Определить уровень приемлемого риска

Категорировать информационные ресурсы по уровню риска

Оценить информационные риски

Определить защищенность КИС

Описать угрозы и уязвимости КИС и, исходя из их критичности и вероятности реализации, оценить уровень защищенности. Угрозы могут быть как внешние, так и внутренние. Типовой перечень угроз по методу CRAMM следующий: несанкционированный доступ, маскарадинг (использование чужих идентификаторов), внедрение вредоносного или злонамеренного программного обеспечения, ошибки в маршрутизации, неисправности оборудования, неисправности электропитания и кондиционеров, сбои системного, сетевого и прикладного программного обеспечения, ошибки пользователей, пожар, затопление и природные катаклизмы, нехватка персонала, кражи, преднамеренные несанкционированные действия, терроризм и пр.

Классическая формула оценки информационных рисков:

ИР = ВРУ * КИ,

где ИР — информационные риски;
ВРУ — вероятность реализации угрозы;
КИ — критичность информации.

Основными факторами при определении вероятности реализации являются частота возникновения угрозы и простота ее реализации, а критичность определятся ценностью данной информации и возможным ущербом для компании в случае нарушения ее конфиденциальности, целостности и доступности.

Это позволит определить порядок снижения рисков. В любом случае максимальные риски следует снижать в первую очередь.

К сожалению, условия функционирования информационной системы не позволяют полностью исключить риск, и руководство компании должно учитывать это, чтобы возникновение чрезвычайной ситуации не стало нерешаемой проблемой. Для снижения уровня риска необходимо внедрить контрмеры: организационные, технические, программные и программно-аппаратные.

Определить меры по управлению рисками

Управление рисками заключается в определении стратегии, которая будет описывать меры по снижению рисков до приемлемого уровня, исходя из произведенного ранее категорирования по уровню риска. Возможно несколько подходов:

— Уменьшение риска. Многие риски могут быть существенно уменьшены путем использования простых и доступных контрмер. К примеру, правильное назначение, хранение и смена паролей снижает риск несанкционированного доступа.

— Уклонение от риска. Например, вынесение Web-сервера организации за пределы локальной сети позволяет избежать риска несанкционированного доступа в локальную сети со стороны пользователей Интернет.

— Изменение характера риска. Например, оборудование можно застраховать, а со специализированной организацией заключить договор о сопровождении СВТ и компенсации ущерба, вызванного нештатными ситуациями.

— Принятие риска. Многие риски не могут быть уменьшены до нуля или пренебрежительно малой величины. На практике, после принятия стандартного набора контрмер, ряд рисков уменьшается, но остается все еще значимым. Такой риск приходится принимать как есть.

Для создания средств защиты информации необходимо определить природу угроз, формы и пути их возможного проявления и осуществления в автоматизированной системе. Для решения поставленной задачи все многообразие угроз и путей их воздействия приводится к простейшим видам и формам, которые были бы адекватны их множеству в автоматизированной системе.

Исследование опыта проектирования, изготовления, испытаний и эксплуатации автоматизированных систем говорят о том, что информация в процессе ввода, хранения, обработки и передачи подвергается различным случайным воздействиям. Причинами таких воздействий могут быть:
- отказы и сбои аппаратуры;
- помехи на линии связи от воздействий внешней среды;
- ошибки человека как звена системы;
- системные и системотехнические ошибки разработчиков;
- структурные, алгоритмические и программные ошибки;
- аварийные ситуации;
- другие воздействия.

Преднамеренные угрозы связаны с действиями человека, причинами которых могут быть определенное недовольство своей жизненной ситуацией, сугубо материальный интерес или простое развлечение с самоутверждением своих способностей, как у хакеров, и т.д.

Дата добавления: 2015-07-13