Анализ информационных рисков ас ои

Анализ информационных рисков — процесс комплексной оценки защищенности информационной системы с переходом к количественным или качественным показателям рисков. При этом риск — это вероятный ущерб, который зависит от защищенности системы. Под управлением рисками понимается процесс идентификации и уменьшения рисков, которые могут воздействовать на информационную систему. Результаты анализа используются при выборе средств защиты, оценке эффективности существующих и проектируемых подсистем системы ЗИ.

Концепции анализа рисков, управления рисками на всех стадиях жизненного цикла информационной технологии были предложены многими крупными организациями, занимающимися проблемами ИБ. Отечественные аналитики начали использовать различные методики на практике. Несколькими российскими организациями были разработаны собственные методики анализа и управления рисками, разработано собственное ПО, которое, наряду с зарубежным, имеется на отечественном рынке.

Конкретизация существующих методик зависит от многих системообразующих факторов уровня развитости организации, квалификации персонала, масштабов и специфики ее деятельности и некоторых других факторов. Таким образом, невозможно предложить единую, приемлемую для всех, универсальную методику, соответствующую некоторой концепции управления рисками.

Рассмотрим типичные вопросы, возникающие при реализации концепции управления рисками, и возможные подходы к их решению.

Для измерения какого-либо свойства необходимо выбрать шкалу. Шкалы могут быть разной «силы», выбор той или иной шкалы зависит как от свойств измеряемой величины, так и от имеющихся в наличии измерительных инструментов.

Рассмотрим варианты выбора шкалы для измерения характеристического свойства «ценность информационного ресурса». Она может измеряться посредственно в шкалах отношений, таких как стоимость восстановления ресурса, время восстановления ресурса и др. Другой вариант — определить ранговую шкалу для получения экспертной оценки, имеющую три возможных значения лингвистической переменной:

• · малоценный информационный ресурс: от него не зависят критически важные задачи, и он может быть восстановлен с небольшими затратами времени и денег;
• · ресурс средней ценности: от него зависит ряд важных задач, но в случае его утраты он может быть восстановлен за время не менее, чем критически допустимое, стоимость восстановления высокая;
• · ценный ресурс: от него зависят критически важные задачи, в случае утраты время восстановления превышает критически допустимое, либо стоимость чрезвычайно высока.

Для измерения рисков не существует абсолютной шкалы. Риски можно оценивать по объективным либо субъективным критериям. Примером объективного критерия является вероятность выхода из строя какого-либо оборудования, например ПЭВМ за определенный промежуток времени. Примером субъективного критерия является оценка администратора информационного ресурса риска выхода из строя ПЭВМ. Для этого обычно разрабатывается ранговая шкала с несколькими градациями: низкий, средний, высокий уровни.

Существует ряд подходов к измерению рисков. В простейшем случае используется оценка двух факторов: вероятность происшествия и тяжесть возможных последствий. Обычно считается, что риск тем больше, чем больше вероятность происшествия и тяжесть последствий. Общая идея может быть выражена формулой:

РИСК = Pпроисшествия Ч ЦЕНА ПОТЕРИ Если переменные являются количественными величинами, риск — это оценка математического ожидания потерь.

Если переменные являются качественными величинами, то операция умножения не определена. Таким образом, в явном виде эта формула использоваться не должна. Рассмотрим вариант использования качественных величин (наиболее часто встречающаяся ситуация).

Сначала должны быть определены значения лингвистической переменной вероятности событий такой шкалы:

• · A — событие практически никогда не происходит;
• · B — событие случается редко;
• · C — вероятность события за рассматриваемый промежуток времени — около 0,5;
• · D — скорее всего, событие произойдет;
• · E — событие почти обязательно произойдет.

Кроме того, определяется цена потери — лингвистическая переменная серьезности происшествий:

• · N (Negligible) — воздействием можно пренебречь;
• · Mi (Minor) — незначительное происшествие: последствия легкоустранимы, затраты на ликвидацию последствий невелики, воздействие на информационную технологию незначительно;
• · Mo (Moderate) — происшествие с умеренными результатами: ликвидация последствий не связана с крупными затратами, воздействие на информационную технологию невелико и не затрагивает критически важные задачи;
• · S (Serious) — происшествие с серьезными последствиями: ликвидация последствий связана со значительными затратами, воздействие на информационные технологии ощутимо, воздействует на выполнение критически важных задач;
• · C (Critical) — происшествие приводит к невозможности решения критически важных задач.

Для оценки рисков определяется переменная из трех значений: низкий риск, средний риск, высокий риск.

Риск, связанный с определенным событием, зависит от двух факторов и может быть определен как показано в табл. 2.3.

Таблица 2.3.

Определение риска в зависимости от двух факторов.

Подобный подход к оценке рисков достаточно распространен. При разработке (использовании) методик оценки рисков необходимо учитывать следующие возможности:

• · значения шкал должны быть четко определены (словесное описание) и пониматься одинаково всеми участниками процедуры экспертной оценки;
• · требуются обоснования выбранной таблицы. Необходимо убедиться, что разные инциденты, характеризующиеся одинаковыми сочетаниями факторов риска, имеют с точки зрения экспертов одинаковый уровень рисков.

Подобная методика широко применяется при проведении анализа рисков базового уровня.

Вероятность происшествия на ОИ оценивается в зависимости от частоты появления как показано в табл. 2.4. Оценка цены потери приведена в табл. 2.5.

Таблица 2.4.

Оценка вероятности события на ОИ.

Таблица 2.5.

Оценка цены потери на ОИ.

Анализ рисков ОИ позволяет решить следующие задачи:

• · выявить угрозы, вероятность реализации которых необходимо уменьшить или исключить;
• · оценить общую защищенность системы;
• · оценить эффективность внедряемой системы защиты.

Таблица 2.6.

Оценка информационных рисков ОИ.

Применительно к данному проекту, анализ рисков ОИ позволил выявить следующие наиболее опасные угрозы:

• · уничтожение средств ВТ и машинных носителей с защищаемой информацией;
• · раскрытие представления защищаемой информации (дешифрование данных);
• · заражение программными вирусами;
• · искажение или перехват защищаемой информации при передаче по линиям связи;
• · внедрение дезинформации.

Итоговый коэффициент информационных рисков показывает, что уровень защищенности АС недостаточно высок.

Общая схема воздействий на информацию приведена на рис. 2.8.

Рис. 2.8 Схема воздействия на информацию

В модели выделяются внутренние (предотвращение угроз, исходящих из внутренних источников) и внешние (предотвращение угроз, исходящих извне) средства ЗИ.

Источниками угроз на ОИ во внешней среде являются:

• · естественные системы — астрокосмические, планетарные, физические, химические, биологические;
• · искусственные системы — организационно-экономические и технические системы, а также имеющие смешанный характер (например, биотехнические);
• · абстрактные системы — символические (модели, алгоритмы, программы, технологические карты и т. д.) и описательные (например, в виде учений религиозного или этнического характера).

Источниками угроз внутри систем ОИ являются ее подсистемы и элементы:

• · люди;
• · технические устройства и системы;
• · технологические схемы обработки;
• · применяемые в системах обработки данных модели, алгоритмы, программы.

Проектирование системы ЗИ для ОИ должно способствовать снижению возможных негативных последствий, связанных с использованием информационных технологий, и обеспечить возможность выполнения основных целей и задач предприятия.

Одним из эффективных способов является интеграция системы управления рисками в систему управления жизненным циклом информационной системы (табл. 2.7).

Таблица 2.7.

Управление рисками на различных стадиях жизненного цикла системы ИБ.