V praksi se uporabljajo kvantitativni in visokokakovostni pristopi k oceni tveganja IB. Kakšna je njihova razlika?
Kvantitativno oceno tveganja se uporablja v primerih, ko se grožnje, ki se študirajo, in tveganja, povezana z njimi, primerjamo s končnimi kvantitativnimi vrednotami, izraženimi v denarju, odstotju, času, človeških virih, in tako naprej. Metoda vam omogoča, da pridobite posebne vrednosti objektov za ocenjevanje tveganja pri izvajanju groženj informacijske varnosti.
S kvantitativnim pristopom vse elemente ocene tveganja dodelijo posebne in resnične kvantitativne vrednosti. Algoritem za pridobitev teh vrednosti mora biti vidno jasen. Predmet ocene je lahko vrednost sredstva v denarnih pogojih, verjetnosti grožnje, škode pri izvajanju grožnje, stroške zaščitnih ukrepov in tako naprej.
1. Določite vrednost informacijskih sredstev v denarnih pogojih.
2. Ocenite morebitno škodo za izvajanje vsake grožnje vsakemu informacijskemu sredstvu v količinskih pogojih.
Morate dobiti odgovore na vprašanja, "kateri del stroškov sredstva bo poškodoval izvajanje vsake grožnje?", "Kakšne so stroške škode v denarnih pogojih od enega samega incidenta pri izvajanju te grožnje za to sredstvo?"
3. Ugotovite verjetnost izvajanja vsake grožnje IB.
Če želite to narediti, lahko uporabite statistične podatke, ankete zaposlenih in zainteresirane strani. V postopku ugotavljanja verjetnosti izračunajte pogostost incidentov, povezanih z izvajanjem obravnavane grožnje IB za obdobje nadzora (na primer, v enem letu).
4. Določite skupno potencialno škodo iz vsake grožnje glede vsakega sredstva za kontrolno obdobje (v enem letu).
Vrednost se izračuna tako, da pomnoži enkratna škoda zaradi uresničevanja grožnje na pogostost grožnje.
5. Analizirati podatke, prejete za škodo za vsako grožnjo.
Za vsako grožnjo je treba sprejeti odločitev: tveganje, zmanjšati tveganje ali premakniti tveganje.
Vzemite tveganje - to pomeni, da ga uresničite, da ga sprejmete s svojo sposobnostjo in še naprej deluje kot prej. Velja za grožnje z nizko škodo in nizko verjetnostjo nastanka.
Zmanjšajte tveganje za uvedbo dodatnih ukrepov in sredstev za zaščito, ravnanje z usposabljanjem za usposabljanje itd. To pomeni, da je namerno zmanjšanje tveganja. Hkrati je treba kvantificirati učinkovitost dodatnih ukrepov in pravnih sredstev. Vsi stroški, ki jih organizacija nosi od nakupa orodja za zaščito pred zagonom (vključno z namestitvijo, konfiguracijo, usposabljanjem, podporo, itd) ne smejo presegati količine škode zaradi realizacije grožnje.
Premakni tveganje pomeni preusmeritev posledic realizacije tveganja na tretjo osebo, na primer z zavarovanjem.
Kot posledica kvantitativne ocene tveganja je treba opredeliti:
Razmislite o metodologiji na primeru spletnega strežnika Organizacije, ki se uporablja za prodajo določenega izdelka. Kvantitativno sredina Škoda iz strežniškega izhoda se lahko oceni kot produkt srednje kontrolne točke za povprečno število pritožb za določen časovni interval, ki je enak izpadu strežnika. Recimo, da bodo stroški enkratne škode iz izhoda neposrednega strežnika 100 tisoč rubljev.
Zdaj je treba oceniti strokovnjaka, saj se lahko zgodi stanje (ob upoštevanju intenzivnosti delovanja, kakovost oskrbe z električno energijo itd.). Na primer, ob upoštevanju mnenja strokovnjakov in statističnih informacij, smo razumeli, da strežnik morda ne bo 2-krat na leto.
Pomnožite dve te količine, to dobimo povprečno letno Škoda zaradi izvajanja grožnje neposrednega sproščanja strežnika je od 200 tisoč rubljev na leto.
Ti izračuni se lahko uporabljajo pri utemeljitvi izbire zaščitnih ukrepov. Na primer, uvedba neprekinjenega prehranskega sistema in sistema varnostnega kopiranja s skupnimi stroški 100 tisoč rubljev na leto bo zmanjšala tveganje za izhod strežnika in bo precej učinkovita rešitev.
Na žalost, ni vedno mogoče pridobiti posebnega izražanja objekta ocenjevanja zaradi veliko negotovosti. Kako natančno oceniti škodo ugleda podjetja, ko se pojavijo informacije o incidentu IB incidenta? V tem primeru se uporablja kakovostna metoda.
S kvalitativnim pristopom se kvantitativni ali denarni izrazi ne uporabljajo za objekt ocenjevanja. Namesto tega je objekt ocenjevanja dodeljen indikator, ki poteka vzdolž tri točke (nizka, srednja, visoka), pet-točkovna ali desetbarska lestvica (0 ... 10). Za zbiranje podatkov z visoko kakovostno oceno tveganja, ciljne skupine, anketiranje, ankete, osebna srečanja se uporabljajo.
Analiza tveganja varnosti informacij s kvalitativno metodo je treba opraviti z vključitvijo zaposlenih, ki imajo izkušnje in usposobljenost na področju, na katerem se upoštevajo grožnje.
1. Določite vrednost informacijskih sredstev.
Vrednost sredstva se lahko določi s stopnjo kritičnosti (posledicami) v nasprotju z varnostnimi značilnostmi (zaupnost, integriteta, razpoložljivost) informacijskega sredstva.
2. Določite verjetnost realizacije grožnje glede na informacijsko sredstvo.
Da bi ocenili verjetnost grožnje, se lahko uporabijo visokokakovostna lestvica na tri ravni (nizka, srednja, visoka).
3. Določite stopnjo možnosti uspešnega izvajanja grožnje ob upoštevanju trenutnega stanja IB, izvedenih ukrepov in sredstev za zaščito.
Da bi ocenili stopnjo sposobnosti za izvajanje grožnje, se lahko uporabi tudi visoka kakovost na tri ravni (nizka, srednja, visoka). Vrednost sposobnosti izvajanja grožnje kaže, koliko je uspešno izvajanje grožnje.
4. Naredite sklep o stopnji tveganja, ki temelji na vrednosti informacijskega sredstva, verjetnosti izvajanja grožnje, možnost uresničevanja grožnje.
Da bi ugotovili stopnjo tveganja, lahko uporabite pet-točkovno ali desetbarsko lestvico. Pri določanju stopnje tveganja lahko uporabite referenčne tabele, ki dajejo razumevanje, katere kombinacije kazalnikov (vrednost, verjetnost, možnost), na katero raven tveganja vodi.
5. Analizirati podatke, pridobljene za vsako grožnjo, in raven tveganja, pridobljene za to.
Pogosto skupina za analizo tveganja deluje s konceptom "sprejemljive ravni tveganja". To je stopnja tveganja, da je družba pripravljena sprejeti (če ima grožnja raven tveganja manjše ali enake sprejemljivosti, se ne šteje za ustrezno). Globalna naloga s kvalitativno oceno - zmanjšanje tveganj na sprejemljivo raven.
6. Razviti varnostne ukrepe, protiukrepe in ukrepe za vsako pomembno grožnjo za zmanjšanje stopnje tveganja.
Namen obeh metod je razumeti resnična tveganja družbe IB, opredelitev seznama sedanjih groženj, pa tudi izbiro učinkovitih protiukrepov in sredstev za zaščito. Vsaka metoda ocenjevanja tveganja ima svoje prednosti in slabosti.
Kvantitativna metoda daje vizualno zastopanost v denarju za ocenjevanje predmetov (škode, stroški), vendar je bolj zahtevna in v nekaterih primerih se ne uporablja.
Kvalitativna metoda nam omogoča, da izpolnimo oceno tveganja, ocene in rezultati pa so bolj subjektivne in ne daje vizualnega razumevanja škode, stroškov in koristi od uvedbe SZI.
Izbira metode je treba opraviti na podlagi posebnosti določenega podjetja in nalog, določenih pred strokovnjakom.
Stanislav Shileev., Vodja informacijske varnosti Projekti podjetja SKB Contour
Pri izvajanju sistema upravljanja informacijske varnosti (SWIB) pri organizaciji ene od glavnih točk spotikanja, sistem za obvladovanje tveganj običajno postaja. Argumenti za upravljanje tveganj za varnost informacij so podobne problemu UFO. Po eni strani se zdi, da nobena okolica ne vidi, in dogodek se zdi malo verjetno, na drugi strani pa je veliko dokazov, stotine knjig je bilo napisano, obstajajo celo pomembne znanstvene discipline in združevanje znanstvenikov, ki so vključeni v Ta raziskovalni proces in, kot ponavadi, posebne storitve posedujejo na tem področju, posebno tajno znanje.
Alexander Astakhov, CISA, 2006
Med informacijskimi varnostnimi strokovnjaki v vprašanjih upravljanja s tveganji ni soglasja. Nekdo zanika kvantitativne metode ocenjevanja tveganja, nekdo zanika visoko kakovost, nekdo na splošno zanika izvedljivost in zelo možnost ocenjevanja tveganj, nekdo obtožuje upravljanje organizacije v nezadostni realizaciji pomembnosti varnostnih vprašanj ali pritožuje na težave, povezane z pridobitev objektivne ocene vrednosti. Nekatera sredstva, kot je ugled organizacije. Drugi, ne da bi videli možnost utemeljitve varnostnih stroškov, predlagali, da ga obravnavajo kot nekakšen higienski postopek in porabijo toliko denarja za ta postopek, saj se ne počuti, da se žal ali koliko ostane v proračunu.
