. – риск практически отсутствует. Теоретически возможны ситуации, при которых событие наступает, но на практике это случается редко, а потенциальный ущерб сравнительно невелик.

2. – риск очень мал. События подобного рода случались достаточно редко, кроме того, негативные последствия сравнительно невелики.

3. …

8. – риск очень велик. Событие скорее всего наступит, и последствия будут чрезвычайно тяжелыми.

Пример матрицы:

Ценность ресурса	Уровень угрозы
	Низкий (Н)			Средний (С)			Высокий (В)
	Уровни уязвимости
	Н	С	В	Н	С	В	Н	С	В
0	показатель риска в шкале от 0 до 8
…

Для каждого ресурса рассматриваются относящиеся к нему уязвимые места и соответствующие им угрозы. Если уязвимость существует, но нет связанной с ней угрозы или существует угроза, не связанная с какими-либо уязвимыми местами, то в такой ситуации рисков нет. Однако надо иметь в виду, что в дальнейшем ситуация может измениться.

Каждая строка в матрице определяется показателем ресурса, а каждый столбец – степенью опасности угрозы и уязвимости. Например, ресурс имеет ценность 3, угроза имеет степень «высокая», а уязвимость – «низкая». Показатель риска в данном случае будет равен 5. В случае, когда ресурс имеет ценность 2, например, для модификации, уровень угрозы – низкий, а уязвимости, напротив, высокий, показатель риска равен 4. Размер матрицы, учитывающей количество степеней угроз и уязвимостей, категорий ресурсов, может быть другим и определяется конкретной организацией. После того как оценивание рисков было выполнено первый раз, его результаты обычно сохраняют в базе данных. В дальнейшем проводить повторное оценивание будет значительно легче.