3. Определение существующих мер и средств контроля и управления

Во избежание лишней работы или расходов, например, при дублировании мер и средств контроля и управления, необходимо определить существующие меры и средства контроля и управления. Один из способов количественной оценки действия мер и средств контроля и управления – выявить, как оно снижает вероятность возникновения угрозы, затрудняет использование уязвимости и возможности влияния инцидента. Меры и средства контроля и управления, которые планируется реализовать в соответствии с планами реализации обработки риска, должны быть определены тем же самым способом, который уже был реализован.

На данном этапе должен быть определен перечень всех существующих и планируемых мер и средств контроля и управления, их нахождение и состояние использования.

3. Выявление уязвимостей

Выявление уязвимостей включает выявление слабых мест, которые могут быть использованы источником угрозы для причинения вреда активам.

Уязвимости могут быть выявлены в следующих областях:

• организация работ;

• процессы и процедуры;

• установившийся порядок управления;

• персонал;

• физическая среда;

• конфигурация информационной системы;

• аппаратные средства, программное обеспечение и аппаратура связи;

• зависимость от внешних сторон.

Наличие уязвимости само по себе не наносит ущерба, поскольку необходимо наличие угрозы, которая сможет воспользоваться ею. Для уязвимости, которой не соответствует определенная угроза, может не потребоваться внедрение средства контроля и управления, но она должна осознаваться и подвергаться мониторингу на предмет изменений.

Примеры уязвимостей и методы их оценки приведены в приложении D ГОСТ Р ИСО/МЭК 27005-2010 [18].

Уязвимости, так же как и угрозы, могут быть оценены по трехуровне­вой качественной шкале. Значение уровня уязвимости показывает, на­сколько вероятно успешное осуществление угрозы с использованием данной уязвимости в случае, если эта угроза будет реализовываться. Соответствую­щие качественные уровни уязвимости могут быть определены, например, следующим образом:

• В – вероятно. Уязвимость легко использовать, и существует слабая защита или зашита вообще отсутствует. Вероятность успешной реализации угрозы ~ 0,9 - 1.

• С – возможно. Уязвимость может быть использована, но существует определенная защита. Вероятность успешной реализации угрозы ~ 0.5.

• Н – маловероятно. Уязвимость сложно использовать, и существует хорошая защита. Вероятность успешной реализации угрозы ~ 0 – 0.1.

Оценка вероятности угроз и величины уязвимостей заносится в табл. 1.11. Эти данные могут и сразу заносится в реестр информационных рисков, минуя промежуточную таблицу.

Следует обратить внимание на то, что в таблице оценки угроз и уязвимос­тей фигурируют группы угроз и группы уязвимостей, а оценка вероятности яв­ляется суммарной оценкой вероятностей всех угроз и всех связанных с ними уязвимостей.

Таблица 1.11

Результаты оценки угроз и уязвимостей (фрагмент)

№	Группы угроз	Уязвимости	Вероятность угроз	Уровень уязвимости	Механизмы контроля
1	НСД к ресурсам ЛВС компании со стороны внутренних злоумыш­ленников. Маскарад, использова­ние чужих пользователь­ских идентификаторов, раскрытие паролей и другой аутентификационной информации	Слабые пароли, отсутствие парольной политики. Наличие внутренних уязви­мостей, обусловленных несвоевре-менным обнов­лением ОС, Мониторинг действий пользователей не производится	С	В	Корректное управление доступом. Низкая квали­фикация пользователей для осуществления НСД
2	НСД к ресурсам ЛВС компании со стороны внешних злоумышлен­ников. Маскарад, использова­ние чужих пользователь­ских идентификаторов, раскрытие паролей и другой аутентификациионной информации	Отсутствуют последние обновления на корпоратив­ном файерволле. Единственный защитный барьер. Наличие внутренних уязви­мостей, обусловленных несвоевременным обновлением ОС. Отсутствие системы обна­ружения вторжений (IDS)	В	С	Хорошая защита периметра. Отсутствие известных уязвимостей

При оценке величины группы уязвимостей взвешиваются все найденные слабости защиты, способствующие успешному осуществлению угроз, и все существующие механизмы контроля, затрудняющие осуществление этих уг­роз. Суммарный уровень группы уязвимостей определяется путем сложения уровней всех идентифицированных уязвимостей и вычитания из них уровней всех идентифицированных механизмов контроля, при этом действенность (уро­вень) механизма контроля определяется по такому же принципу, как и уро­вень уязвимости:

• В – высокий уровень контроля. Маловероятно, что такой механизм контроля удастся обойти. Вероятность обхода (преодоления) механиз­ма контроля ^~ 0 – 0.1.

• С – средний уровень контроля. Механизм контроля обеспечивает определенную защиту, однако есть возможность его обойти, затратив определенные усилия. Вероятность обхода (преодоления) механизма контроля ^~ 0.5.

• Н – низкий уровень контроля. Такой механизм контроля незначи­тельным образом уменьшает уязвимости активов, и его довольно про­сто обойти. Вероятность обхода (преодоления) механизма контроля ^~ 0.9 – 1.

Для определения итогового уровня уязвимости, рассматриваемой для кон­кретной группы угроз, обычно используются экспертные оценки. На правую чашу весов кладутся механизмы контроля, палевую — уязвимости. Если сильно перевешивают уязвимости, тогда итоговый уровень будет высоким. Если суще­ственный перевес на стороне механизмов контроля, которые способны нивели­ровать все имеющиеся уязвимости, тогда итоговый уровень уязвимости будет низким. Если между механизмами контроля и уязвимостями наблюдается при­мерный паритет, тогда итоговый уровень уязвимости оценивается как средний.

Таким образом, результатом данного шага должен перечень уязвимостей, связанных с активами, угрозами и мерами и средствами контроля и управления; перечень уязвимостей, не связанных с выявленной угрозой, подлежащей рассмотрению.