Ne glede na mnenja o upravljanju s tveganji IB in ne glede na to, kako se nanašamo na ta tveganja, je jasno, da je to vprašanje bistvo večplastnih dejavnosti strokovnjakov v IB, ki ga neposredno povezuje s poslovanjem, ki mu daje razumen pomen in primernost. Ta člen opisuje enega od možnih pristopov k obvladovanju tveganj in se daje vprašanje, zakaj se različne organizacije nanašajo na tveganje informacijske varnosti in jih upravljajo na različne načine.
Ko govorimo o tveganjih za podjetja, mislimo na možnost z določeno verjetnostjo, da nastane določena škoda. To je lahko tako neposredna materialna škoda in posredno škodo, izražena, na primer, v zamujeni koristi, do izstopa podjetja, ker če tveganje ni upravljanje, je podjetje mogoče izgubiti.
Pravzaprav je bistvo vprašanja, da ima organizacija in uporablja več glavnih kategorij virov (v nadaljnjem besedilu se nanašajo na njihove poslovne namene, da bi dosegli svoje rezultate (v nadaljnjem besedilu s pojem sredstva, ki je neposredno povezan s podjetjem). Aktivna je vse, kar ima vrednost za organizacijo in ustvarja svoj dohodek (z drugimi besedami, to je tisto, kar ustvarja pozitiven finančni tok, ali prihrani sredstva)
Razlikovati material, finančna, človeška in informacijska sredstva. Sodobni mednarodni standardi določajo tudi drugo kategorijo sredstev - to so procesi. Proces je agregirano sredstvo, ki deluje vsa druga sredstva družbe za doseganje poslovnih ciljev. Upoštevana je tudi eno najpomembnejših sredstev, podoba in ugled družbe. Ta ključna sredstva za vsako organizacijo niso nič drugega kot posebna vrsta informacijskih sredstev, saj družba in ugled družbe ni nič drugega kot vsebina odprtih in razširjenih informacij o tem. Informacijska varnost se ukvarja z vprašanji slikanja, kar zadeva varnost organizacije, kot tudi uhajanje zaupnih informacij, je slika zelo negativno vpliva na sliko.
Na poslovne rezultate vplivajo različni zunanji in notranji dejavniki, ki se nanašajo na kategorijo tveganja. Učinki To je izraženo negativno vpliva na enega ali hkrati več skupin sredstev organizacije. Na primer, neuspeh strežnika vpliva na razpoložljivost informacij, shranjenih na IT in aplikacijah, in njeno popravilo odvrača človeške vire, ki ustvarja njihov primanjkljaj na določenem področju dela in povzročajo neorganizacijo poslovnih procesov, medtem ko je začasna nerazpoložljivost storitev za stranke lahko negativno vplivajo na podobo podjetja.
Po definiciji so vse vrste sredstev pomembna za organizacijo. Vendar pa ima vsaka organizacija osnovna bistvena sredstva in pomožna sredstva. Ugotovite, katera sredstva so zelo preprosta, ker To so sredstva, okoli katerih je zgrajena poslovna organizacija. Zato lahko poslovna organizacija temelji na posesti in uporabi materialnih sredstev (na primer zemljišč, nepremičnin, opreme, mineralov), podjetja lahko temelji tudi na upravljanju finančnih sredstev (kreditne aktivnosti, zavarovanje, naložbe), podjetja CAN temeljijo na usposobljenosti in organu posebnih strokovnjakov (svetovanje, revizija, usposabljanje, visokotehnološko in visokotehnološko industrijo) ali podjetja se lahko vrtijo okoli informacijskih sredstev (razvoj programske opreme, informacijske izdelke, e-poslovanje, podjetja na spletu). Tveganja glavnega premoženja so polna izgube poslovnih in nenadomestljivih izgub za organizacijo, zato v teh tveganjih pozornost lastnikov podjetij in so osebno osredotočena na ta tveganja. Tveganja pomožnih sredstev običajno vodijo do predsodkov in niso glavna prednostna naloga v sistemu upravljanja organizacije. Običajno se posebej imenujejo ljudje, ki se ukvarjajo z nadzorovanjem takšnih tveganj, ali ta tveganja se prenesejo na organizacijo tretjih oseb, kot je zunanja ali zavarovalnica. Za organizacijo je to vprašanje učinkovitosti upravljanja kot preživetje.
Ker so tveganja informacijske varnosti bistveno daleč od vseh organizacij, se izvajajo trije glavni pristopi k upravljanju teh tveganj, ki se razlikujejo poglobljeni in ravni formalizma.
Za nekritične sisteme, ko so informacijska sredstva pomožna, in raven informatizacije ni visoka, kar je značilno za večino sodobnih ruskih podjetij, je minimalna potreba po oceni tveganja. V takih organizacijah je treba razpravljati z določeno osnovno raven IB, ki jo določajo obstoječi standardi in standardi, najboljše prakse, izkušnje in kako se izvajajo v večini drugih organizacij. Vendar pa obstoječi standardi, ki opisujejo določen sklop varnostnih zahtev in mehanizmov, se vedno pogajajo o potrebi po oceni tveganj in ekonomske izvedljivosti uporabe nekaterih nadzornih mehanizmov, da bi izselili iz splošnega sklopa zahtev in mehanizmov, ki se uporabljajo v a Posebna organizacija.
Za kritične sisteme, v katerih so sredstva, ki niso temeljna, vendar je raven poslovnih procesov zelo visoka in da lahko tveganja obveščanja znatno vplivajo na glavne poslovne procese, je treba uporabiti oceno tveganja, vendar je v tem primeru priporočljivo omejiti Neformalni kvalitativni pristopi k reševanju te naloge, s posebnim poudarkom na najbolj kritičnih sistemih.
Ko je poslovna organizacija zgrajena okoli informacijskih sredstev in tveganja informacijske varnosti, so glavna, da se oceni ta tveganja, da je treba uporabiti formalni pristop in kvantitativne metode.
V mnogih podjetjih, hkrati pa je lahko več vrst sredstev ključnega pomena, na primer, ko je poslovna razpršena ali družba, ki se ukvarja z ustvarjanjem informacijskih proizvodov in človeških in informacijskih virov, je lahko enako pomembni za to. V tem primeru je racionalni pristop izvedbo ocene tveganja na visoki ravni, da bi ugotovili, kateri sistemi veljajo tveganja za visoko stopnjo in ki so ključnega pomena za poslovanje, sledi podrobno oceno tveganja za namenske sisteme. Za vse druge nekritične sisteme je priporočljivo, da se omejite na uporabo osnovnega pristopa, ki sprejema odločitve obvladovanja tveganj na podlagi obstoječih izkušenj, strokovnih mnenj in najboljših praks.
Izbira pristopa k oceni tveganja v organizaciji poleg narave svojega poslovanja in ravni poslovnih procesov vpliva tudi na njeno stopnjo zrelosti. Upravljanje s tveganji IB je poslovna naloga, ki jo je uprava Organizacije sprožilo na podlagi svoje zavesti in stopnjo ozaveščenosti o težavah IB, katere pomen je zaščititi poslovanje iz resnično obstoječih groženj IB. Glede na stopnjo ozaveščenosti se izsledijo več ravni zrelosti organizacij, ki so do določene mere povezane z ravnmi zrelosti, določenimi v COBIT in drugih standardih:
Marca letos je bil sprejet nov britanski standard BS 7799 del 3 - Sistemi za upravljanje informacijske varnosti - Pravila za upravljanje s praktičnimi tveganji za informacijsko varnost. Čakam na konec leta 2007, bo ISO ta dokument odobril kot mednarodni standard. BS 7799-3 določa procese ocenjevanja in obvladovanja tveganj kot sestavni element sistema upravljanja organizacije z uporabo istega procesne modela kot drugi kontrolni standardi, ki vključuje štiri skupine procesov: načrtovanje, izvajanje, preverjanje, dejanja (PRD), ki odražajo Standardni cikel vseh kontrolnih procesov. Medtem ko ISO 27001 opisuje celoten cikel neprekinjenega varnostnega upravljanja, BS 7799-3 vsebuje njegovo projekcijo na procesih upravljanja s tveganji IB.
V sistemu obvladovanja tveganj v fazi načrtovanja se določijo metodologija politike in obvladovanja tveganj, ocena tveganja pa se izvaja, ki vključuje inventarja sredstev, pripravlja profile groženj in ranljivosti, ocenjevanje učinkovitosti protiukrepov in morebitne škode, določitev dovoljena raven preostalih tveganj.
V fazi izvajanja se izvajajo predelava tveganja in izvajanje nadzornih mehanizmov, namenjenih njihovim zmanjšanju. Upravljanje organizacije traja eno od štirih rešitev za vsako ugotovljeno tveganje: prezreti, preprečiti, prenesti zunanjost ali zmanjšati. Po tem se načrt za predelavo tveganja razvija in izvaja.
Na stopnji kontrolne faze se spremlja delovanje kontrolnih mehanizmov, se spremljajo spremembe dejavnikov tveganja (sredstva, grožnje, ranljivosti), revizije se izvajajo in izvajajo različne kontrolne postopke.
Na stopnji delovanja na rezultatih stalnega spremljanja in inšpekcijskih pregledov se izvajajo potrebni korektivni ukrepi, ki lahko vključujejo zlasti prevrednotenje tveganj, popravljanje politik in metodologije obvladovanja tveganj, kot tudi načrt predelave tveganja.
