Оценка рисков предприятия

Оценка вероятности атаки

Оценка ущерба от атаки

Величина ущерба	Описание
	Раскрытие информации принесет ничтожный моральный и финансовый ущерб фирме.
	Ущерб от атаки есть, но он незначителен, основные финансовые операции и положение фирмы на рынке не затронуты.
	Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и количество клиентов изменяются минимально.
	Значительные потери на рынке и в прибыли. От фирмы уходит ощутимая часть клиентов.
	Потери очень значительны, фирма на период до года теряет положение на рынке. Для восстановления положения требуются крупные финансовые займы.
	Фирма прекращает существование.

Ущерб от совершенной атаки может выражаться в форме:

прямых финансовых потерь, упущенной выгоды, морального ущерба.

Ущерб от атаки может быть вычислен количественно или оценен на качественном уровне с последующим присвоением каждому уровню некоторой количественной характеристики. Во втором случае величина ущерба оценивается неотрицательном числом, например, следующим образом (табл. 2).

Вероятность атаки также представляется неотрицательным числом, например, в соответствии с табл. 3.

Таблица 3

Вероятность	Средняя частота появления
	Данный вид атаки отсутствует
	Реже, чем 1 раз в год
	Около 1 раза в год
	Около 1 раза в месяц
	Около 1 раза в неделю
	Практически ежедневно

1'9

Оценку вероятности появления атаки лучше доверять техническим сотрудникам фирмы.

На следующем этапе составляется таблица рисков предприятия (табл.4).

Таблица 4

Описание атаки	Ущерб	Вероятность	Риск (Ущерб * Вероятность)
Спам переполнение почтового ящика) Копирование жёсткого диска из центрального офиса …	…	…
Итого

На этапе анализа таблицы рисков задаются некоторым максимально допустимым риском, например, значением 7.

Сначала проверяется каждая строка таблицы на непревышение риска этого значения. Если такое превышение имеет место, значит, данная строка – это одна из первоочередных целей разработки политики безопасности.

Затем производится сравнение удвоенного значения (7 х 2 = 14) с интегральным риском (ячейка «Итого»). Если интегральный риск превышает допустимое значение, значит, в системе имеется множество мелких недостатков в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк таблицы рисков выбираются те, которые дают самый значительный вклад в значение интегральною риска, и производится попытка их уменьшить или устранить полностью.

На самом ответственном этапе производится собственно разработка политики безопасности предприятия, которая обеспечит надлежащие уровни как отдельных рисков, так и интегрального риска. При её разработке необходимо, однако, учитывать объективные проблемы, которые могут встать на пути реализации политики безопасности. Такими проблемами могут стать законы страны и международного сообщества, внутренние требования корпорации, этические нормы общества.

После описания всех технических и административных мер, планируемых к реализации, производится расчёт экономической стоимости данной программы. В том случае, когда финансовые вложе­ния в программу безопасности являются неприемлемыми или просто экономически невыгодными по сравнению с потенциальным ущербом от атак, производится возврат на уровень, где задавалось значение максимально допустимого риска (7 в нашем примере) и увеличение его на один или два пункта.

В целом выбор мероприятий защиты информации производится исходя из желаемого выполнения двух условий:

- с одной стороны, затраты на проведение мероприятий защиты информации не должны превышать ценности защищаемой информации для предприятия (ущерба от её раскрытия, потери);

- с другой стороны, затраты на проведение успешной атаки на информацию должны превышать ценность этой информации для злоумышленника.

Завершается разработка политики безопасности её утверждением у руководства фирмы и детальным документированием. За этим должна следовать активная реализация всех указанных в плане компонентов. Перерасчёт таблицы рисков и, как следствие, модификация политики безопасности фирмы, как правило, производятся раз в два года.

Дата добавления: 2014-12-27