6. Выбор защитных мер.
7. Реализация и проверка выбранных мер.
8. Оценка остаточного риска.
Управление рисками - процесс циклический. Риски нужно контролировать постоянно, периодически проводя их переоценку. Управление рисками, как и любую другую деятельность в области информационной безопасности, необходимо интегрировать в жизненный цикл ИС.
Выбор анализируемых объектов и уровня детализации их рассмотрения - первый шаг в оценке рисков. Для небольшой организации допустимо рассматривать всю информационную инфраструктуру; однако если организация крупная, всеобъемлющая оценка может потребовать неприемлемых затрат времени и сил. В таком случае следует сосредоточиться на наиболее важных сервисах, заранее соглашаясь с приближенностью итоговой оценки.
Очень важно выбрать разумную методологию оценки рисков. Целью оценки является получение ответа на два вопроса: приемлемы ли существующие риски, и если нет, то какие защитные средства стоит использовать. Управление рисками - типичная оптимизационная задача. Принципиальная трудность состоит в неточности исходных данных. В простейшем и вполне допустимом случае можно пользоваться трехбалльной шкалой.
При идентификации активов следует учитывать не только компоненты информационной системы, но и поддерживающую инфраструктуру, персонал, а также нематериальные ценности, такие как репутация организации. Отправной точкой здесь является представление о миссии организации, то есть об основных направлениях деятельности, которые желательно сохранить в любом случае. Одним из главных результатов процесса идентификации активов является получение детальной информационной структуры организации и способов ее использования. Эти сведения целесообразно нанести на карту ИС в качестве граней соответствующих объектов.
Анализ угроз и их последствий, выявление уязвимых мест в защите. Первый шаг в анализе угроз - их идентификация. Целесообразно выявлять не только сами угрозы, но и источники их возникновения - это поможет в выборе дополнительных средств защиты. Например, нелегальный вход в систему может стать следствием воспроизведения начального диалога, подбора пароля или подключения к сети неавторизованного оборудования. Очевидно, для противодействия каждому из перечисленных способов нелегального входа нужны свои механизмы безопасности.
Оценка рисков. После идентификации угрозы необходимо оценить вероятность ее осуществления (например, по трехбалльной шкале - низкая (1), средняя (2) и высокая (3) вероятность). Кроме вероятности осуществления, важен размер потенциального ущерба. Например, пожары бывают нечасто, но ущерб от каждого из них, как правило, велик. Тяжесть ущерба также можно оценить по трехбалльной шкале.
Вполне допустимо применить такой метод, как умножение
вероятности осуществления угрозы на предполагаемый ущерб. Если для вероятности
и ущерба использовать трехбалльную шкалу, то возможных произведений будет шесть: 1, 2, 3,
4, 6 и 9. Первые два результата можно отнести к низкому риску, третий и
четвертый - к среднему, два последних - к высокому, после чего появляется
возможность снова привести их к трехбалльной шкале. По этой шкале и следует
оценивать приемлемость рисков.
Список использованных источников
1. Грязнов Е.С., Панасенко С.А. Безопасность локальных сетей. - М.: Вузовский учебник, 2006.- 525 с.
2. Козлачков П.С. Основные направления развития систем информационной безопасности. - М.: финансы и статистика, 2004.- 736 с.
3. Леваков Г.Н. Анатомия информационной безопасности. - М.: ТК Велби, издательство Проспект, 2004.- 256 с.
4. Руководящий документ Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации от 30 марта 1992 г.
5. Силаенков А.Н. Проектирование системы информационной безопасности: учеб. пособие - Омск: Изд-во ОмГТУ, 2009. - 128 с.
6. Соколов Д.Н., Степанюк А.Д. Защита от компьютерного терроризма. - М.: БХВ-Петербург, Арлит, 2002.- 456 с.
7. Сыч О.С. Комплексная антивирусная защита локальной сети. - М.: финансы и статистика, 2006.- 736 с.
8. Швецова Н.Д. Системы технической безопасности: актуальные реалии. - Спб: Питер, 2004. - 340 с.