Bistvo kakršnega koli pristopa k obvladovanju tveganj je analizirati dejavnike tveganja in ustrezne rešitve za predelavo tveganja. Dejavniki tveganja so glavni parametri, ki jih opravljamo pri ocenjevanju tveganj. Obstaja samo sedem takih parametrov:
Metode za analizo in ocenjevanje teh parametrov se določijo z metodologijo ocene tveganja, ki se uporablja v organizaciji. V tem primeru je splošni pristop in shema razmišljanja približno enaka, katera koli metodologija se ne uporablja. Postopek ocenjevanja tveganja (ocena) vključuje dve fazi. V prvi fazi, ki je določena v standardih kot analiza tveganja (analiza), je treba odgovoriti na naslednja vprašanja:
V drugi fazi, ki se določi po standardih kot ocena tveganja (vrednotenje), je treba odgovoriti na vprašanje: katera raven tveganja (povprečna letna izguba) je sprejemljiva za organizacijo in na podlagi tega tveganja presegajo to raven .
Tako glede na rezultate ocene tveganja dobimo opis tveganj, ki presegajo dovoljeno raven, in oceno obsega teh tveganj, ki se določi z velikostjo povprečne letne izgube. Nato je treba odločiti o predelavi tveganja, tj. Odgovorite na naslednja vprašanja:
Proizvodnja tega postopka se prikaže načrt za obdelavo tveganj, ki določa metode predelave tveganja, stroške protiukrepov, pa tudi obdobje in odgovorni za izvajanje protiukrepov.
Odločanje predelave tveganja je ključni in najbolj odgovorni trenutek v procesu upravljanja s tveganji. Da bi vodstvo, da sprejme pravo odločitev, mora zaposleni, ki je odgovoren za obvladovanje tveganj v organizaciji, mu zagotoviti ustrezne informacije. Oblika takih informacij je določena s standardnim algoritmom poslovne komunikacije, ki vključuje štiri glavne postavke:
Odstavki 1 in 2, kot tudi 3 in 4, se lahko razlikujejo glede na posebne razmere.
Obstaja zadostna količina dobro dokazanih in precej široko uporabljenih metod za ocenjevanje in obvladovanje tveganj. Ena od teh metod je oktava razvila na Univerzi Carnegie Melon za notranjo uporabo v organizaciji. Octave - Ocena kritičnih groženj, sredstev in ranljivosti (Operativno kritična grožnja, sredstva in ocena ranljivosti) ima številne spremembe, namenjene organizacijam različnih velikosti in področjih dejavnosti. Bistvo te metode je, da se zaporedje uporablja za ocenjevanje tveganj, ki so ustrezno organizirani notranji seminarji (delavnice). Ocena tveganja se izvaja v treh fazah, pred katerim je sklop pripravljalnih dejavnosti, ki vključujejo usklajevanje urnika seminarjev, destinacij vlog, načrtovanje, usklajevanje udeležencev projektne skupine.
V prvi fazi, med praktičnimi seminarji, razvoj profilov groženj, vključno z inventarjem in oceno vrednosti sredstev, ki opredeljuje veljavne zahteve zakonodaje in regulativnega okvira, opredelitev groženj in ocenjevanje njihove verjetnosti, kot tudi določitev Izvaja sistem organizacijskih ukrepov za vzdrževanje sistema IB režima.
V drugi fazi, tehnična analiza ranljivosti informacijskih sistemov organizacije v zvezi z grožnjami, katerih profili so bili razviti na prejšnji fazi, ki vključuje identifikacijo obstoječih ranljivosti informacijskih sistemov organizacije in njihovo vrednotenje.
Na tretji stopnji, IB tveganja ocenjujejo in predelavi, ki vključuje opredelitev vrednosti in verjetnost škode zaradi varnostnih groženj z uporabo ranljivosti, ki so bile ugotovljene na prejšnjih fazah, določajo strategijo zaščite, kot tudi izbiro možnosti in odločanje o tveganjih. Znesek tveganja je opredeljen kot povprečna vrednost letne izgube organizacije kot posledica izvajanja varnostnih groženj.
Podoben pristop se uporablja tudi v široko znani metodi za ocenjevanje tveganja zagamma, ki je bil razvit naenkrat po naročilu britanske vlade. V Crammu je glavni način za ocenjevanje tveganj skrbno načrtovani intervjuji, ki uporabljajo podrobne vprašalnike. Cramm se uporablja v tisočih organizacijah po svetu, zahvaljujoč, med drugim in prisotnosti zelo razvitega instrumenta programske opreme, ki vsebuje podatkovno bazo znanja o tveganjih in mehanizmih za čim manjšo opremo, načina zbiranja informacij, oblikovanja poročil, kot tudi Izvajanje algoritmov za izračun obsega tveganj.
Za razliko od metode oktave, Cramm uporablja nekoliko drugačno zaporedje dejanj in metod za določanje obsega tveganj. Prvič, izvedljivost ocene tveganja se sploh določi in če informacijski sistem organizacije ni kritičen, se uporablja standardni sklop kontrolnih mehanizmov, opisanih v mednarodnih standardih in vsebovan v znanju oplemenskega pripravljanja.
V prvi fazi, v metodi Cramm, model virov informacijskega sistema, ki opisuje razmerje med informativni, programskimi, programskimi in tehničnimi viri, in tudi ocenjuje vrednost sredstev, ki temeljijo na morebitni škodi, ki jo je organizacija lahko nastala kot rezultat njihovega kompromisa.
Na drugi stopnji se ocena tveganja, vključno z identifikacijo in oceno verjetnosti groženj, ocenjevanje vrednosti ranljivosti in izračun tveganj za vsako potovanje: vir - grožnja je ranljivost. Cramm ocenjuje "čisto" tveganja, ne glede na krmilne mehanizme, ki se izvajajo v sistemu. Na stopnji ocenjevanja tveganja se domneva, da se protiukrepi ne uporabljajo in se na podlagi te predpostavke oblikuje sklop priporočenih protiukrepov za zmanjšanje tveganj.
V zaključni fazi se orodje Cramm Toolkit oblikuje s sklopom nadzornih ukrepov za zmanjšanje ugotovljenih tveganj in primerjava priporočenih in obstoječih protiukrepov se izvede, po katerem se oblikuje načrt za predelavo tveganja.
V procesu ocene tveganja, smo mimo številnih zaporednih stopenj, periodično se vrnem nazaj na prejšnje faze, na primer, precenjuje, določeno tveganje po izbiri posebnega protiukrepe, da jo zmanjšate. Na vsaki stopnji je treba imeti vprašalnike, sezname groženj in ranljivosti, registre virov in tveganj, dokumentacije, srečanja, standarde in smernice. V zvezi s tem je potreben določen programirani algoritem, baza podatkov in vmesnik za delo s temi raznolikimi podatki.
Če želite nadzorovati tveganja IB, se lahko orodje uporablja, na primer, kot pri metodi Cramm, ali RA2 (prikazano na sliki), vendar to ni obvezno. Prav tako je dejal tudi v standardu BS 7799-3. Uporabnost uporabe orodij je lahko, da vsebuje programirani algoritem za delovni tok ocenjevanja in obvladovanja tveganj, ki poenostavlja delo v neizkušenem strokovnju.
Z uporabo orodij vam omogoča poenotenje metodologije in poenostavitev uporabe rezultatov za ponovno ocenjevanje tveganj, tudi če jih izvajajo drugi strokovnjaki. Zahvaljujoč uporabi orodij, je mogoče racionalizirati shranjevanje podatkov in delo z modelom virov, profili groženj, ranljivosti in tveganj.
Poleg dejanskega sredstva za ocenjevanje in obvladovanje tveganja lahko programska oprema vsebuje tudi dodatna sredstva za dokumentiranje SWIB, analizo neskladnosti z zahtevami standardov, razvoja upravljanja virov, kot tudi druga sredstva, potrebna za izvajanje in delovanje SWIB .
Izbira visokokakovostnih ali kvantitativnih pristopov k oceni tveganja je določena z naravo poslovanja organizacije in ravni njene informatizacije, tj. Pomen informacijskega sredstva za njega, kot tudi raven zrelosti organizacije.
Pri izvajanju formalnega pristopa k upravljanju s tveganji v organizaciji se je treba najprej zanesti, najprej, za zdrav razum, obstoječe standarde (na primer BS 7799-3) in dobro dokazane metodologije (na primer oktava ali cramm) . Morda je koristno uporabiti programska orodja za te namene, ki izvaja ustrezne metodologije in povečajo izpolnjevanje zahtev standardov (na primer RA2).
Učinkovitost procesa upravljanja s tveganji IB je določena s točnostjo in popolnostjo analize in ocenjevanja dejavnikov tveganja, pa tudi učinkovitost upravljanja mehanizmov odločitev o upravljanju in nadzoru njihove izvršitve.
Vrednost informacij se določi s kompleksnostjo njene priprave (zbiranje), stroški njene podpore (vzdrževanje), znesek morebitne škode v primeru njene izgube ali uničenja, stroški, ki jih druge osebe (konkurenti, napadalci) Pripravljen je plačati za to, kot tudi obseg možnih posledic in glob, v primeru njegove izgube (puščanje). Brez vrednotenja informacij je nemogoče ustrezno oceniti izvedljivost denarja in sredstev za njegovo zaščito. Vrednost vrednosti je treba upoštevati pri izbiri zaščitnih ukrepov.
Ocena sredstva se lahko izvedejo kvantitativne in visokokakovostne metode. Dejanska vrednost sredstva se določi na podlagi vrednosti njegovega pridobivanja, razvoja in podpore. Vrednost sredstva se določi s svojim pomenom, ki ga ima za lastnike, pooblaščene in nepooblaščene uporabnike. Nekatere informacije so pomembne za podjetje in je dodeljena zasebnosti.
Na primer, vrednost strežnika je 4.000 $, vendar to ni njena vrednost, ki se upošteva pri ocenjevanju tveganj. Vrednost se določi s stroški njegove zamenjave ali popravila, izgube zaradi zmanjšanja zmogljivosti, poškodbe poškodb ali izgube podatkov, shranjenih na njem. To bo določilo škodo podjetju v primeru poškodbe ali izgube strežnika iz enega ali drugega razloga.
