Лекция №11(2 часа)

Тема:

«ЭФФЕКТИВНОСТЬ ЗАЩИЩЕННОЙ АС. УПРАВЛЕНИЕ РИСКАМИ»

Защита информационных ресурсов АС должна быть продумана и эффективна, поскольку она предназначена для защиты различных ресурсов организации, в т.ч. и финансовых. В этом смысле приобретение дорогого средства информационной безопасности может идти вразрез с самими целями безопасности.

Например, если компьютер содержит конфиденциальную информацию, то его следует поместить за межсетевой экран, установить антивирусное обеспечение, сканнер атак на хост, программу контроля целостности системных файлов и оснастить его проверкой доступа по биометрическим показателям.

Некоторые руководящие документы по ИБ указывают косвенно или явно на два принципа определения требуемого уровня защиты:

1. «Сумма затрат на обеспечение защиты не должна превосходить суммы ущерба от атаки, которую система должна предотвратить» (характерно для коммерческих организаций, ориентированных на получение прибыли);

2. «Суммарные расходы, понесенные злоумышленником на преодоление защиты должны превышать выгоду от результатов атаки» (характерно для организаций, работающий с государственной тайной, когда построение системы защиты предусматривает существенные расходы, встречается реже).

Однако, если измерить расходы на приобретение и установку СЗИ достаточно легко, то измерить, сколько необходимо потратить на обеспечение безопасности сложнее. Выбрать подходящий вариант из имеющихся альтернатив СЗИ можно только после оценки потенциального ущерба от того, что атака будет реализована по причине отсутствия каких-либо конкретных средств защиты.

Оценка рисков как часть направления информационной безопасности – управления рисками, является существенным инструментом построении защиты. Но для должного использования этого инструмента необходимо перейти от качественных показателей к количественным (какие суммы потребуется выплатить клиентам, конкурентам, сколько займут судебные издержки). Это процесс значительно облегчается еcли произведена полная инвентаризация информационных объектов АС.

Управление рисками – это процесс определения, анализа и оценки, снижения, устранения или переноса (перенаправления) риска, который заключается в ответе на следующие вопросы:

- что может произойти?

- каков в этом случае будет ущерб (результат)?

- насколько мы уверены в ответах на предыдущие вопросы? (оценка вероятности);

- что можно сделать для снижения (устранения) вероятности события?

- сколько это будет стоить?

- насколько эффективно то, что может быть сделано?

Сам риск состоит из понятия вероятности, т.е., чем больше вероятность первых трех вопросов, тем больше риск, и наоборот.

Информационный актив – набор информации, который используется организацией в работе и может состоять из более мелких поднаборов. При оценке должно быть проведено отделение собственно информации, как виртуальной составляющей, от ее носителя (физического объекта).

Соответственно стоимость возможного ущерба может быть оценена как сумма:

- стоимости замены информации (при ее утрате);

- стоимости замены ПО поддержки (при его повреждении);

- стоимости нарушения конфиденциальности, целостности, доступности (если они нарушены).

Стоимость аппаратного и сетевого обеспечения учитывается отдельно.

Стандартная методика управления рисками состоит из следующих компонент:

1. Определение политики управления рисками. Построенная на общих принципах обеспечения ИБ (Generally Accepted System Security Principles – GASSP) политика позволяет избежать субъективного подхода.

2. Определение персонала, который будет заниматься устранением рисками и обеспечение его финансирования (оплата труда, обучение, приобретение автоматизированных средств, методик оценки рисков).

3. Определение методологии и средств, с помощью которых будет производиться оценка риска. Следует быть уверенным в правильности этой оценки.

4. Идентификация и измерение риска. На этом этапе определяют сферу применения работ, имеющиеся угрозы, информационные активы и их значимость, проанализировать уязвимость активов, которые могут повлиять на частоту появления и размер ущерба. Производится сведение полученных данных с установкой метрик. Для качественной оценки достаточно таблицы с оценкой уровня риска (высокий, средний, низкий) для каждого из активов. Для количественной оценки используется конкретная методика (рассмотрены ниже).

5. Установка критериев применимости рисков. На основе полученной информации специалисты по управлению рисками вместе с руководством организации должны определить приемлемость риска на основе принятой методики (например, неприемлемым может быть риск потери 100 000$ с вероятностью 0,03).

6. Избежание (уменьшение) риска. Необходимо определить уязвимости, которые становятся неприемлемыми при данных критериях, и определить меры для их устранения. Этот процесс проходит следующие фазы:

А) выбор средств для снижения риска

Б) оценка эффективности этих средств

В) отчет руководству о предлагаемых мероприятиях.

7. Мониторинг работы управления рисками. Для обеспечения адекватности предполагаемых мер предполагаемым рискам, необходимо периодически производить переоценку рисков при изменении внешних и внутренних обстоятельств и угроз.

Дата добавления: 2015-10-13