Методика FRAP. 
Информационная безопасность

Методика «Facilitated Risk Analysis Process (FRAP)» предлагаемая компанией Peltier and Associates (сайт в Интернет http://www.peltierassociates.com/^r) разработана Томасом Пелтиером (Thomas R. Peltier) и опубликована в [25] (фрагменты данной книги доступны на сайте, приведенное ниже описание построено на их основе). В методике обеспечение ИБ ИС предлагается рассматривать в рамках процесса управления рисками. Управление рисками в сфере ИБ — процесс, позволяющий компаниям найти баланс между затратами средств и сил на средства защиты и получаемым эффектом.

Управление рисками должно начинаться с оценки рисков: должным образом оформленные результаты оценки станут основой для принятия решений в области повышения безопасности системы.

После завершения оценки проводится анализ соотношения затрат и получаемого эффекта (англ, «cost/benefit analysis»), который позволяет определить те средства защиты, которые нужны для снижения риска до приемлемого уровня.

Ниже приведены основные этапы оценки рисков. Данный список во многом повторяет аналогичный перечень из других методик, по во FRAP более подробно раскрываются пути получения данных о системе и ее уязвимостях.

• 1) Определение защищаемых активов производится с использованием опросных листов, изучения документации на систему, использования инструментов автоматизированного анализа (сканирования) сетей.
• 2) Идентификация угроз. При составлении списка угроз могут использоваться разные подходы:
  • — заранее подготовленные экспертами перечни угроз (checklists), из которых выбираются актуальные для данной системы;
  • — анализ статистики происшествий в данной ИС и в подобных ей — оценивается частота их возникновения; по ряду угроз, например, угрозе возникновения пожара, подобную статистику можно получить у соответствующих государственных организаций;
  • — «мозговой штурм», проводимый сотрудниками компании.
• 3) Когда список уфоз закончен, каждой из них сопоставляют вероятность возникновения. После чего оценивают ущерб, который может быть нанесен данной уфозой. Исходя из полученных значений, оценивается уровень уфозы.

При проведении анализа, как правило, принимают, что на начальном этапе в сисгеме отсутствуют средства и механизмы защиты. Таким образом оценивается уровень риска для незащищенной ИС, что в последствии позволяет показать эффект от внедрения средств защиты информации (СЗИ).

Оценка производится для вероятности возникновения уфозы и ущерба от нес по следующим шкалам.

Вероятность (англ. «Probability»):

• — «высокая» (англ. «High Probability») — очень вероятно, что уфоза реализуется в течение следующего года;
• — «средняя» (англ. «Medium Probability») — возможно угроза реализуется в течение следующего года;
• — «низкая» (англ. «Low Probability») — маловероятно, что уфоза реализуется в течение следующего года.

Ущерб (англ. «Impact») — вред (или величины потерь), наносимый активу:

• — «высокий» (англ. «High Impact»): остановка критически важных бизнес-подразделений, которая приводит к существенному ущербу для бизнеса, потере имиджа или неполучению существенной прибыли;
• — средний (Medium Impact): кратковременное прерывание работы критических процессов или систем, которое приводит к ограниченным финансовым потерям в одном бизнес-подразделении;
• — низкий (Low Impact): перерыв в работе, не вызывающий ощутимых финансовых потерь.

Оценка определяется в соответствии с правилом, задаваемым матрицей рисков, изображенной на рис. 4.9.

Рис. 4.9. Матрица рисков FRAP.

Полученная оценка уровня риска может интерпретироваться следующим образом:

• — уровень, А — связанные с риском действия (например, внедрение СЗИ) должны быть выполнены немедленно и в обязательном порядке;
• — уровень В — связанные с риском действия должны быть предприняты;
• — уровень С — требуется мониторинг ситуации (но непосредственных мер по противодействию угрозе принимать, возможно, нс надо);
• — уровень D — никаких действий в данный момент предпринимать не требуется.
• 4) После того как угрозы идентифицированы и дана оценка риска, должны быть определены контрмеры, позволяющие устранить риск или свести его до приемлемого уровня. При этом должны приниматься во внимание законодательные ограничения, делающие невозможным или, наоборот, предписывающие в обязательном порядке, использование тех или иных средств и механизмов защиты. Чтобы определить ожидаемый эффект, можно провести оценку того же риска, но при условии внедрения предлагаемого СЗИ. Если риск снижен недостаточно, возможно, надо применить другое СЗИ. Вместе с определением средства защиты, надо определить, какие затраты повлечет его приобретение и внедрение (затраты могут быть как прямые, так и косвенные, см. ниже). Кроме того, необходимо оценить, безопасно ли само это средство, не создает ли оно новых уязвимостей в системе.

Чтобы использовать экономически эффективные средства защиты, нужно проводить анализ соотношения затрат и получаемого эффекта. При этом надо оценивать не только стоимость приобретения решения, но и стоимость поддержания его работы. В затраты могут включаться:

• — стоимость реализации проекта, включая дополнительное программное и аппаратное обеспечение;
• — снижение эффективности выполнения системой своих основных задач;
• — внедрение дополнительных политик и процедур для поддержания средства;
• — затраты на найм дополнительного персонала или переобучение имеющегося.
• 5) Документирование. Когда оценка рисков закончена, ее результаты должны быть подробно документированы в стандартизованном формате. Полученный отчет может быть использован при определении политик, процедур, бюджета безопасности и т. д.