Pri določanju vrednosti sredstev je treba upoštevati naslednja vprašanja: \\ t
Določanje vrednosti sredstev je koristno za družbo iz različnih razlogov, vključno z naslednjim: \\ t
Kot smo že omenili, je tveganje verjetnost, da bo vir grožnje izkoristil ranljivost, ki bo vodila do negativnega vpliva na poslovanje. Obstaja veliko vrst virov groženj, ki lahko uporabljajo različne vrste ranljivosti, kar lahko povzroči določene grožnje. Nekatera tveganja so prikazana v tabeli 1-2.
Tabela 1-2. Odnos groženj in ranljivosti
Obstajajo še drugi, veliko bolj zapleteni za prepoznavanje groženj, ki se lahko pojavijo v računalniškem okolju. Te grožnje so povezane z napakami v aplikacijah in uporabniških napakah. Vendar pa je z ustrezno organizacijo nadzora in revizije dejanj uporabnikov njihovih napak (namerno ali naključno), da se prepoznajo v bistvu lažje.
Po ugotavljanju ranljivosti in s tem povezanih groženj je treba analizirati posledice njihove uporabe, tj. tveganja morebitne škode. Poškodbe je lahko povezana z poškodbami podatkov ali sistemov (predmeti), nepooblaščenim razkritjem zaupnih informacij, zmanjšane zmogljivosti itd. Pri analizi tveganj bi morala skupina upoštevati tudi verjetnost zamude(Zakasnjena izguba), ki se lahko pojavi po določenem času (od 15 minut do več let), potem ko je tveganje realizirano. Položeno škodo lahko povzroči, na primer, zmanjšanje delovanja dela po določenem časovnem obdobju, zmanjšanje dohodka podjetja, škodo na svojem ugledu, finale skladiščenja, dodatne stroške za ponovno vzpostavitev okolja, začasno prekine prejemanje sredstev od kupcev itd.
Na primer, če je posledica napada na spletne strežnike družbe, so prenehali služiti strankam, poškodbe podatkov je lahko neposredna škoda, stroški delovnega časa za obnovitev delovanja strežnika, posodabljanje ranljive programske opreme na njih. Poleg tega bo podjetje izgubilo nekaj dohodkov zaradi nezmožnosti storitve za stranke v času, ko bo potrebno obnoviti delo svojih spletnih strežnikov. Če bo obnovitveno delo vzelo veliko časa (na primer na teden), lahko podjetje izgubi tako veliko dobička, ki ne bo mogel plačati računov in drugih stroškov. To bo odložene škode. In če, med drugim, družba tudi izgubi zaupanje strank, lahko popolnoma izgubi svoje poslovanje (za nekaj časa ali za vedno). To je skrajni primer odložene škode.
Tovrstna vprašanja bistveno zapletajo kvantitativno oceno škode, vendar jih je treba upoštevati, da pridobijo zanesljivo oceno.
Metode ocenjevanja tveganja.Za ocenjevanje tveganj se uporabljajo številne različne tehnike. Poglejmo nekaj.
NIST SP 800-30. in 800-66 so metodologije, ki jih lahko uporabljajo komercialna podjetja, čeprav je bilo prvotno razvito 800-66 za zdravstveno varstvo in druge regulirane industrije. Nist pristop upošteva grožnje IT in ustreznih tveganj informacijske varnosti. Zagotavlja naslednje korake:
- Opis značilnosti sistema
- Identifikacija groženj
- Identifikacija ranljivosti
- Analiza zaščitnih ukrepov
- Opredelitev verjetnosti
- Analiza udarca
- Določanje tveganja
- Priporočila zaščitnih ukrepov
- Dokumentiranje rezultatov
Metodologija ocenjevanja tveganja NIST SP 800-30 pogosto uporabljajo svetovalci in strokovnjaki za varnost, notranji oddelki IT. Osredotočen je predvsem na računalniške sisteme. Ločene osebe ali majhne skupine zbirajo podatke iz omrežja, od rabljenih varnostnih praks, pa tudi od ljudi, ki delajo v podjetju. Zbrani podatki se uporabljajo kot vir podatkov za izvajanje korakov analize tveganja, opisanih v dokumentu 800-30.
Druga metodologija ocenjevanja tveganja je Frap. (Olajšani proces analize tveganja - skupina za analizo tveganja). Namenjen je za izvedbo kvalitativne ocene tveganja na način, ki vam omogoča, da preverite različne vidike in z uporabo različnih metodologij. Zagotavlja načine, ki podjetjem omogočajo odločitve o smeri ukrepov in posebnih ukrepov v posebnih okoliščinah, da bi upoštevale različne težave. To omogoča, da se s predhodnim izborom identificirajo tista področja v podjetju, ki resnično potrebujejo tveganja. Frap je zgrajen na tak način, da lahko kdo z dobrimi veščinami v organizaciji skupinskega dela uspešno analizira tveganja za to tehniko.
Druga vrsta metodologije je Octave. (Operativno kritična grožnja, sredstva in ocena ranljivosti - Ocena kritičnih groženj, sredstev in ranljivosti). To metodologijo je treba uporabiti v primerih, ko celoten proces analiziranja tveganja informacijske varnosti izvajajo zaposleni družbe (brez privabljanja zunanjih svetovalcev). Temelji na zamisli, da se zaposleni družbe najbolje razumejo, da resnično potrebuje podjetje, in v nasprotju s tem, kaj tvegane stroške. Osebje, izbrano za sodelovanje v procesu, se odloči, kateri pristop bo najboljši za ocenjevanje varnosti svojega podjetja.
Medtem ko so metodologije Nist in Octave namenjene grožnjam in tveganjem informacijske varnosti, \\ t AS / NZS 4360 Uporablja veliko večji pristop k obvladovanju tveganj. Ta metodologija se lahko uporabi za razumevanje tveganj podjetja na področju financ, zaščite ljudi, izdelavo poslovnih rešitev itd. Ni bilo zasnovano posebej za analizo varnostnih tveganj, čeprav ga je mogoče uspešno uporabiti v ta namen.
OPOMBA. Lahko najdete dodatne informacije o teh pristopih k analizi tveganja in njihovo uporabo v članku Seana Harris na strani http://searchsecurity.techtarget.com/generic/0.295582/sid14_gci1191926.00.html.Cramm. (Analiza tveganja CCTa in metoda upravljanja - način analize in obvladovanja tveganj Centralne agencije za računalnike in telekomunikacije (CCTA) Združenega kraljestva) je razdeljen na tri segmente: identifikacijo in ocenjevanje sredstev, analize groženj in ranljivosti, \\ t Izbira protiukrepov. Ta tehnika upošteva tako tehnične vidike družbe in netehnične.
Analiza vezivnega drevesa (Analiza drevesnih dreves) je metodologija, ki ustvarja drevo vseh potencialnih groženj in slabosti, ki lahko motijo \u200b\u200bdelovanje sistema. Vsaka podružnica je splošna tema ali kategorija, ki se ne uporabljajo, se lahko izbrišejo v postopku izvajanja tveganj.
FMEA (Načini neuspeha in analiza učinka) - To je metoda za določanje funkcij, prepoznavanje funkcionalnih napak, ocenjevanje vzrokov napake in njene posledice z uporabo strukturiranega postopka. Uporaba tega procesa v primeru stalnih napak vam omogoča, da ugotovite kraj, kjer se bo verjetno zgodilo napaka. Pomaga ugotoviti ranljiva mesta za določitev meja ranljivosti in posledice njihovega delovanja. Po drugi strani pa ne omogoča samo poenostavitve uporabe popravkov, ki odpravljajo ranljivosti, ampak tudi za zagotovitev učinkovitejše rabe virov v tej nalogi.
Po določenem zaporedju korakov lahko dosežete najboljše rezultate pri analizi napak.
Tabela 1-3 prikazuje primer in dokumentacijo FMEA. Čeprav večina podjetij nima sredstev za tako podrobno študijo vsakega sistema in nadzora, je treba izvesti za kritične funkcije in sisteme, ki lahko pomembno vplivajo na podjetje. Zelo pomembno je analizirati zaščitni ukrep ali mikro ravni mikro ravni sistem, da bi popolnoma razumeli, kje se lahko nahajajo potencialne ranljivosti ali napake, in kakšne so posledice delovanja teh pomanjkljivosti. Vsak računalniški sistem je lahko sestavljen iz različnih različnih časovnih bomb na različnih ravneh njegove strukture. Na ravni komponente je to lahko prelivanje pufra ali nevarne komponente ActiveX, ki lahko napadalec omogoči nadzor nad sistemom z ranljivostjo. Na ravni programa je lahko aplikacija nevarna za izvajanje dovoljenja ali ne sme pravilno zaščititi svojih kriptografskih ključev. Na ravni sistema je lahko jedro operacijskega sistema pomanjkljivosti, ki bo napadalec omogočil brez težav pri pridobivanju administrativnega dostopa. Na kateri koli ravni se lahko pojavijo različne strašne stvari, zato je takšen podroben pristop potreben.
Tabela 1-3. Primer in dokumentacija FMEA
Sprva je bila FMEA zasnovana za študij sistemov. Njen cilj je raziskati potencialne napake v izdelkih in s tem povezanih procesih. Ta pristop je bil uspešen in je bil prilagojen za uporabo pri ocenjevanju prednostnih nalog na področju obvladovanja tveganj in zmanjšanje znanih groženj-ranljivosti.
