Управление рисками

Основой разработки системы информационной безопасности является ее целесообразность. Современные средства позволяют свести к нулю практи­чески любой вид нарушений в информационной системе. Однако стоимость идеальной защиты может многократно превышать любой ожидаемый ущерб, поэтому при проведении работ, связанных с информационной безопасностью, следует соблюдать баланс между приемлемым уровнем риска и затратами на его снижение.

Основные этапы управления рисками:

• инициирование и планирование;

• сбор информации о существующих процедурах информационной безопасности (ИБ) и внутреннего контроля;

• идентификация потенциальных угроз;

• оценка вероятности их наступления и возможных последствий;

• составление и обновление карты рисков;

• разработка дополнительных мер информационной безопасности и контрольных процедур;

• подготовка отчетов для руководства;

• контроль внедренных процедур.

В данной главе риск рассматривается как среднестатистическая сумма ущерба от негативного события, произведение вероятности события на сумму ущерба:

РИСК = ВЕРОЯТНОСТЬ х СРЕДНЕСТАТИСТИЧЕСКАЯ СУММА УЩЕРБА.

Очевидно, что каждая из составляющих носит приблизительный характер, объясняемый отсутствием не только детальной статистики, но даже единой методики получения этих значений. Однако анализ уже имеющихся данных позволяет выявить некоторые зависимости для проведения корректировок в политике. Рассмотрим более детально обе составляющие этого выражения.

Под вероятностью нарушения системы безопасности подразумевается среднее количество подобных событий за определенный период.

Оценивая вероятность, необходимо учитывать следующее.

1. Часть нарушений непосредственно связана с каким-либо событием. Так, ошибки ввода информации пользователями связаны с количеством вводимых документов (рис. 9.11).

Пик в начале графика связан с отсутствием у пользователей постоянной практики в выполнении рассматриваемой функции, что приводит к росту ошибок для редких событий. Правый конец графика тоже носит условный характер, поскольку на него начинают оказывать влияние факторы усталости

Рис. 9.11. Зависимость ошибочных действий от объема операций сотрудника или рефлексы, например информационное поле заполняется без осмысления вводимого значения. Для наиболее часто используемых ручных операций пользователи разрабатывают собственные приемы ускорения ввода данных (шаблоны, копирование), которые также влияют на вероят­ность ошибки.

2. Вероятность злоупотребления имеет линейную зависимость от коли­чества людей, знающих о возможности злоупотребления, а также от количе­ства людей, знающих всю последовательность действий. В то же время ве­роятность обратно пропорциональна количеству необходимых участников и количеству альтернативных систем. Последний фактор часто оказывается ключевым в расчете эффективности интернет-службы банка. Вероятность взлома сервера этой службы хакером невелика, поскольку существует мно­жество других серверов, представляющих такой же интерес.

3. Управление рисками

Подпись: Количество ошибок Управление рисками

Вероятность технического сбоя в дублируемой системе, имеющей мо­дульную структуру, равна:

ВЕРОЯТНОСТЬ = SUMj (V.2 х Г), где

V. — вероятность сбоя [-го модуля;

Т. — время устранения неисправ­ности для данного модуля.

4. Вероятность несанкционированного доступа к копируемым данным равна сумме вероятностей несанкционированного доступа к каждой ко­пии.

5. Количество сбоев в программном обеспечении, как правило, носит случайный характер, однако следует знать, что существует почти линейная зависимость ошибок разработки от количества используемых систем и от
количества связей между ними. Если системы образуют сетевую архитектуру, то зависимость становится квадратичной.

Приведенный анализ носит условный характер, однако позволяет оце­нить эффективность мер, принимаемых для обеспечения информационной безопасности.

Что касается оценки возможного ущерба, то она тоже до определенной степени относительна. При оценке ущерба от исключительной ситуации в информационной системе необходимо рассматривать два вида нарушений: приводящих к разовому ущербу и приносящих ущерб во всем периоде своего действия. Во втором случае сумма ущерба является функцией, зависимой от времени устранения последствий. Ее форма зависит от типа нарушения (табл. 9.8).

Таблица 9.8

Зависимость алгоритма расчета ожидаемого ущерба от типа нарушения

Тип нарушения

Ущерб от нарушения

Стоимость

восстановительных работ

Нарушение конфиденци-

Обычно разовый. Реже зависит от времени.

Нет, так как не приводит

альности

Для анализа можно использовать формулу S = S1 + AS х Г, где

S1 — стоимость информации;

AS — стоимость обновления;

Т — период утечки данных

к изменениям системы

Изменения в системе,

Зависит от частоты обращения к измененной

Стоимость восстанови-

включая технические

области. Если она является ключевой в систе-

тельных работ зависит от

сбои и умышленные

ме, то зависит от времени устранения данного

двух составляющих:

действия

нарушения. Аналитическая формула оценки

S = Sx74S,

имеет здесь следующее выражение:

где

W"

II

S — стоимость поиска

і

S1, + Sex H, + Sp (Т2( + Т3),

неисправности;

где

Т — время поиска неис-

S1. — разовый ущерб для каждого случая;

правности;

Se — стоимость эксплуатации с неисправной

5( — стоимость устра-

системой;

Л.— время обнаружения факта нарушения, может меняться от случая к случаю;

Sp (f) — ущерб от простоя системы, связанный с устранением последствий. Данная функция часто носит ступенчатый характер;

Т2) — время диагностики;

ТЗ. — время устранения неисправности

нения

Рассмотренные алгоритмы носят достаточно условный характер и должны быть адаптированы и детализированы в зависимости от более подробной классификации ожидаемых нарушений, структуры информационной системы и особенностей организации.

Комментарии закрыты.