Основой разработки системы информационной безопасности является ее целесообразность. Современные средства позволяют свести к нулю практи­чески любой вид нарушений в информационной системе. Однако стоимость идеальной защиты может многократно превышать любой ожидаемый ущерб, поэтому при проведении работ, связанных с информационной безопасностью, следует соблюдать баланс между приемлемым уровнем риска и затратами на его снижение.

Основные этапы управления рисками:

• инициирование и планирование;

• сбор информации о существующих процедурах информационной безопасности (ИБ) и внутреннего контроля;

• идентификация потенциальных угроз;

• оценка вероятности их наступления и возможных последствий;

• составление и обновление карты рисков;

• разработка дополнительных мер информационной безопасности и контрольных процедур;

• подготовка отчетов для руководства;

• контроль внедренных процедур.

В данной главе риск рассматривается как среднестатистическая сумма ущерба от негативного события, произведение вероятности события на сумму ущерба:

РИСК = ВЕРОЯТНОСТЬ х СРЕДНЕСТАТИСТИЧЕСКАЯ СУММА УЩЕРБА.

Очевидно, что каждая из составляющих носит приблизительный характер, объясняемый отсутствием не только детальной статистики, но даже единой методики получения этих значений. Однако анализ уже имеющихся данных позволяет выявить некоторые зависимости для проведения корректировок в политике. Рассмотрим более детально обе составляющие этого выражения.

Под вероятностью нарушения системы безопасности подразумевается среднее количество подобных событий за определенный период.

Оценивая вероятность, необходимо учитывать следующее.

1. Часть нарушений непосредственно связана с каким-либо событием. Так, ошибки ввода информации пользователями связаны с количеством вводимых документов (рис. 9.11).

Пик в начале графика связан с отсутствием у пользователей постоянной практики в выполнении рассматриваемой функции, что приводит к росту ошибок для редких событий. Правый конец графика тоже носит условный характер, поскольку на него начинают оказывать влияние факторы усталости

Рис. 9.11. Зависимость ошибочных действий от объема операций сотрудника или рефлексы, например информационное поле заполняется без осмысления вводимого значения. Для наиболее часто используемых ручных операций пользователи разрабатывают собственные приемы ускорения ввода данных (шаблоны, копирование), которые также влияют на вероят­ность ошибки.

2. Вероятность злоупотребления имеет линейную зависимость от коли­чества людей, знающих о возможности злоупотребления, а также от количе­ства людей, знающих всю последовательность действий. В то же время ве­роятность обратно пропорциональна количеству необходимых участников и количеству альтернативных систем. Последний фактор часто оказывается ключевым в расчете эффективности интернет-службы банка. Вероятность взлома сервера этой службы хакером невелика, поскольку существует мно­жество других серверов, представляющих такой же интерес.

3.

Вероятность технического сбоя в дублируемой системе, имеющей мо­дульную структуру, равна:

ВЕРОЯТНОСТЬ = SUMj (V.2 х Г), где

V. — вероятность сбоя [-го модуля;

Т. — время устранения неисправ­ности для данного модуля.

4. Вероятность несанкционированного доступа к копируемым данным равна сумме вероятностей несанкционированного доступа к каждой ко­пии.

5. Количество сбоев в программном обеспечении, как правило, носит случайный характер, однако следует знать, что существует почти линейная зависимость ошибок разработки от количества используемых систем и от
количества связей между ними. Если системы образуют сетевую архитектуру, то зависимость становится квадратичной.

Приведенный анализ носит условный характер, однако позволяет оце­нить эффективность мер, принимаемых для обеспечения информационной безопасности.

Что касается оценки возможного ущерба, то она тоже до определенной степени относительна. При оценке ущерба от исключительной ситуации в информационной системе необходимо рассматривать два вида нарушений: приводящих к разовому ущербу и приносящих ущерб во всем периоде своего действия. Во втором случае сумма ущерба является функцией, зависимой от времени устранения последствий. Ее форма зависит от типа нарушения (табл. 9.8).

Рассмотренные алгоритмы носят достаточно условный характер и должны быть адаптированы и детализированы в зависимости от более подробной классификации ожидаемых нарушений, структуры информационной системы и особенностей организации.