1 Этап. Анализ рисков.

Шаг 1. Анализ информационной инфраструктуры предприятия и описание объекта защиты.

На этом этапе уточняется информационная структура организации и определяется степень детальности ее рассмотрения. Работа выполняется на концептуальном уровне и включает следующие моменты:

• описание объекта защиты, выбор анализируемых объектов и идентификация активов.

• четко определяются и обосновываются цели защиты, в категориях целостности, доступности, конфиденциальности,

• определяется "среда безопасности", периметр безопасности, т.е. ограничивается область безопасности ВС (невозможно безопасность обеспечить повсеместно),

Для выполнения этой работы надо хорошо познакомиться с основными направлениями деятельности компании, учитывать специфику конкретных информационных систем, определить какие данные имеют отношение к этой деятельности, какая часть данных наиболее важная, составить модель предметной области. Проанализировать процесс управления информацией, содержание данных, выделить категории пользователей. Необходимо структурировать информацию на группы по пользователям, процессам, информационным объектам и потокам, по уровням управления.

Необходимо учитывать ценность информации. Классифицировать данные по типам и степени конфиденциальности, выявить места их хранения и обработки, а также способы доступа к ним. На этом этапе можно составить формальную модель управления доступом. Все это важно для оценки последствий нарушений информационной безопасности. При анализе необходимо учитывать не только информационную систему, но и поддерживающую инфраструктуру, персонал, нематериальные ценности, в том числе репутацию компании.

Далее необходимо структурировать систему на функционально полные компоненты (основные и вспомогательные сервисы).

Выделяют основные сервисы. Например, для банка - основные сервисы: банковская система, система автоматизации офиса, бухгалтерская система банка и т.д. Чтобы система могла функционировать, выделяют вспомогательные сервисы (обеспечивающая часть ВС) - серверы БД, почтовые сервисы, ОС и оборудование. Основной принцип информационной безопасности: защите подлежат все сервисы: основные и вспомогательные, и коммуникационные пути между ними.

Описание объекта защиты предполагает процедуру идентификации активов. Существуют:

Аппаратные активы: компьютеры, периферийное оборудование, внешние интерфейсы, кабельное хозяйство, активное сетевое оборудование;

Программные активы: ОС, ППО, инструментальные средства, программы управления сетью и отдельными системами;

Информационные активы: данные, которые хранятся, обрабатываются и передаются по сети.

Шаг 1 - подготовительный этап, напрямую не связанный с рисками. Риск есть там, где есть угрозы.

Шаг 2. Идентификация угроз.

На этом шаге выполняется анализ угроз и их последствий, определение слабых мест в защите (оценка наиболее вероятных опасностей). Необходимо выявлять не только сами угрозы, но и источники их возникновения.

После идентификации угроз необходимо определить вектор характеристик:

• вероятность осуществления угрозы,

• размер потенциального ущерба. Оценивать надо не только непосредственные расходы на замену оборудования или восстановление информации, но и учитывать ценность информации (например, следствием реализации угрозы может быть подрыв репутации, ослабление позиций на рынке, а при корректировке зарплаты - развал организации, перерасход бюджетных или корпоративных средств и т.п.).

Основные модели и методы оценки уязвимости:

• эмпирический,

• теоретический,

• теоретико-эмпирический,

• экспертные оценки (включая деловые игры, ситуационные модели поведения потенциального нарушителя и др.).

Сущность эмпирического подхода лучше всего демонстрирует подход фирмы IBM (см. Приложение 2): на основе длительного сбора информации о реальных проявлениях угроз, эмпирическим путем устанавливается зависимость между потенциально возможным ущербом и коэффициентами, характеризующими частоту проявления соответствующей угрозы и значения размера ущерба. Теоретический подход основывается на использовании основных положений теории вероятности, математической статистики, вероятностно-автоматном и имитационном моделировании.

Анализ рисков должен дать объективную оценку многих факторов: подверженность и вероятность появления нарушения работы, ущерб от коммерческих потерь, снижение коэффициента готовности системы, общественные отношения, юридические проблемы и др.

Исходные данные для оценки риска могут быть получены точные (например, в денежном отношении), могут быть использованы условные единицы (например, введены категории ущерба (допустимый, существенный, материальный, или по трехбальной шкале: 1- низкий, 2- средний, 3 - высокий).

Шаг 3. Оценка риска

Когда накоплены исходные данные, можно переходить к обработке информации, собственно к оценке риска, который включает:

• выбор методологии оценки рисков,

• оценку рисков

Цель оценки - ответ на вопрос: приемлемы ли существующие риски, если нет, то какие защитные средства экономически выгодно использовать. Оценка должна быть количественной, допускающей сопоставление с заранее выбранными границами допустимости и с расходами на реализацию системы безопасности.

Важно выбрать разумную методологию оценки рисков. Можно использовать простой метод [8]: умножение вероятности осуществления угрозы на предполагаемый ущерб.

Для недопустимо высоких рисков необходимо строить защитные механизмы (реализовывать защитные меры).