Технологии анализа информационных рисков

Опубликованные в настоящее время документы различных организаций и положения ряда стандартов в области защиты информации, посвященные вопросам анализа ИР и управления ими, безусловно, не содержат многих существенных деталей, которые требуется обязательно конкретизировать при разработке применимых на практике методик. Степень конкретизации этих деталей зависит от уровня зрелости организации, специфики ее деятельности и ряда других факторов. Таким образом, невозможно предложить какую-либо единую, приемлемую для всех отечественных кредитных организаций универсальную методику, соответствующую определенной концепции управления рисками. В каждом частном случае приходится адаптировать некую общую методику анализа рисков и управления ими под конкретные нужды организации с учетом специфики ее функционирования и ведения бизнеса.

Идентификация рисков. В любой методике необходимо идентифицировать риски, как вариант — их составляющие — угрозы и уязвимости. Естественным при этом является требование полноты списка. Однако, сложность задачи составления списка и доказательства его полноты зависит от того, какие требования предъявляются к детализации списка. На базовом уровне безопасности специальные требования к детализации классов, как правило, отсутствуют, так что вполне достаточно воспользоваться каким-либо подходящим в данном случае стандартным списком классов рисков. Оценка величины рисков не рассматривается, что приемлемо для методик базового уровня. Списки классов рисков содержатся в ряде руководств, а также в специализированном программном обеспечении для анализа рисков. Пример — германский стандарт BSI, в котором имеется каталог угроз применительно к различным элементам информационных технологий. Достоинством подобных списков является их полнота: классов, как правило, немного (десятки), они достаточно широкие и заведомо покрывают все существующее множество рисков. Недостаток — сложность оценки уровня риска и эффективности контрмер для широкого класса, поскольку подобные расчеты удобнее проводить по более узким (конкретным) классам рисков.

Оценивание рисков, при котором рассматриваются следующие аспекты:

• · шкалы и критерии, по которым можно измерять риски;
• · оценка вероятности событий;
• · технологии измерения рисков.

Для измерения какого-либо свойства необходимо выбрать шкалу. Шкалы могут быть прямыми (естественными) и косвенными (производными). В ряде случаев прямых шкал не существует, приходится использовать либо прямые шкалы других свойств, связанных с интересующими нас, либо определять новые шкалы. Пример — шкала для измерения субъективного свойства «ценность информационного ресурса». Эта ценность может измеряться в единицах измерения производных шкал, таких как стоимость или время восстановления ресурса и пр. Другой вариант — определить шкалу для получения экспертной оценки, например, имеющую три значения: малоценный информационный ресурс, ресурс средней ценности, ценный ресурс.

Для измерения рисков не существует естественной шкалы. Риски можно оценивать по объективным либо субъективным критериям. Примером объективного критерия является вероятность выхода из строя какого-либо оборудования, в частности, персонального компьютера (ПК) за определенный промежуток времени. Пример субъективного критерия — оценка владельцем информационного ресурса риска выхода из строя ПК. В последнем случае обычно разрабатывается качественная шкала с несколькими градациями, например: низкий, средний, высокий уровень. В методиках анализа рисков, как правило, используются субъективные критерии, измеряемые в качественных единицах, поскольку:

• · оценка должна отражать субъективную точку зрения владельца информационного ресурса;
• · следует учитывать различные аспекты — не только технические, но и организационные, психологические и т. д.

Субъективные шкалы бывают количественными и качественными, но на практике, как правило, применяются качественные шкалы с 3−7 градациями.

На сегодняшний день существует ряд подходов к измерению рисков. Остановимся на наиболее распространенных из них — оценке рисков по двум и по трем факторам.

Оценка рисков по двум факторам представляет собой простейший случай оценки исходя из вероятности происшествия и тяжести возможных последствий, общая идея которого выражается формулой:

РИСК = Р_{происшествия} x Цена потери.

Если переменные являются количественными величинами, то риск — это оценка математического ожидания потерь. В случае, когда переменные — качественные величины, то метрическая операция умножения не определена, и в явном виде формула, очевидно, не применима.

Рассмотрим наиболее распространенный вариант использования качественных величин. При этом сначала необходимо определить шкалы. Например, субъективная шкала вероятностей событий может быть построена следующим образом:

A — событие практически никогда не происходит;

B — событие случается редко;

C — вероятность события за рассматриваемый промежуток времени порядка 0,5;

D — скорее всего, событие произойдет;

E — событие произойдет почти обязательно.

Далее устанавливается субъективная шкала серьезности происшествий (с точки зрения причиняемого ущерба и ликвидации последствий), например, в следующем виде:

N (Negligible) — воздействием можно пренебречь;

Mi (Minor) — незначительное происшествие: последствия легко устранимы, затраты на ликвидацию последствий невелики, воздействие на ИТ незначительно;

Mo (Moderate) — происшествие с умеренными результатами: ликвидация последствий не связана с крупными затратами, воздействие на ИТ небольшое и не затрагивает критически важные задачи;

S (Serious) — происшествие с серьезными последствиями: ликвидация последствий связана со значительными затратами, воздействие на ИТ ощутимо, влияет на выполнение критически важных задач;

C (Critical) — происшествие приводит к невозможности решения критически важных задач.