Vendar pa FMEA ni dovolj učinkovita pri prepoznavanju kompleksnih napak, v katerih je mogoče vključiti več različnih sistemov ali podsistemov. V tem primeru je bolj priporočljivo uporabiti analizo drevesa napak (analiza dreves napak). Za analizo z odpovedi drevesa je glavni postopek. Kot koren (najvišji element tega logičnega drevesa) je označen neželeni dogodek. Potem, kot veje, se doda več logičnih izrazov in dogodkov, kar lahko privede do izvajanja višjega neželenega dogodka. Po tem je drevo okvare označeno s številkami, ki ustrezajo verjetnostjo napak (običajno izvedejo s pomočjo specializiranih računalniških programov, ki lahko izračunajo verjetnost v drevesu predelave). Slika 1-7 prikazuje poenostavljeno drevo okvare in različne logične znake, ki se uporabljajo za predstavitev, kar bi se moralo zgoditi, da povzroči neuspeh.
Slika 1-7. Drevo napak in logičnih elementov
Spodaj so prikazane nekatere najpogostejše okvare programske opreme, ki jih je mogoče raziskati z analizo drevesa okvare:
Trenutno se uporabljajo različne metode ocenjevanja informacijskih tveganj podjetij in njihovo upravljanje. Ocena informacijskih tveganj družbe se lahko izvede v skladu z naslednjim načrtom: \\ t
1) Identifikacija in kvantitativna ocena informacijskih virov družbe smiselno za podjetja.
2) Ocena možnih groženj.
3) Vrednotenje obstoječih ranljivosti.
4) Vrednotenje učinkovitosti informacij o varnosti informacij.
Predvideva se, da so pomembni ranljivi informacijski viri družbe ogroženi, če obstajajo grožnje v zvezi z njimi. Z drugimi besedami, tveganja je značilna nevarnost, ki lahko ogrozi komponente korporativnega informacijskega sistema. Hkrati so tveganja informacij podjetja odvisna od:
Kazalniki vrednosti informacijskih virov;
Verjetnost realizacije groženj za vire;
Učinkovitost obstoječih ali načrtovanih informacij o varnosti informacij.
Namen ocene tveganja je določiti značilnosti tveganja korporativnega informacijskega sistema in njenih virov. Po ocenjevanju tveganj lahko izberete orodja, ki zagotavljajo želeno raven informacijske varnosti podjetja. Pri ocenjevanju tveganj, takšnih dejavnikov kot vrednost sredstev, pomen groženj in ranljivosti, se upoštevajo učinkovitost obstoječih in načrtovanih sredstev za zaščito. Možnost grožnje določenemu viru družbe je ocenjena z verjetnostjo njenega izvajanja za določeno časovno obdobje. V tem primeru je verjetnost, da se grožnja izvaja, določena z naslednjimi glavnimi dejavniki: \\ t
Privlačnost vira (upošteva pri obravnavi grožnje od namernega vpliva na del osebe);
Možnost uporabe vira za dohodek (tudi v primeru grožnje od namernega vpliva na del osebe);
Tehnične zmogljivosti izvajanja grožnje z namernim vplivom osebe;
Stopnjo lažje, s katero se lahko uporabi ranljivost.
Trenutno je upravljanje informacijskih tveganj eden od najbolj perečih in dinamično razvijajočih se področij strateškega in operativnega upravljanja na področju varstva informacij. Njena glavna naloga je objektivno opredeliti in oceniti najpomembnejša informacijska tveganja podjetja za podjetja, pa tudi ustreznost orodij za obvladovanje tveganj, ki se uporabljajo za povečanje učinkovitosti in donosnosti gospodarske dejavnosti družbe. Zato se v skladu z izrazom "Upravljanje informacijskih tveganj", sistemski proces identifikacije, nadzora in zmanjševanja informacijskih tveganj podjetij običajno razume v skladu z določenimi omejitvami ruskega regulativnega okvira na področju varstva informacij in lastne korporativne varnosti pravila. Menijo, da visoko kakovostno obvladovanje tveganj omogoča uporabo optimalnih in stroškov nadzora tveganj in sredstev za zaščito informacij, primerne za trenutne cilje in poslovne cilje družbe.
Danes ni skrivnost, da je danes razširjena krepitev odvisnosti uspešne poslovne industrije domačih podjetij iz organizacijskih ukrepov in tehničnih sredstev za nadzor in zmanjšanje tveganja. Za učinkovito upravljanje z informacijskimi tveganji so bile razvite posebne tehnike, kot so mednarodni standardi ISO 15408, ISO 17799 (BS7799), BSI; Poleg nacionalnih standardov NIST 80030, SAC, COSO, SAS 55/78 in kakšne druge podobne. V skladu s temi metodami ravnanje z informacijskimi tveganji vsakega podjetja vključuje naslednje. Prvič, določitev glavnih ciljev in nalog varovanja informacijskih sredstev podjetja. Ustvarjanje učinkovitega sistema ocenjevanja in informacijskih tveganj. Tretjič, izračun celote podrobne ne le kakovosti, temveč tudi kvantitativne ocene tveganja, ki so primerni za prijavljene poslovne cilje. Delno, uporaba posebnih orodja za ocenjevanje tveganja in obvladovanje tveganja.
Tehnike upravljanja kakovosti
Kvalitativne tehnike upravljanja s tveganji se v tehnološko razvitih državah sprejmejo številne vojske notranjih in zunanjih itauditorjev. Te tehnike so zelo priljubljene in razmeroma preproste, in so običajno zasnovane, ki temeljijo na zahtevah mednarodnega standarda ISO 177992002.
Standard ISO 17799 vsebuje dva dela.
V delu 1: Praktična priporočila o upravljanju informacijske varnosti, 2002, opredeljena glavne vidike organizacije režima informacijske varnosti v družbi: varnostna politika. Organizacija zaščite. Razvrstitev in upravljanje informacijskih virov. Upravljanje osebja. Fizična varnost. Upravljajte računalniške sisteme in omrežja. Nadzorni dostop do sistemov. Razvoj in vzdrževanje sistemov. Načrtovanje neprekinjenega organizacije organizacije. Preverjanje sistema za skladnost z zahtevami IB.
Del 2: Specifikacije, 2002 meni, da so ti vidiki z vidika certificiranja načina informacijske varnosti družbe za skladnost z zahtevami standarda. S praktičnega vidika je ta del orodje za ITAUDITOR in vam omogoča, da hitro izvedete notranjo ali zunanjo revizijo informacijske varnosti vsakega podjetja.
Kvalitativne metode upravljanja s tveganji, ki temeljijo na zahtevah ISO 17999, vključuje tehnike programske opreme COBRA in RA programske opreme. Na kratko upoštevamo te tehnike.
Ta tehnika vam omogoča izvajanje najenostavnejše možnosti za ocenjevanje informacijskih tveganj vsakega podjetja v avtomatiziranem načinu. To je treba to storiti, se predlaga, da se uporabi posebne elektronske baze znanja in postopke za logični izhod, usmerjena v zahteve ISO 17799. Bistveno je, da se po želji, da se seznam povezanih zahtev dopolni z različnimi zahtevami domačih regulativnih regulativnih organov, za Primer, zahteve vodilnih dokumentov (RD) državnega sveta Ruske federacije.
Metodologija COBRA prikazuje zahteve standarda ISO 17799 v obliki tematskih vprašalnikov (kontrolni seznam), ki jih je treba odgovoriti med oceno tveganja informacijskih sredstev in elektronskih poslovnih elementov družbe ( sl. 1. - Primer tematske zbirke vprašanj COBRA). Naslednji odzivi se samodejno obdelajo, s pomočjo ustreznih logičnih izhodnih pravil, končno poročilo je oblikovano s trenutnimi ocenami informacijskih tveganj in priporočil za njihovo upravljanje.
Ra programska oprema
Metodologija in orodje orodje Ra programska oprema ( sl. 2. - Osnovni moduli Metode RA programska oprema) Na podlagi zahtev mednarodnih standardov ISO 17999 in ISO 13335 (3. del in 4), kot tudi o zahtevah nekaterih britanskih nacionalnih inštituta za Inštitut za standarde (BSI), na primer, PD 3002 (Vodnik za upravljanje s tveganji) , PD 3003 (vrednotenje pripravljenosti podjetij za revizijo v skladu z BS 7799), PD 3005 (smernice za izbiro sistema zaščite), itd.
Ta tehnika nam omogoča, da ocenimo tveganja informacij (module 4 in 5) v skladu z zahtevami ISO 17799, in če želite, v skladu s podrobnejšimi specifikacijami PD 3002 vodenja Britanskega inštituta za standarde.
Kvantitativne tehnike obvladovanja tveganj
Druga skupina tehnik obvladovanja tveganj predstavljajo kvantitativne tehnike, katerih ustreznost je posledica potrebe po reševanju različnih optimizacijskih nalog, ki se pogosto pojavljajo v resničnem življenju. Bistvo teh nalog se zmanjša na iskanje edina optimalna rešitev, od različnih obstoječih. Na primer, treba je odgovoriti na naslednja vprašanja: "Kako ostati v okviru odobrenega letnega (četrtletnega) proračuna za varnost informacij, da bi dosegli najvišjo stopnjo varnosti informacijskih sredstev družbe?" Ali "kaj od alternativ za izgradnjo zaščite informacij podjetij (zaščitena www ali e-pošta podjetij), da se odločijo, ob upoštevanju znanih omejitev poslovnih podjetij?" Rešiti te težave in razviti metode in metode kvantitativnega ocenjevanja in obvladovanja tveganj na podlagi strukturnih in manj pogosto usmeritvenih metod sistemske analize in oblikovanja (SSSADM - analiza strukturiranih sistemov in oblikovanja). V praksi takšne tehnike obvladovanja tveganj omogočajo: ustvarjanje modelov informacijskih podjetij v smislu varnosti; Razvrščanje in vrednotenje vrednosti sredstev; Pripravi sezname najpomembnejših groženj in varnostnih ranljivosti; Grožnje in varnostne ranljivosti; Upravičiti sredstva in ukrepe za obvladovanje tveganj; Ocenite učinkovitost / stroški različnih možnosti zaščite; Formalizirati in avtomatizirati postopke ocene tveganja in upravljanja.
