Оценка рисков при разработке политики ИБ

Существует множество схем вычисления рисков, остановимся на одной из самых простых.

Под риском будем понимать произведение "возможного ущерба от атаки" на "вероятность такой атаки".

Ущерб от атаки может быть представлен неотрицательным числом в приблизительном соответствии со следующей таблицей:

Величина ущерба	Описание
	Атака принесет ничтожный моральный и финансовый ущерб фирме
	Ущерб от атаки есть, но он незначителен, основные финансовые операции и положение фирмы на рынке не затронуты
	Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и количество клиентов изменяются минимально
	Значительные потери на рынке и в прибыли. От фирмы уходит ощутимая часть клиентов
	Потери очень значительны, фирма на период до года теряет положение на рынке. Для восстановления положения требуются крупные финансовые займы.
	Фирма прекращает существование

Вероятность атаки представляется неотрицательным числом в приблизительном соответствии со следующей таблицей:

Вероятность	Средняя частота появления
	Данный вид атаки отсутствует
	реже, чем раз в год
	около 1 раза в год
	около 1 раза в месяц
	около 1 раза в неделю
	практически ежедневно

Список возможных атак и вероятность их появления должен составить технический персонал. Классификацию ущерба, наносимого атакой, должен оценивать владелец информации, или работающий с нею персонал.

Следующим этапом составляется таблица рисков предприятия. Она имеет следующий вид:

Описание атаки	Ущерб	Вероятность	Риск (=Ущерб*Вероятность)
Спам (переполнение почтового ящика)
Копирование жесткого диска сервера центрального офиса
...	...	...
Итого (интегральный риск):

На этапе анализа таблицы рисков задаются некоторым максимально допустимым риском, например значением 7. Сначала проверяется каждая строка таблицы на не превышение этого значения. Если такое превышение имеет место, значит, данная строка – это одна из первоочередных целей разработки ПБ. Затем производится сравнение удвоенного значения (в нашем случае 7*2=14) с интегральным риском (ячейка "Итого"). Если интегральный риск превышает допустимое значение, значит, в системе набирается множество мелких огрешностей в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк выбираются те, которые дает самый значительный вклад в значение интегрального риска и производится попытка их уменьшить или устранить полностью.

После описания всех технических и административных мер, планируемых к реализации, производится расчет экономической стоимости данной программы. В том случае, когда финансовые вложения в ПИБ являются неприемлемыми производится возврат на уровень, где мы задавались максимально допустимым риском 7 и увеличение его на один или два пункта.

Перерасчет таблицы рисков и, как следствие, модификация политики безопасности фирмы рекомендуется производить раз в два года.

Дата добавления: 2014-01-07