Для оценки рисков определяется шкала из трех значений:

• · низкий риск;
• · средний риск;
• · высокий риск.

Таким образом, риск, связанный с конкретным событием, принимается зависящим от двух факторов и может быть определен на основе таблицы 2.2.

Таблица 2.2. Определение риска в зависимости от двух факторов.

При использовании подобных методик оценки рисков необходимо придерживаться определенных требований для достижения максимально корректного результата, поскольку измерение рисков обычно производится путем опроса группы экспертов.

Оценка рисков по трем факторам применяется в зарубежных методиках, рассчитанных на более высокие требования, чем базовый уровень безопасности, и оперирующих следующими понятиями:

• · угроза — совокупность условий и факторов, которые могут стать причиной нарушения целостности, конфиденциальности, доступности информации;
• · уязвимость — слабость в системе защиты, которая делает возможным реализацию угрозы.

Вероятность происшествия (объективная либо субъективная величина) зависит, таким образом, от уровней (вероятностей) угроз и уязвимостей.

Соответственно, риск может быть рассчитан следующим образом:

РИСК = Р _угрозы x Р _{уязвимости} x Цена потери.

Данное выражение опять можно рассматривать как математическую формулу при использовании количественных шкал либо как формулировку общей идеи, если хотя бы одна из шкал — качественная. В последнем случае обычно применяются различного рода табличные методы для расчета риска в зависимости от трех факторов.

Например, показатель риска измеряется по 8-балльной шкале следующим образом:

• 1 — риск практически отсутствует. Теоретически возможны ситуации, при которых событие наступает, однако, на практике это случается крайне редко, а потенциальный ущерб весьма мал;
• 8 — риск крайне велик. Событие, скорее всего, наступит, и последствия будут чрезвычайно тяжелыми.

При условии обозначения уровней уязвимости через H, C и B (низкий, средний и высокий соответственно) матрица может выглядеть подобно представленной в табл. 2.3.

Таблица 2.3. Определение риска в зависимости от трех факторов.

Подобные таблицы используются как в руководствах по методическому обеспечению оценки рисков, так и в различного рода инструментальных средствах — программном обеспечении анализа рисков как базового, так и повышенного (полного) уровня, к которым относятся COBRA http://www.pcorp.u-net.com/risk.htm., RA Software Tool http://www.aexis.de., CRAMM http://www.insight.co.uk/cramm/index.htm., отечественное прикладное средство «Авангард» и ряд других.

Технологии оценки угроз и уязвимостей применяют различные методы, в основе которых могут лежать:

• · экспертные оценки;
• · статистические данные;
• · анализ факторов, влияющих на уровни угроз и уязвимостей.

Накопление статистических данных об имевших место происшествиях, анализ и классификация их причин, выявление факторов, от которых они зависят, может позволить оценить угрозы и уязвимости в других информационных системах. Однако, для надежных оценок должен быть доступен весьма обширный статистический материал о происшествиях в рассматриваемой области, кроме того, для новейших элементов технологии, как правило, сравнительно долго отсутствует достоверная статистика.

Наиболее распространенным в настоящее время является подход, основанный на учете различных факторов, влияющих на уровни угроз и уязвимостей. В частности, в методе CRAMM оценка угроз и уязвимостей для каждого класса рисков выполняется на основе выбранных косвенных факторов, по которым предлагаются соответствующие вопросы и несколько фиксированных вариантов ответов, «стоящих» определенное количество баллов. Итоговая оценка угрозы и уязвимости данного класса определяется путем суммирования набранных баллов. К недостаткам указанного подхода относится то, что косвенные факторы и их вес существенно зависят от сферы деятельности организации и ряда других обстоятельств, поэтому методика всегда требует подстройки под конкретный объект.

Выбор допустимого вида риска всегда связан с затратами на подсистему ИБ. Первый подход типичен для базового уровня безопасности, когда уровень остаточных рисков не принимается во внимание. Затраты на мероприятия, необходимые для соответствия КИС спецификациям базового уровня (антивирусные средства, межсетевые экраны, системы резервного копирования, средства контроля доступа) являются обязательными. Дополнительные затраты, выделяемые по результатам аудита ИБ либо по инициативе службы безопасности, находятся в разумных пределах и не превышают 5−15% средств, выделяемых на ИТ в целом. Второй подход применяется для обеспечения повышенного уровня безопасности. Наиболее распространенным является анализ по критерию «стоимость-эффективность», при котором ставятся определенные оптимизационные задачи и важно правильно выбрать комплекс контрмер из возможных вариантов, оценив его эффективность. Для облегчения выбора комплекса контрмер в ряде методик (например, CRAMM) используются таблицы, в которых классам угроз ставится в соответствие список возможных контрмер. Далее производится оценка эффективности выбранных контрмер на основе таблиц типичных ориентировочных оценок эффективности вложений в различные классы мероприятий в области ИБ.

В заключение подчеркнем, что на сегодняшний день в экономически развитых странах существует довольно обширный и детально проработанный инструментарий управления информационными рисками, применение которого способствует эффективному обеспечению информационной безопасности организаций, в частности, банковского сектора.