Ena izmed najbolj znanih metod tega razreda je Cramm tehnika.
prvič, metoda je bila ustvarjena, nato pa metoda za pripravljenost istega imena (analiza tveganja in nadzor) metoda, ki ustreza zahtevam CCA. Potem se je pojavilo nekaj različic metodologije, osredotočene na zahteve različnih državnih in komercialnih organizacij in struktur. Ena od različic "komercialnega profila" se je široko razširila na trg za zaščito informacij.
Glavni cilji metodologije Cramm so: formalizacija in avtomatizacija postopkov za analizo in obvladovanje tveganj; Optimizacija stroškov za nadzor in zaščito; Celovito načrtovanje in obvladovanje tveganj na vseh stopnjah življenjskega cikla informacijskih sistemov; Zmanjšanje časa za razvoj in vzdrževanje sistema zaščite informacij podjetij; Obrazložitev Učinkovitosti predlaganih varnostnih ukrepov in kontrol; Upravljanje sprememb in incidentov; Podpora neprekinjenosti poslovanja; Operativna odločanja o vprašanjih upravljanja varnosti itd.
Upravljanje s tveganji v metodi Cramm se izvaja v več fazah (slika 3).
V prvi fazi začetka - "Inciention" - meje v okviru študije informacijskega sistema družbe, se sestava in struktura njegovih glavnih informacijskih sredstev in transakcij določi.
V fazi identifikacije in vrednotenja sredstev - identifikacija in vrednotenje sredstev - so sredstva jasno opredeljena in njihovi stroški se določijo. Izračun stroškov informacijskih sredstev nedvoumno vam omogoča, da določite potrebo in zadostnost predlaganih sredstev za nadzor in zaščito.
V fazi ocene groženj in ranljivosti - "grožnja in ocena ranljivosti" - grožnje in ranljivosti informacijskih sredstev podjetja so opredeljene in ovrednotene.
Faza analize tveganja je "analiza tveganja" - omogoča pridobivanje visokokakovostnih in kvantitativnih ocen tveganja.
Na stopnji obvladovanja tveganj - "Upravljanje s tveganji" - so na voljo ukrepi in sredstva za zmanjšanje utaje ali utaje tveganja.
Poglejmo možnosti pripravljenosti v naslednjem primeru. Presoja informacijskih tveganj naslednjega informacijskega sistema Corporate (Sl. 4).
V tej shemi bomo pogojno izbrali naslednje elemente sistema: delovna mesta, na katerih operaterji vnesejo informacije, ki vstopajo v zunanji svet; poštni strežnik, na katerega so informacije opremljene z oddaljenimi omrežnimi vozlišči prek interneta; Predelovalni strežnik, na katerem je nameščen DBMS; Backup strežnik; delovna mesta za odzivanje na delovnem mestu; Delovno mesto skrbnika varnosti; Zbirka skrbnika na delovnem mestu.
Delovanje sistema se izvede na naslednji način. Podatki, vneseni iz uporabniških opravil in vnesejo poštni strežnik, se pošljejo na podatkovni strežnik za obdelavo podatkov. Potem se podatki prihajajo na delovna mesta operativne odzivne skupine in tam se sprejmejo ustrezne odločitve.
Zdaj izvajamo analizo tveganja z uporabo Cramm tehnike in ponuditi nekaj načinov nadzora in obvladovanja tveganj, ki ustrezajo ciljem in ciljem podjetja podjetja.
Opredelitev meja študije. Faza se začne z reševanjem problema določanja meja sistema v študiju. Za to se zbirajo naslednje informacije: odgovorne za fizične in programske vire; Kdo je uporabnik in kako uporabljajo uporabniki ali bodo uporabili sistem; konfiguracija sistema. Primarne informacije se zbirajo v procesu pogovorov z vodji projektov, upraviteljem uporabnikov ali drugimi zaposlenimi.
Identifikacija virov in izgradnjo sistemskega modela z vidika IB. Opredelitev virov se izvede: material, programska oprema in informacije, vsebovane v mejah sistema. Vsak vir je treba pripisati enemu od vnaprej določenih razredov. Klasifikacija fizičnih virov je na voljo v aplikaciji. Nato se gradi model informacijskega sistema z vidika IB. Za vsak informacijski proces, ki ima neodvisno vrednost z vidika uporabnika in se imenuje uporabniška storitev (Enduserservice), so vezi iz uporabljenih virov zgrajene. V primeru, primer bo edina podobna storitev (slika 5). Konstruiran model vam omogoča, da poudarite kritične elemente.
Vrednost sredstev. Tehnika vam omogoča, da določite vrednost sredstev. Ta korak je obvezen v polni različici analize tveganja. Vrednost fizičnih virov v tej metodi se določi po ceni njihovega okrevanja v primeru uničenja. Vrednost podatkov in programske opreme se določi v naslednjih primerih: nedostopnost vira za določeno časovno obdobje; Uničenje virov - izguba informacij, pridobljenih od zadnje varnostne kopije ali celotno uničenje; kršitev zaupnosti v primerih nepooblaščenega dostopa zaposlenih s polnim delovnim časom ali nepooblaščenim osebam; Sprememba se šteje za primere napak majhnih kadrov (vhodne napake), napake programa, namerne napake; Napake, povezane s prenosom informacij: neuspeh dostave, pomanjkanje informacij, dostava z nepravilnim naslovom. Da bi ocenili morebitno škodo, se predlaga za uporabo naslednjih meril: škoda ugledu organizacije; Kršitev veljavne zakonodaje; škodo na področju osebja; škoda, povezana z razkritjem osebnih podatkov posameznikov; Finančne izgube iz razkritja informacij; Finančne izgube, povezane z obnovo virov; izgube, povezane z nezmožnostjo izpolnjevanja obveznosti; Neorganizacija dejavnosti.
Zgornja kombinacija meril se uporablja v komercialni različici metode (standardni profil). V drugih različicah bo agregat drugačen, na primer, v različici, ki se uporablja v vladnih agencijah, parametre odražajo ta področja, kot so dodane nacionalne varnosti in mednarodne odnose.
Za podatke in programsko opremo so izbrana merila, ki se uporabljajo za to IC, se poškodbe izvede na lestvici z vrednostmi od 1 do 10.
Na primer, če podatki vsebujejo podrobnosti komercialnih zaupnih (kritičnih) informacij, strokovnjaka, ki ima študijo, sprašuje vprašanje: Kako lahko nepooblaščen dostop do nepooblaščenih oseb vpliva na organizacijo?
Ta odgovor je možen: neuspeh na več parametrih zgoraj navedenih zgoraj, in vsak vidik je treba obravnavati več podrobnosti in dodeliti najvišje možne ocene.
Lestvice se nato razvijejo za izbrani sistem parametrov. Lahko izgledajo tako.
Poškodbe ugleda organizacije: 2 - negativna reakcija posameznih uradnikov, javnih osebnosti; 4 - Kritika v medijih, ki nimajo široke javne resonance; 6 - negativna reakcija posameznih poslancev Sveta DUMA, federacije; 8 - Kritika v medijih, ki imajo posledice v obliki velikih škandalov, parlamentarnih predstavitev, obsežnih pregledov itd.; 10 - Negativna reakcija na ravni predsednika in vlade.
Poškodbe zdravja osebja: 2 - Minimalna škoda (posledice niso povezane s hospitalizacijo ali dolgotrajno zdravljenje); 4 - Poškodba srednje velikosti (zdravljenje je potrebno za enega ali več zaposlenih, vendar ni dolgih negativnih posledic); 6 - Resne posledice (dolgotrajna hospitalizacija, invalidnost enega ali več zaposlenih); 10 - Smrt ljudi.
Finančne izgube, povezane z izterjavo virov: 2 - manj kot $ 1000; 6 - od $ 1000 do 10.000 $; 8 - od 10.000 $ do 100.000 $; 10 - Več kot 100.000 $.
Neorganizacija komunikacijskih dejavnosti z nedostopnostjo podatkov: 2 - Pomanjkanje dostopa do informacij do 15 minut; 4 - Pomanjkanje dostopa do informacij do 1 uro; 6 - Pomanjkanje dostopa do informacij do 3 ure; 8 - Pomanjkanje dostopa do informacij od 12 ur; 10 - Pomanjkanje dostopa do informacij za več kot en dan.
Na tej stopnji je mogoče pripraviti več vrst poročil (meje sistemskih sistemov, model, določanje vrednosti virov). Če so vrednosti virov nizke, lahko uporabite osnovno varnostno možnost. V tem primeru se lahko raziskovalec takoj premakne iz te faze na stopnjo analize tveganja. Vendar pa je treba za ustrezno obračunavanje potencialnega vpliva nekaterih groženj, ranljivosti ali kombinacije groženj in ranljivosti, ki imajo visoke ravni, je treba uporabiti skrajšano različico faz ocenjevanja groženj in ranljivosti. To vam omogoča, da razvijete učinkovitejši sistem sistema informacijske varnosti.
Po oceni groženj in naprav se odvisnosti uporabniških storitev ocenjujejo iz nekaterih skupin virov in obstoječe stopnje groženj in ranljivosti.
Nato so sredstva družbe združena z vidika groženj in ranljivosti. Na primer, v primeru nevarnosti požara ali kraje, kot skupina virov, je smiselno razmisliti o vseh virih na enem mestu ( Server Soba, komunikacijska soba itd.).
Hkrati se lahko ocena ravni groženj in ranljivosti izvede na podlagi posrednih dejavnikov ali na podlagi neposrednih ocen strokovnjakov. V prvem primeru programska oprema Cramm za vsako skupino virov in vsaka od njih ustvari seznam vprašanj, ki priznavajo nedvoumni odgovor ( sl. 8. - Poslovanje ravni varnostne grožnje posrednim dejavnikom).
