Анализ информационных рисков. Управление рисками

Риск – возможность возникновения неблагоприятных ситуаций в ходе реализации планов и исполнения бюджетов предприятия.

Основные компоненты, подверженные риску:

Материальные активы (недвижимость, оборудование, продукция и др.);

Персонал;

Информация;

Товары при перемещении (транспортные потери).

Управление рисками – процесс идентификации и уменьшения рисков, которые могут воздействовать на информационную систему.

Этапы управления рисками:

1. Выбор анализируемых объектов и уровня детализации их рассмотрения.

2. Выбор методологии оценки рисков.

3. Идентификация активов.

4. Анализ угроз.

5. Оценка рисков.

6. Выбор защитных мер.

7. Реализация и проверка выбранных мер.

8. Оценка остаточного риска.

Риск – вероятный ущерб, который зависит от защищенности системы.

Анализ информационных рисков – процесс комплексной оценки защищенности информационной системы с переходом к количественным или качественным показателям.

Оценка риска – систематический анализ: вероятного ущерба, наносимого бизнесу в результате нарушений информационной безопасности с учетом возможных последствий от потери конфиденциальности, целостности или доступности информации и других активов;

вероятности наступления такого нарушения с учетом существующих угроз и уязвимостей, а также внедренных меро-приятий по управлению информационной безопасностью.

Этапы анализа рисков:

1. Инициация (определение границ исследуемой предметной области):

1.1. формирование модели нарушителя;

1.2. ответственность за физические и программные ресурсы;

1.3. конфигурация и масштабы ИС;

1.4. количество пользователей.

2. Идентификация:

2.1. выявление ресурсов, подлежащих защите;

2.2. категорирование ресурсов;

2.3. определение ценности ресурсов;

2.4. формирование схем информационных потоков.

3. Оценка угроз и уязвимостей:

3.1. построение сценариев возможных инцидентов;

3.2. группировка ресурсов с точки зрения угроз и уязвимостей.

4. Оценка рисков:

4.1. формирование сводного перечня рисков;

4.2. ранжирование рисков;

4.3. классификация и определение характеристик рисков.

Дата добавления: 2015-03-29