Читайте также:
|
CRAMM - інструментальний засіб, що реалізовує однойменну методику, яка була розроблена компанією BIS Applied Systems Limited no замовленню британського уряду. Метод CRAMM дозволяє робити аналіз ризиків і вирішувати ряд інших аудиторських завдань: обстеження інформаційної системи, проведення аудиту відповідно до вимог стандарту BS 7799, розробка політики безпеки.
Ця методика спирається на оцінки якісного характеру, що отримуються від експертів, але на їх базі будує вже кількісну оцінку. Метод є універсальним і підходить і для великих, і для дрібних організацій як урядового, так і комерційного сектора. Грамотне використання методу CRAMM дозволяє отримати дуже добрі результати, найбільш важливим з яких, мабуть, являється можливість економічного забезпечення організації для забезпечення інформаційної безпеки безперервності бізнесу. Економічно обгрунтована стратегія управління рисками дозволяє зрештою уникати невиправданих витрат.
CRAMM припускає розділення усієї процедури на три послідовні етапи. Завданням першого етапу є визначення достатності для захисту системи застосування засобів базового рівня, що реалізовують традиційні функції безпеки, або необхідність проведення детальнішого аналізу. На другому етапі робиться ідентифікація ризиків і оцінюється їх величина. На третьому етапі вирішується питання про вибір адекватних контрзаходів. Для кожного етапу визначаються набір початкових даних, послідовність заходів, анкети для проведення інтерв'ю, списки перевірки і набір звітних документів.
Достоїнства методу CRAMM: добре структурований і широко випробуваний метод аналізу ризиків; може використовуватися на всіх стадіях проведення аудиту безпеки інформаційних систем; у основі програмного продукту лежить об'ємна база знань по контрзаходах в області інформаційної безпеки, гнучкість і універсальність цього методу дозволяють його використати для аудиту інформаційної системи будь-якого рівня складності і призначення; цей метод дозволяє розробляти план безперервності бізнесу. До недоліків методу CRAMM можна віднести наступне: для його використання потрібно висококваліфікованого аудитора; аудит по цьому методу процес досить трудомісткий і може зажадати місяці безперервної роботи; генерує велику кількість паперової документації, яка не завжди виявляється корисною на практиці; неможливо внести доповнення у базу знань CRAMM, що викликає певні труднощі при адаптації цього методу до потреб конкретної організації.
Дата добавления: 2015-11-14; просмотров: 64 | Нарушение авторских прав
| <== предыдущая страница | | | следующая страница ==> |
| Цінність інструментальних методів аналізу ризиків. | | | Система COBRA. |