Raven groženj se ocenjuje, odvisno od odgovorov, kot: zelo visok; visok; sredina; nizka; zelo nizko.
Raven ranljivosti je ocenjena, odvisno od odgovorov, kot: visoko; sredina; nizka; odsoten.
Možno je izvesti popravek rezultatov ali uporabe drugih metod ocenjevanja. Na podlagi teh informacij se stopnje tveganja izračunajo v diskretnem obsegu z razdaljami od 1 do 7 (faza analize tveganja). Nastale ravni groženj, ranljivosti in tveganj se analizirajo in usklajujejo s stranko. Šele takrat se lahko premaknete v končno fazo metode.
Obvladovanje tveganj. Glavni koraki faze obvladovanja tveganj so predstavljeni na sl. devet.
Na tej stopnji Cramm ustvarja več možnosti za boj proti, primernim za razkrita tveganja in njihove ravni. Protiukrepe so razdeljene v skupine in podskupine v naslednjih kategorijah: varnost na ravni omrežja. Zagotavljanje fizične varnosti. Zagotavljanje varnosti podporne infrastrukture. Varnostni ukrepi na ravni skrbnika sistema.
Zaradi izvrševanja te faze se oblikuje več vrst poročil.
Tako se obravnavana metodologija za analizo in obvladovanje tveganj v celoti uporablja in v ruskih razmerah, kljub dejstvu, da se kazalniki varnosti NSD do informacij in zahteve za zaščito informacij razlikujejo v ruskih PC in tujih standardih. Uporabna je uporaba orodij, kot je metoda Cramm metode pripravljenosti pri analiziranju tveganj informacijskih sistemov z povišanimi zahtevami na področju IB, je še posebej koristna. To vam omogoča pridobivanje utemeljenih ocen obstoječih in dovoljenih ravni groženj, ranljivosti, učinkovitosti zaščite.
Metodama tehnike
Načinska metoda je razvila lastno tehnike presoje in obvladovanja tveganj ter izdala številna ustrezna orodja. Ta sredstva vključujejo: o analizi in obvladovanju tveganj operativnega graditelja in svetovalca za tveganja. Tehnika je skladna z avstralskim standardom Avstralski / Nova Zelandija Standard za upravljanje s tveganji (AS / NZS 4360: 1999) in standard ISO17799. Upravljanje informacijskega cikla informacijske tehnologije v skladu s svetovalcem COBIT 3RD (revizija) in svetovalec za upravljanje COBIT 3. izdaja. V priročniku COBIT, je pomembno mesto za analizo in obvladovanje tveganj. Programska oprema za avtomatizacijo gradnje različnih vprašalnikov z vprašalniki.
Na kratko upoštevamo možnosti svetovalca za tveganja. To je postavljeno kot analitiko ali vodja na področju informacijske varnosti. Tehnika se izvaja za določitev modela informacijskega sistema z vidika informacijske varnosti, prepoznavanje tveganj, groženj, izgube zaradi incidentov. Glavne faze dela so: opis konteksta, določitev tveganj, ocena groženj in morebitne škode, razvoj nadzornih vplivov in razvoj načrta za izterjavo in ukrepe v izrednih razmerah. Poglejmo na navedene korake. Opis tveganja. TVEGANJA MATRIX ( sl. 10. - Identifikacija in določitev tveganj v svetovalcu za tveganja) Na podlagi določene predloge. Tveganja so ocenjena na obsegu kakovosti in so razdeljena na sprejemljive in nesprejemljive ( sl. 11. - Ločevanje tveganja za sprejemljivo in nesprejemljivo v svetovalcu za tveganja). Nato je izbrana kontrolna izpostavljenost (protiukrepi), ob upoštevanju predhodno evidentiranega sistema meril, učinkovitost protiukrepov in njihovih stroškov. Stroški in učinkovitost se ocenjujejo tudi v visokokakovostnih tehtnicah.
Opis nevarnosti. Na začetku se oblikuje seznam groženj. Grožnje so vsekakor razvrščene, nato je opisan odnos med tveganji in grožnjami. Opis se opravi tudi na kvalitativni ravni in vam omogoča, da popravite svoje odnose.
Opis izgub. Dogodki (posledice) so opisani v zvezi s kršitvijo načina varnosti informacij. Izgube se ocenjujejo v izbranem sistemu meril.
Analiza rezultatov. Zaradi izgradnje modela lahko oblikujete podrobno poročilo (približno 100 particij), poglejte na zaslonu zbirnih opisov v obliki Grapparis.
Upoštevana metodologija vam omogoča avtomatizacijo različnih vidikov upravljanja tveganj podjetja. V tem primeru so ocene tveganja navedene v visokokakovostnih tehtnicah. Podrobna analiza dejavnikov tveganja ni zagotovljena. Moč obravnavane metode je zmožnost opisati različne povezave, ustrezno upoštevati številne dejavnike tveganja in bistveno manj delovne intenzivnosti v primerjavi s crammom.
Zaključek
Sodobne metode in informacijske tehnologije za obvladovanje tveganj omogočajo oceno obstoječe ravni preostalih informacij v domačih podjetjih. To je še posebej pomembno v primerih, ko informacijski sistem družbe nalaga večje zahteve za zaščito informacij in neprekinjenosti poslovanja. Danes obstajajo številne tehnike analize tveganja, vključno z uporabo primerov, prilagojeno uporabo v domačih pogojih. Bistveno je, da kvalitativno izvedena analiza informacijskih tveganj omogoča izvajanje primerjalne analize "učinkovitosti in frekvence" različnih možnosti zaščite, izberite ustrezne protiukrepe in kontrole, oceniti raven preostalih tveganj. Poleg tega orodja za analizo tveganja, ki temeljijo na sodobnih bazah znanja in logičnih izhodnih postopkov, omogočajo gradnjo strukturnih in objektno usmerjenih modelov informacijskih sredstev družbe, modelov groženj in tveganj, povezanih z individualnimi informacijami in podjetji, in zato identificirajo takšne Informacije Sredstva družbe, tveganje kršitve varnosti, katerih kritična, to je nesprejemljivo. Takšna instrumentalna orodja zagotavljajo priložnost za izgradnjo različnih modelov za zaščito informacijskih sredstev družbe, za primerjavo različnih variant varnostnih in kontrolnih ukrepov ter spremljanje izpolnjevanja zahtev za organizacijo režima informacijske varnosti domače družbe.
Znano je, da je tveganje verjetnost izvajanja nevarnosti informacijske varnosti. V klasični predstavitvi ocena tveganja vključuje oceno groženj, ranljivosti in škode, ki se uporabljajo pri njihovem izvajanju. Analiza tveganja je oblikovanje slike začetka teh najbolj neugodnih pogojev ob upoštevanju vseh možnih dejavnikov, ki določajo tveganje kot take. Z matematičnega vidika, ko analiziramo tveganja, se lahko takšni dejavniki štejejo za vhodne parametre.
Navedite te parametre:
1) Sredstva - ključne sestavine sistemske infrastrukture, ki sodelujejo v poslovnem procesu in imajo določeno vrednost;
2) grožnje, katerih izvajanje je možno z uporabo ranljivosti;
3) ranljivosti - šibkost sredstev za zaščito, ki jo povzročajo napake ali nepopolnosti v postopkih, projektu, izvajanju, ki se lahko uporabijo za penetracijo v sistem;
4) Poškodbe, ki se ocenjujejo ob upoštevanju stroškov obnovitve sistema v začetno stanje po možnem incidentu IB.
Tako je prvi korak pri izvajanju večfaktorske analize tveganja identifikacija in razvrstitev analiziranih vhodnih parametrov. Nato je treba izvesti stopnjo vsakega parametra po pomembnosti ravni (na primer: visoko, srednje, nizko). V zaključni fazi modeliranja verjetnega tveganja (pred pridobitvijo številčnih ravni tveganja) obstaja zavezujoča ugotovljene grožnje in ranljivosti za posebne komponente IT infrastrukture (takšna zavezujoča lahko pomeni, na primer analizo tveganja, Ob upoštevanju prisotnosti sistema zaščite sistema bo verjetnost, da bo sistem ogrožen zaradi neodloženih dejavnikov itd.). Poglejmo proces modeliranja tveganj korak za korakom. To storiti, najprej, bodite pozorni na sredstva družbe.
Popis sredstev podjetja
(Karakterizacija sistema)
Najprej je treba ugotoviti, kaj je dragoceno sredstvo družbe v smislu informacijske varnosti. Standard ISO 17799 opisuje podrobnejše postopke nadzornega sistema IB, dodeli naslednje vrste sredstev:
. informacijski viri (podatkovne baze in podatkovne zbirke, pogodbe in sporazumi, dokumentacija sistema, raziskovalne informacije, dokumentacija, gradiva za usposabljanje itd.);
. Programska oprema;
. materialna sredstva (računalniška oprema, telekomunikacijska oprema itd.);
. Storitve (telekomunikacijske storitve, preživetje itd.);
. zaposleni v podjetju, njihove kvalifikacije in izkušnje;
. Neopredmeteni viri (ugled in podoba podjetja).
Določiti je treba, kršitev informacijske varnosti, katerih sredstva lahko škoduje podjetju. V tem primeru se sredstvo šteje za dragoceno, in bo treba upoštevati pri analizi informacijskih tveganj. Inventar je sestaviti seznam dragocenih sredstev družbe. Praviloma ta proces izvaja lastnike sredstev. Koncept "lastnika" opredeljuje osebe ali stranke, ki imajo obveznosti, ki jih odobri upravljanje, razvoj, vzdrževanje, uporaba in zaščito premoženja.
