Повний аналіз ризиків

Повний варіант аналізу ризиків застосовується у випадку підвищених вимог в області інформаційної безпеки. На відміну від базового варіанту в тому чи іншому виді виробляється оцінка цінності ресурсів, характеристик ризиків і уразливості ресурсів.

Програмні засоби, що дозволяють провести повний аналіз ризиків, будуються з використанням структурних методів системного аналізу і проектування і являють собою інструментарій для:

- побудови моделі інформаційної системи з погляду інформаційної безпеки;

- оцінки цінності ресурсів;

- складання списку загроз і вразливості, оцінки їхніх характеристик;

- вибору контрзаходів і аналізу їхньої ефективності;

- аналізу варіантів побудови захисту;

- документування (генерація звітів).

Обов'язковим елементом цих продуктів є база даних, яка містить інформацію з інцидентів в області інформаційної безпеки, що дозволяє оцінити ризики й уразливості, ефективність різних варіантів контрзаходів у конкретних ситуаціях.

Аналіз ризиків містить у собі ідентифікацію й обчислення рівнів ризиків на основі оцінок, привласнених ресурсам, загрозам і вразливості ресурсів.

Контроль ризиків складається з ідентифікації і вибору контрзаходів, що дозволяють знизити ризики до прийнятного рівня.

Це дозволяє переконатися, що захист охоплює всю систему й існує впевненість у тім, що:

- усі можливі ризики ідентифіковані;_:

- уразливості ресурсів ідентифіковані і їхні рівні оцінені;

- загрози ідентифіковані і їхні рівні оцінені;

- контрзаходи ефективні;

Аналіз ризиків проводиться в три етапи.

Етап 1: аналізується усе, що стосується ідентифікації і визначення цінності ресурсів системи. Наприкінці цього етапу банк буде знати, чи досить йому існуючої традиційної практики, чи він має потребу в проведенні повного аналізу безпеки.

Етап 2: розглядається усе, що відноситься до ідентифікації й оцінки рівнів загроз для груп ресурсів і їх вразливості. Наприкінці другого етапу банк одержує ідентифіковані й оцінені рівні ризиків для своєї банківської системи.

Етап 3: пошук адекватних контрзаходів. Власне кажучи, це пошук варіанта системи безпеки, що максимально відповідає вимогам банку. Наприкінці етапу замовник буде знати, як варто модифікувати систему для відхилення від ризику, а також вибору спеціальних заходів протидії, що ведуть до зниження ризиків, що залишилися, до необхідного і припустимого рівня.

Розглянемо більш детально кожний з етапів.

Етап 1. Ідентифікація ресурсів і побудова моделі інформаційної системи з погляду безпеки

Основні кроки:

- визначення меж дослідження (межі системи);

- ідентифікація ресурсів (устаткування, дані, програмне забезпечення);

- побудова моделі з погляду інформаційної безпеки;

- визначення цінності ресурсів;

- одержання звіту й обговорення його з керівництвом банку. Визначення меж дослідження.

Визначення меж досліджуваної системи починається зі збору наступної інформації:

- відповідальні за фізичні і програмні ресурси;

- хто є користувачем і як користувачі будуть використовувати систему;

- конфігурація системи.

Первинна інформація збирається в процесі бесід з менеджером чи іншими співробітниками.

Ідентифікація ресурсів і побудова моделі системи з погляду інформаційної безпеки

Проводиться ідентифікація ресурсів: фізичних, програмних і інформаційних, що містяться усередині меж системи. Кожен ресурс необхідно віднести до одного з визначених класів. Потім будується модель інформаційної системи з погляду інформаційної безпеки. Для кожного інформаційного процесу, що має самостійне значення з погляду користувача і названого користувальницьким сервісом, будується дерево зв'язків використовуваних ресурсів. Побудована модель дозволяє виділити критичні елементи.

Оцінювання цінності ресурсів.

Цінність фізичних ресурсів визначається ціною їхнього відновлення у випадку руйнування.

Цінність даних і програмного забезпечення визначається в наступних ситуаціях:

- неприступність ресурсу протягом визначеного періоду часу;

- руйнування ресурсу - втрата інформації, отриманої з часу останнього резервного копіювання, чи її повне руйнування;

- порушення конфіденційності у випадку несанкціонованого доступу штатних співробітників чи сторонніх осіб;

- модифікація розглядається для випадків дрібних помилок персоналу (помилок уведення), програмних помилок, навмисних помилок;

- помилок, пов'язаних з передачею інформації: відмови від доставки, недоставляння інформації, доставка по невірній адресі.

Для оцінки можливого збитку рекомендується використовувати деякі з наступних параметрів:

- збиток репутації банку;

- порушення діючого законодавства;

- збиток для здоров'я персоналу;

- збиток, пов'язаний з розголошенням персональних даних окремих осіб;

- фінансові втрати від розголошення інформації;

- фінансові втрати, зв'язані з відновленням ресурсів;

- втрати, пов'язані з неможливістю виконання зобов'язань;

- дезорганізація діяльності.

Приведена сукупність параметрів використовується в комерційному варіанті методу. В інших версіях сукупність буде іншою. Так, у версії, використовуваної в урядових закладах, додаються такі області, як національна безпека і міжнародні відносини. Одержання звітів і обговорення їх.

На першому етапі може бути підготовлено кілька типів звітів (межі системи, модель, визначення цінності ресурсів).

Якщо цінності ресурсів низькі, можна використовувати базовий варіант захисту. У такому випадку дослідник може відразу перейти від етапу 1 до етапу 3. Однак для адекватного обліку потенційного впливу якої-небудь загрози, вразливості, що мають високі рівні, варто використовувати скорочену версію етапу 2. Це дозволяє розробити більш ефективну схему захисту.

Етап 2. Аналіз загроз і вразливостей

На другому етапі:

- оцінюється залежність користувальницьких сервісів від визначених груп ресурсів;

- оцінюється існуючий рівень загроз і вразливостей;

- обчислюються рівні ризиків;

- аналізуються результати.

Виробляється угруповання ресурсів з погляду загроз і вразливостей. Наприклад, у випадку існування загрози пожежі чи крадіжки як групу ресурсів розумно розглянути всі ресурси, що знаходяться в одному місці,

Оцінка рівнів загроз і вразливостей виробляється на основі дослідження непрямих факторів. Програмне забезпечення для кожної групи ресурсів і кожного з типів загроз генерує список питань, що допускають однозначну відповідь.

Можливе проведення корекції результатів чи використання інших методів оцінки.

На підставі цієї інформації розраховуються рівні ризиків. Отримані рівні загроз, вразливостей і ризиків аналізуються й узгоджуються з замовником. Тільки після цього переходять до третього етапу.

Етап 3. Вибір контрзаходів

На цьому етапі генеруються кілька варіантів заходів протидії, адекватних виявленим ризикам і їхнім рівням. Умовно їх можна об'єднати в 3 категорії:

- рекомендації загального плану;

- конкретні рекомендації;

- приклади того, як організується захист у даній ситуації.

На цій стадії можливо провести порівняльний аналіз ефективності різних варіантів захисту.