5. Определение последствий

Перед оценкой риска должны быть определены последствия для активов, вызванные потерей конфиденциальности, целостности и доступности. Последствием может быть снижение эффективности, неблагоприятные операционные условия, потеря бизнеса, ущерб, нанесенный репутации, и т.д.

Эта деятельность определяет ущерб или последствия для организации, которые могут быть обусловлены сценарием инцидента. Сценарий инцидента – это описание угрозы, использующей определенную уязвимость или совокупность уязвимостей в инциденте. Влияние сценариев инцидентов обусловливается критериями влияния, определяемыми в течение деятельности по установлению контекста.

Организации должны определять операционные последствия сценариев инцидентов на основе (но не ограничиваясь):

• времени на расследование и восстановление;

• потерь (рабочего) времени;

• упущенной возможности;

• охраны труда и безопасности;

• финансовых затрат на приобретение специфических навыков, необходимых для устранения неисправности;

• репутации и иного «неосязаемого капитала».

Результатом данного шага является перечень сценариев инцидентов с их последствиями, связанными с активами и бизнес-процессами.

1.3.2.1.2. Установление значения риска (количественная оценка риска)

Анализ риска может быть выполнен с различной степенью детализации в зависимости от критичности активов, распространенности известных уязвимостей и прежних инцидентов, касавшихся организации. Методология установления значения риска может быть качественной, количественной или комбинированной, в зависимости от обстоятельств. Форма анализа должна согласовываться с критериями оценки риска, разработанными как часть установления контекста.

Для установления качественного значения используется шкала квалификации атрибутов, с помощью которой описываются величины возможных последствий (например, «низкий», «средний» и «высокий») и вероятности возникновения этих последствий. Преимущество установления качественного значения заключается в доступности для понимания всем соответствующим персоналом, а недостатком – зависимость от субъективного выбора шкалы.

Такие шкалы могут быть адаптированы или скорректированы в соответствии с обстоятельствами, для разных рисков могут использоваться разные описания. Установление качественного значения может использоваться:

• как начальная деятельность по тщательной проверке для идентификации рисков, требующих более детального анализа;

• там, где этот вид анализа способствует принятию решения;

• там, где числовые данные или ресурсы являются неадекватными для установления количественного значения.

Качественный анализ должен использовать фактическую информацию и доступные данные.

Для установления количественной оценки используется шкала с числовыми значениями (а не описательные шкалы, используемые при установлении качественного значения) как последствий, так и вероятности, с применением данных из различных источников. В табл. 1.12 приведен пример матрицы с величиной рисков, полученных в результате сопоставления ценности активов, вероятности угроз и уровня уязвимостей.

В этом примере величина рисков определяет­ся по шкале от 0 до 8:

• Величина риска в диапазоне от 0 до 2 соответствует относительно низ­кому уровню риска, который, как правило, может быть принят без дальнейшей обработки.

• Величина риска в диапазоне от 3 до 5 соответствует среднему уровню риска, который может требовать определенной обработки.

• Величина риска в диапазоне от 6 до 8 соответствует высокому уровню риска, который должен быть обработан в первую очередь.

Для многих организаций такой шкалы вполне достаточно. Однако ничто не мешает эту шкалу расширить, введя дополнительные уровни угроз, уязвимо­стей или ущерба (ценности актива).

В результате формируется Реестр информационных рисков — основной документ, описывающий текущую ситуацию с рисками в организации. Он формируется путем объеди­нения таблицы ценности активов, таблицы оценки угроз и уязвимостей и таб­лицы величины рисков табл. 1.13.

Таблица 1.12

Матрица с величиной рисков

Стоимость	Уровень угрозы
ресурса	Низкий			Средний		Высокий
	Уровень уязвимости
	Н	С	В	Н	С	В	Н	С	В
0	0	1	2	1	2	3	2	3	4
1	1	2	3	2	3	4	3	4	5
2	2	3	4	3	4	5	4	5	6
3	3	4	5	4	5	6	5	6	7
4	4	5	6	5	6	7	6	7	8

Таблица 1.13

Реестр информационных рисков

№	Группы угроз	Уязвимости	Активы	Вероят­ность угроз	Уро­вень уязви­мости	Ценность актива	Уро­вень риска	Механизмы контроля
Риски офисной сети Физические риски
1	Кража компьютерного обору­дования и носи­телей информа­ции инсайдерами. Физический НСД помещении организации. кабинеты и серверные комнаты, к оборудо­ванию, бумаж­ным документам запоминающим устройствам, носителям ин­формации и т. п.	Не производится регистрация оборудования и информационных носителей, выносимых за пределы территории организации. Отсутствуют правила работы в зонах безопасности. При приеме на работу не произ­водится проверка истории кандидатов	Корпоративный веб-сайт	М	М	0	2	Средний уровень лояльности сотрудников. Существует политика безопасности в отношении мобильных носителей информации и использования внешних устройств. Существует политика возврата оборудования, носителей информации и документации при увольнении сотрудников. Для доступа на территорию ортаизации используются смарт-карты. Территория охраняется службой безопасности. Офисное оборудование и документация находится строго в зонах безопасности
			Отчеты по мероприятиям			1	3
			Электронные сообщения			2	4
			Проектная документация			2	4
			Договора, соглашения			1	3
			Бухгалтерская база данных			3	5
			Первичная бухгалтерская документация			3	5
			Финансовые документы			3	5

Способ выражения последствий риска и вероятности его возникновения, а также способы их комбинирования для получения информации об уровне риска изменяются в зависимости от вида риска и цели, для достижения которой должны использоваться выходные данные оценки риска.

Качественная оценка риска, не привязанная к какой-либо количественной шкале, может быть полезна для правильной расстановки приоритетов, однако сама по себе не дает представления о масштабах возможной проблемы и вероятных потерях организации. Для того, чтобы качественная шкала оценки риска приобрела смысл для руководства организации, необходимо сопоставить ей количественные диапазоны среднегодовых потерь организации, то есть выполнить калибровку качественной шкалы оценки риска.