Количественная модель рисков

Рассмотрим здесь традиционную (для Запада) методику Quantitative Risk Model (QRM). В ней применяются такие понятия как:

- годовая частота происшествия - ARO (Annual Rate of Occurrence) – вероятность появления ущерба, т.е. если событие происходит раз в 5 лет, то ARO=1/5;

- ожидаемый единичный ущерб - SLE (Single Loss Expectancy) – стоимость ущерба от одной успешной атаки;

- ожидаемый годовой ущерб – ALE (Annualized Loss Expectancy):

ALE = ARO × SLE.

Величина ARO отлична от вероятности, т.к. может превышать 1, более того, не ограничена сверху. Она может быть вычислена как произведение количества ошибок одного пользователя в год на количество таких пользователей.

SLE рассчитывается как произведение стоимостного значения актива AV (Active Value) на фактор воздействия EF (Executive Factor). EF - это размер ущерба или влияния назначение актива (от 0 до 100%), т.е. часть значения актива, потерянная в результате события:

SLE = AV × EF.

Пример: Пусть имеется здание с инфраструктурой стоимостью 100 000$. Пожар может нанести ущерб с EF = 30% может произойти раз в 10 лет.

SLE = 100 000 × 0,3 = 30 000

ALE = 30 000 × 0,1 = 3 000.

Т.е. если организация тратит 3 000$ в год на предотвращение риска пожара, то предпринимаемые меры могут считаться эффективными.

Несмотря на простоту расчета, определение составляющих здесь представляет значительные сложности.

Чтобы вычислить ARO событий, вызванных природными условиями, можно обратиться в локальные метеослужбы, имеющие сведения о вероятности стихийных бедствий и т.п. По пожарам – в управление пожарной охраны и т.д. Компьютерные преступления учитываются органами внутренних дел. Если эта информация закрыта, то можно обратиться к мировой статистике, во всех случаях имея в виду, что определенный процент таких преступлений скрывается. Статистика отказов оборудования и ПО обычно предоставляется производителем (с поправкой на рекламу).

Для определения стоимости активов следует разделить их на осязаемые и неосязаемые. К первым отнесем средства обслуживания информационных технологий (ИТ) - аппаратное и сетевое обеспечение, запчасти, зарплата обслуживающего персонала. Стоимостные оценки этих активов легко вычислимы.

Стоимость неосязаемых активов должна учитывать два вида расходов: расходы на замену/восстановление ПО и данных, расходы на восстановление:

«конфиденциальности / целостности / доступности». Определение стоимости можно определить по методике Инструкции по Оценке Стоимости Информации – Guidence for Information Violation (GIV).

Приведем пример такого определения.

Группа специалистов работает над исследованием, результатом которого должен стать некоторый набор данных (НД), неосязаемую стоимость которого надо оценить. Если НД будет утерян на каком-либо этапе, то для восстановления потребуются следующие средства:

1. Если НД сохранился как интеллектуальный продукт, то затраты на его восстановление – это труд операторов по вводу в систему, корректировке и т.п.

2. Если НД не сохранился ни в каком виде, то расходы составят столько же, сколько было потрачено на разработку данного этапа, при условии что актуальность не утрачена. Если сохранилось оборудование и материалы, которые можно использовать в повторной реализации, то их стоимость следует вычесть из общих расходов.

Для оценки стоимости по конфиденциальности необходимо исследование ряда дополнительных условий:

1. Если разглашение информации о деталях исследования никак не повлияло на деятельность группы, то НД не имеет стоимости в этом смысле.

2. Если разглашение информации о НД (конкурентам) означает крах всего исследования, то расходы равны затратам на всю разработку.

3. Если работы были сегментированы таким образом, что НД представляет собой отдельные объекты, не связанные друг с другом, и нарушение конфиденциальности одного не повлияет на состояние конфиденциальности остальных, то расходы составят соответствующую часть.

Для оценки нарушения целостности необходимо знать, насколько такое нарушение существенно для проекта. При этом различают смысловые ошибки самого исследования, ошибки персонала при работе с данными, ошибки оборудования, изменения, внесенные злоумышленником и т.д. Также следует различать данные по чувствительности к нарушению целостности (например, одна цифра в банковском счете и сто записей в библиотечном каталоге могут иметь одинаковую стоимость целостности).

Ели изменение данных повлекло прямой материальный ущерб, то он оценивается по максимуму, хотя такой максимальный ущерб может быть моментально обнаружен, а более малый, оставаясь незамеченным, за больший период повлияет сильнее. Изменение некоторых данных может быть оценено только специалистами (замена символа в химической формуле может повлечь катастрофу).

Нарушение доступности целесообразно различать по времени:

‑ недоступно навсегда;

‑ недоступно в течение определенного периода.

Первый вид аналогичен ущербам по конфиденциальности и целостности, а второй оценивается по времени недоступности:

В качестве альтернативы QRM разработана модель обобщенного стоимостного результата Миоры (GCC), которая улучшает и облегчает вычисления. Дело в том, что большая и малая вероятность события, хотя и выглядят в предыдущей формуле одинаково, но требуют разного подхода в определении защитных мер.

Модель GCC не требует учета вероятностей катастрофических событий, она оперирует понятиями ущерба от простоя, как функцией времени после наступления события. Для каждого информационного актива (группы схожих активов, называемых категорией) определяется размер возможного ущерба, срок начала его влияния и распределенность во времени.

Например, простой производства будет приносить ущерб в 50000$ в день, начиная с первого дня. Простой службы заключения контрактов начнет действовать с пятого дня. Затем все категории ущерба суммируются.

Можно отобразить рост ущерба в виде графика, где одна кривая показывает суммарный ущерб организации во времени при отсутствии защитных мероприятий – аварийного плана DRP (Disaster Recovery Plan), а вторая – суммарный ущерб при наличии DRP. Здесь необходимость и эффективность СЗИ особенно наглядна.

Модель различает три вида ущерба: прямой осязаемый, косвенный осязаемый и неосязаемый. К первой категории относятся производственные активы (то, что непосредственно производит прибыль). Второй вид – это функции поддержки, активы, связанные с внешними источниками (например, ущерб от падения акций). В третий вид включены ущерб репутации, невыполненные обещания, негативное общественное мнение.

Дата добавления: 2015-10-13