ФГБОУ ВПО «Воронежский государственный технический университет»

А.Г. Остапенко С.С. Куликов

ТЕОРИЯ УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННЫХ СИСТЕМ

Утверждено Редакционно-издательским советом

университета в качестве учебного пособия

Воронеж 2013

УДК 004.056.5

Остапенко А.Г. Теория управления рисками информационных систем : учеб. пособие [Электронный ресурс]. – Электрон. текстовые, граф. данные (268 Кб) / А.Г. Остапенко, С.С. Куликов. – Воронеж : ФГБОУ ВПО «Воронежский государственный технический университет», 2013. – 1 электрон. опт. диск (CD-ROM). – Систем. требования: ПК 500 и выше ; 256 Мб ОЗУ ; Windows XP ; MS Word 2007 или более поздняя версия ; 1024x768 ; CD-ROM ; мышь. – Загл. с экрана. – Диск и сопровод. материал помещены в контейнер 12x14 см.

Пособие посвящено исследованию вопросов управления информационной безопасностью через регулирование информационных рисков распределенных систем.

Издание соответствует требованиям Федерального государственного образовательного стандарта высшего профессионального образования по специальности 090301 «Компьютерная безопасность», дисциплине «Теория управления информационной безопасностью распределенных компьютерных систем».

Табл. 10. Ил. 2. Библиогр.: 327 назв.

Рецензенты: ОАО «Концерн «Созвездие»

(канд. техн. наук, ст. науч. сотрудник О.В. Поздышева);

д-р техн. наук, проф. О.Н. Чопоров

© Остапенко А.Г., Куликов С.С., 2013

© Оформление. ФГБОУ ВПО «Воронежский государственный технический университет», 2013

ВВЕДЕНИЕ

Во многих организациях распределенные системы стали основным средством обработки и хранения информационных ресурсов и нередко содержат конфиденциальную информацию.

Создание распределенной системы в организации, или внедрение новых информационных средств в существующие системы, должны сопровождаться проведением тщательного анализа с точки зрения оценки состояния информационной безопасности.

Под информационной безопасностью понимается «состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы от внутренних или внешних угроз». Таким образом, оценка состояния информационной безопасности распределенной системы заключается в оценке защищенности ее информационных ресурсов.

Пособие посвящено исследованию вопросов управления информационной безопасностью через регулирование информационных рисков распределенных систем.

Как известно, информационные атаки на системы, а также сбои их компонентов вызывают разнообразные отказы, наносящие ущерб и обуславливающие соответствующие риски.

Высокоуровневая оценка риска информационной безопасности дает возможность определять приоритеты и хронологию действий.

В пособии изложено, что процесс управления рисками должен состоять из установления контекста, оценки риска, обработки риска, принятия риска, коммуникаций риска, а также мониторинга и переоценки риска информационной безопасности.

Глава 1. Общие положения

1.1. Основные понятия

1.1.1. Терминология и определения в публикациях на русском языке

Базовый (Baseline) анализ рисков [123] - анализ рисков, проводимый в соответствии с требованиями базового уровня защищенности. Прикладные методы анализа рисков, ориентированные на данный уровень, обычно не рассматривают ценность ресурсов и не оценивают эффективность контрмер. Методы данного класса применяются в случаях, когда к информационной системе не предъявляется повышенных требований безопасности.

Полный (Full) анализ рисков [123] - анализ рисков для информационных систем с повышенными требованиями в области ИБ (более высокие, чем базовый уровень защищенности). Это предполагает:

• определение ценности ресурсов;

• оценку угроз и уязвимостей;

• выбор надлежащих контрмер, оценку их эффективности.

Угроза (Threat) [123] - совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности.

Угроза ИБ (Threat) [14] - возможная опасность (потенциальная или реально существующая) совершения какого-либо деяния (действия или бездействия), направленного против объекта защиты (информационных ресурсов), наносящего Ущерб собственнику, владельцу или пользователю и проявляющегося в искажении и/или потере информации.

Источник угрозы [14] - потенциальные антропогенные, техногенные или стихийные носители угрозы безопасности.

Последствия (атака) [14] - возможные последствия реализации угрозы (возможные действия) при взаимодействии источника угрозы с системой через имеющиеся факторы (уязвимости).

Как видно из определения, атака - это всегда пара «источник-фактор», реализующая угрозу и приводящая к ущербу.

Уязвимость (Vulnerability) [123] - слабость в системе защиты, которая делает возможной реализацию угрозы.

Уязвимость (Vulnerability) [123] - присущие объекту особенности, приводящие к нарушению безопасности информации и обусловленные недостатками процесса функционирования объекта, свойствами архитектуры АС, протоколами обмена и интерфейсами, применяемыми ПО и аппаратной платформой, условиями эксплуатации.

Анализ рисков [123] - процесс определения угроз, уязвимостей, возможного ущерба, а также контрмер.

Оценка рисков [123] (Risk Assessment) - идентификация рисков, выбор параметров для их описания и получение оценок по этим параметрам.

Риск нарушения ИБ (Security Risk) [123] - возможность реализации угрозы.

Цена риска [46] - размер ущерба, который может быть нанесен в результате некоторого события риска.

Вероятность риска [46] - вероятность возникновения события риска с определенной ценой риска в результате реализации некоторой комбинации угроз.

Размер риска [46] (ожидаемый ущерб или степень риска) - математическое ожидание (произведение цены риска на вероятность риска) возникновения события риска с определенной ценой и вероятностью риска этого события.

Рискообразующий потенциал [46] (угрозы объекту, структурной составляющей некоторой системы или системы в целом) - суммарный размер риска, который зависит от этого фактора при анализе возможных событий риска, обусловленных наличием указанной сущности со всеми характерными для нее на момент анализа качествами и характеристиками.