Построение системы управления рисками является более сложной задачей, нежели выбор методологии, и требует не только хороших теоретических знаний, но и практического опыта внедрения. Следует заранее предпринять действия, чтобы не допустить типичных ошибок, которые состоят в отсутствии доверия к полученным результатам оценки рисков со стороны руководства, недостаточной обоснованности расходов на снижение рисков, а также в сопротивлении внедрению мер снижения рисков в подразделениях и технических службах.
Варианты доработки методик
На практике заказчик всегда хочет получить не только результаты первоначальной оценки рисков и рекомендации по их снижению, но и простой в использовании инструмент такой оценки. Большое внимание он уделяет ясности получаемых результатов оценки рисков и их связи с рекомендуемыми действиями по снижению последних. Инструмент оценки рисков должен позволять отследить связи между выявленными рисками и причинами, которые ведут к ним.
Поэтому предполагается в данных методиках предусмотреть следующие факторы:
мониторинг БИС
работа с персоналом
возможность переноса рисков (страхование)
повторная переоценка
разработка мер предотвращения и выявления угроз,
восстановления и исправления файловых систем и баз данных
обход рисков
Основной проблемой данных методик является отсутствие мониторинга до и после проведения оценки БИС. Вследствие чего мы не можем точно сказать насколько была подвержена угрозам система до использования методики и как изменилась эта ситуация после разработки процедур по их ликвидации.
Таким образом, организации неизвестно каким угрозам наиболее подвержена их система информационной безопасности. С помощью мониторинга организация не просто может выявить наиболее подверженные угрозам места, но и документально подтвердить наличие инцидентов при их возникновении в случае необходимости.
Как было предложено ранее, мониторинг должен состоять из следующих основных этапов:
регистрации событий системы
мониторинг использования информационной системы
Чтобы регистрировать события необходимо завести журнал аудита, в котором в течение определенного периода времени (не менее 3 лет) указывать данные пользователя, его время доступа и протоколы всех его действий. Таким образом, в случае наступления инцидента руководство сможет не только выявить угрозу, но и определить виновника.
Мониторинг использования систем позволит выявить несанкционированные попытки доступа к конфиденциальным файлам, а так же их инициаторов.
Немаловажную роль играет работа с персоналом, использующие информационные технологии. К сожалению, во всех исследуемых методиках данный фактор отсутствует. По существующей статистике наибольшее количество инцидентов как раз и происходит по вине человека, присутствует так называемых «человеческий фактор». При должном уровне работы с персоналом больше половины инцидентов можно избежать. Как показывает практика, даже опытные пользователи персональных компьютеров не всегда правильно реагируют в случае наступления инцидента, что может повлечь еще более опасные угрозы системе. Также, например, пользователи предпочитают не сообщать о возникших нарушениях руководству. Такое возможно в случае, когда в политике компании нет четкого описания действий, которые должен выполнять сотрудник. Вследствие чего при необходимости нет возможности документально подтвердить наличие произошедшего инцидента, что может привести к большому ущербу, который не возможно будет минимизировать. При этом, если виновником инцидента был сотрудник, то к нему должны быть применены дисциплинарные взыскания.
Так же не стоит забывать, что при анализе всех отчетов, поступивших от сотрудников, руководство может своевременно выявить наиболее подверженные угрозам области. При регулярном анализе таких отчетов можно увидеть, насколько эффективны были меры безопасности в
организации, а что еще предстоит сделать и внедрить.
Не стоит забывать, что меры БИС регулярно дорабатываются и изменяются. Своевременное доведение нововведений до сотрудников поможет избежать большого количества инцидентов, связанных с человеческим фактором.
Все чаще организации ограничивают доступ сотрудников, используя персональный идентификационный код и пароль, считая, что таким образом система менее подвержена инцидентам. Таким образом, они защищают свою систему только от несанкционированного доступа в систему, но не к конфиденциальным файлам. Очень часто они забывают, что так же нужно ограничивать возможности каждого пользователя к системным файлам и базам данных в соответствии с их должностными обязанностями. Из этого следует, что пользователь, не имея привилегий, не может изменять файлы, к которым он не имеет доступа. Таким образом, можно избежать многих системных ошибок.
Так же стоит отметить, что абсолютно все методики, которые были рассмотрены, не имеют возможности переноса рисков. Примером переноса риска может служить использование системы страхования.
При проведении оценки БИС выявляется степень риска той или иной угрозы. К сожалению сейчас ни одна из методик не учитывает того факта, что организация может застраховать себя в случае наступления определенного инцидента, который имеет наименьшую вероятность наступления, но наибольший ущерб. Таким образом, организация может быть уверена, что при наступлении данного события, ущерб будет минимизирован или полностью возмещен за счет средств страховщика.
Многие методики применяются организацией одноразово. Тогда как в большинстве случаев требуется проводить их регулярно в течение одного года или определенного руководителями периода, например, ежеквартально или ежемесячно. Таким образом, проверяется степень эффективности разработанных мер. Если предпринятые меры не снизили риск и даже увеличили его, то предложенные меры требуется, либо вообще отменить, либо провести их доработку. Особенное внимание, на наш взгляд, надо уделить следующим мерам:
Выявления угроз
Предотвращения угроз
Восстановления системных файлов и баз данных
Исправления системных файлов и баз данных
Меры выявления инцидентов позволяют на ранних стадиях не только обнаружить уже существующие проблемы БИС, но ликвидировать многие ошибки, которые могут возникнуть в процессе неправильной работы системы.
Нужно помнить, что одна ошибка может повлечь другую и так далее, сформировывает цепочку. Таким образом, всего лишь один незначительный инцидент может повлечь за собой отказ всей системы. Возможно несколько вариантов событий:
устранение только последней возникшей ошибки
устранять ошибки по цепочке от конца к началу или от начала к концу
устранение ошибки, которая находилась в промежутке между самой первой и последней ошибками
устранение только первой ошибки
Стоит отметить, что меры по исправлению следует разрабатывать так, чтобы определялась первопричина, а не следствия возникшей ошибки.
Общеизвестно, что для восстановления системы необходим минимум уже существующей информации. Поэтому следует предусмотреть резервное копирование, которое помогает сохранить большое объем информации в безопасности. Так же для повышения степени сохранности информации системные файлы и базы данных лучше хранить на отдельном жестком диске. Таким образом, возможно, что при выходе системы из строя, она подвергнется восстановлению, а отдельный жесткий диск с системными файлами и базами данных останется нетронутым.