ОЦЕНКА при­вле­ка­тель­но­сти ре­а­ли­за­ции кон­крет­ной уг­ро­зы (или клас­са уг­роз) для потенциально­го нару­ши­те­ля

Используем следующие обозначения:

C₀ - выигрыш нарушителя от реализации угрозы;

B₀ - затраты нарушителя для подготовки и реализации угрозы.

Рис. Кривые привлекательности угроз.

Следовательно, можно утверждать, что чем больше значение отношения (рис), тем больше экономических оснований для реализации угрозы.

Выражение - определяет среднюю меру успеха реализации угрозы, где - вероятность обнаружения уг­ро­зы си­с­те­мой ин­фор­ма­ци­он­ной безопасности и противостояние.

Тогда, - показатель привлекательности уг­ро­зы для на­ру­ши­те­ля,

Оценка надежности системы защиты информации (СЗИ)

Стоимость системы защиты информации нужно оценивать по отношению к риску.

УРАВНЕНИЕ ТИППЕТА ДЛЯ РИСКОВ

Главный специалист по технологиям компании TruSecure (бывшей ICSA), Питер Типпет, предложил простую и эффективную формулу для оценки рисков СЗИ в денежном выражении:

Риск = (Угроза х Уязвимость х Стоимость) / 100%

Угроза определяется как частота проявления проблемы в процентном выражении. Так, например, вирусы, рассылаемые по электронной почте, имеют высокий показатель угрозы, поскольку они широко распространены. Уязвимость — это определенный уровень подверженности компании той или иной угрозе, определить который можно при помощи специальной проверки. Уязвимость изменяется в пределах от нуля до единицы.

Стоимость — это потенциальные потери, к которым может привести «событие нарушения системы безопасности».

Дата добавления: 2015-07-24