V postopku kategorizacijskih sredstev je treba oceniti kritičnost sredstev za poslovne procese družbe, ali z drugimi besedami, da se ugotovi, katera škoda bo nastala v primeru kršitve informacijske varnosti sredstev. Ta proces povzroča največjo kompleksnost, ker Vrednost sredstev se določi na podlagi strokovnih ocen njihovih lastnikov. V tej fazi se razprave pogosto potekajo med svetovalci pri razvoju sistema upravljanja in lastnikov sredstev. To pomaga lastnikom sredstev, da bi razumeli, kako bi bilo treba vrednost sredstev določiti z vidika informacijske varnosti (praviloma o določitvi sredstev za kritičnost je za lastnika nove in ne-trivialne). Poleg tega so različne ocenjevalne tehnike razvite za lastnike sredstev. Zlasti lahko takšne tehnike vsebujejo posebna merila (pomembne za to podjetje), ki jih je treba upoštevati pri ocenjevanju kritičnosti.
Ocena kritičnosti premoženja
Ocena kritičnosti premoženja se izvaja v treh parametrih: zaupnost, celovitost in dostopnost. Ti. Poškodbe je treba oceniti, da bo družba kršila zaupnost, celovitost ali razpoložljivost sredstev. Ocena dajanja sredstev je mogoče izvesti v denarnih enotah in ravneh. Glede na dejstvo, da so za analizo informacijskih tveganj potrebne vrednosti v denarnih enotah, v primeru ocenjevanja kritičnosti sredstev na ravneh je treba določiti oceno vsake ravni v denarju.
Po mnenju NIST verodostojne klasifikacije, ki je vključena v vodnik za upravljanje s tveganji za sisteme informacijske tehnologije, kategoriziranje in vrednotenje groženj, je potekala neposredna identifikacija njihovih virov. Torej, po navedba omenjene klasifikacije, se lahko glavne vire groženj razlikujejo, med katerimi:
. grožnje naravnega izvora (potres, poplava itd.);
. Grožnje, ki izhajajo iz človeka (nepooblaščen dostop, omrežni napadi, uporabniške napake, itd);
. Grožnje iz umetnega izvora (nesreče različnih vrst, odklop napajanja, kemično onesnaževanje itd.).
Zgoraj navedena razvrstitev se lahko podrobneje opredeli podrobneje.
Torej, do neodvisnih kategorij virov groženj, ki izvirajo iz osebe, v skladu z omenjeno klasifikacijo NIST vključujejo:
- hekerji;
- kriminalne strukture;
- teroristi;
- podjetja, ki se ukvarjajo z industrijskimi vohunjenjem;
- Nosilci.
Vsaka od naštetih groženj bi morala biti podrobno opisana in ovrednotena na obsegu pomembnosti (na primer: nizka, srednja, visoka).
Očitno je treba analizo groženj obravnavati v tesnem povezavi z ranljivostmi sistema v študiji. Naloga tega faze upravljanja tveganj je pripraviti seznam možnih sistemskih ranljivosti in kategorizirati te ranljivosti, ob upoštevanju njihove "moči". Torej, glede na globalno prakso, se lahko stopnja ranljivosti razdelimo iz ravni: kritična, visoka, srednje, nizka. Te ravni preučite podrobneje:
1. Kritična raven nevarnosti. Na to stopnjo nevarnosti vključuje ranljivosti, ki vam omogočajo, da izvedete oddaljeni kompromis sistema brez dodatnega vpliva ciljnega uporabnika in se trenutno aktivno izkoriščajo. Ta stopnja nevarnosti pomeni, da je izkoriščanje v javnih zadevah.
2. Visoka stopnja nevarnosti. Na to stopnjo nevarnosti se nanašajo na ranljivosti, ki vam omogočajo, da izvedete daljinski kompromisni sistem. Praviloma ni izkoriščanja dostopa javnosti za takšne ranljivosti.
3. Povprečna stopnja nevarnosti. Na tej ravni, nevarnost vključuje ranljivosti, ki vam omogočajo, da izvedete oddaljeno zavrnitev vzdrževanja, nepooblaščenega dostopa do podatkov ali opravlja poljubno kodo z neposredno interakcijo z uporabnikom (na primer s povezovanjem z zlonamernim strežnikom z ranljivo aplikacijo).
4. Nizka nevarnost. Ta raven vključuje vse ranljivosti, ki delujejo na lokalni ravni, pa tudi ranljivosti, operacija je težka ali ki ima minimalen vpliv (na primer XSS, zavrnitev vzdrževanja odjemalske aplikacije).
Vir priprave takega seznama / seznama ranljivosti mora biti: \\ t
. Javno objavljeni redni seznami ranljivosti (kot primer: www.securitylab.ru);
. Seznam ranljivosti, ki jih je objavil proizvajalec programske opreme (kot primer: www.apache.org);
. Rezultati preskusov penetracije (kot primer: www.site-sec.com);
. Analiza poročil o skenerbilnosti ranljivosti (ki jo izvaja skrbnik za varovanje v podjetju).
Na splošno se lahko ranljivosti razvrstijo na naslednji način:
. OS in ranljivosti programske opreme (napake kode), ki jih je odkril proizvajalec ali neodvisni strokovnjaki (v času pisanja članka Skupno število ranljivosti doseženo oznako približno 1900 - tukaj je vključevala ranljivosti, objavljene v "Bagtecs" na xakep.ru, SecurityLab, Milw0RM .com in SecurityLabus .com).
. Sistemske ranljivosti, povezane z upravnimi napakami (neustrezna okolica spletnega strežnika ali nastavitev PHP, ki jih pristanišča ne zaprejo z ranljivimi storitvami itd.).
. Ranljivosti, katerih viri lahko postanejo incidenti, ki niso določeni z varnostnimi politikami, kot tudi enajsti dogodki. Kot svetli primer razširjene ranljivosti OS in programske opreme je mogoče navajati prelivanje pufra (prelivanje pufra). Mimogrede, da se reče, absolutna večina sedanjih obstoječih izkoriščanja izvaja razred ranljivosti do prelivanja pufra.
Metode ocenjevanja numeričnih tveganj
Najenostavnejša ocena informacijskih tveganj je izračunati tveganja, ki se izvajajo ob upoštevanju informacij o kritičnosti sredstev, kot tudi verjetnosti izvajanja ranljivosti.
Formula za oceno klasičnega tveganja:
R \u003d D * P (V), kjer je R informacijsko tveganje;
D - kritičnost sredstva (škoda);
P (v) je verjetnost realizacije ranljivosti.
Primer praktičnega izvajanja zgoraj opisanega pristopa k določanju ravni tveganja je matrika tveganja, ki jo predlaga NIST.
| Nevarnost grožnja-grožnja (njena verjetnost) | Poškodbe udarca | ||
| Nizka (nizka) - 10 | Srednje (srednje) -50 | Visoka (visoka) -100 | |
| Visoka (visoka) - 1 | Nizka (nizka) 10x1 \u003d 10 | Srednje (srednje) 50x1 \u003d 50 | Visoka (visoka) 100x1 \u003d 100 |
| Srednje (povprečje) - 0,5 | Nizka (nizka) 10x0,5 \u003d 5 | Srednje (srednje) 50x0,5 \u003d 25 | Srednje (povprečje) 100x0,5 \u003d 50 |
| Nizka (nizka) - 0,1 | Nizka (nizka) 10x0.1 \u003d 1 | Nizka (nizka) 50x0.1 \u003d 5 | Nizka (nizka) 100x0.1 \u003d 10 |
| Stopnja tveganja: visoka (od 50 do 100); Medij (od 10 do 50); Nizka (od 1 do 10). | |||
Vsak od možnih vhodnih parametrov (na primer ranljivost, grožnja, sredstva in poškodbe) je opisan s funkcijo dodatne opreme, ob upoštevanju ustreznega koeficienta.
Ocena tveganja, ki temelji na mehki logiki
Mehanizmi ocenjevanja tveganja, ki temeljijo na mehki logiki, vključuje zaporedje korakov, od katerih se uporabljajo rezultati prejšnjega koraka. Zaporedje teh korakov je običajno naslednje:
. Vstop v pravila za programiranje v obliki pravil o izdelkih ("če, ... to"), ki odražajo odnos na ravni vhodnih podatkov in stopnjo tveganja na izhodu.
. Nastavitev funkcij vhodnih spremenljivk (kot primer - s pomočjo specializiranih programov, kot je "Fuzyy Logic" - V tem primeru smo uporabili MATLAB).
. Pridobitev primarnega rezultata ocen vhodnih spremenljivk.
. Fazifikacija ocen vhodnih spremenljivk (iskanje posebnih vrednosti funkcij dodatkov).
. Agregacija (pomeni preverjanje resnice pogojev s preoblikovanjem funkcij dodatkov preko mehke povezave in mehke disjufunkcije).
. Okoljska aktivacija (iskanje uteži za vsako pravila in funkcije resnice).
. Baterije zaključkov (iskanje funkcije dodatne opreme za vsako od izhodnih spremenljivk).
. Definifikacija (iskanje jasnih izhodnih spremenljivk).
Tako je v zgornjem primeru (tabela 1.1), v resnici, je bil upoštevan algoritem ocenjevanja tveganja na dveh ravneh s tremi vhodnimi parametri. Kjer:
. Za vhodne vrednosti in tveganja so nastavljene lestvice na tri ravni, na katerih mehki izrazi (ustrezajo "velikim", "medijem" in "nizko" vrednosti spremenljivk - glej sliko 1);
. Pomen vseh logičnih pravil izhoda je enak (vsi koeficienti uteži proizvodnih pravil so enaki eni).
Sl. 1. Trapezoidne značilnosti ranljivosti tri ravni lestvice
Očitno je, da dvo-parameter algoritem, ki zagotavlja vnos dveh vhodnih spremenljivk, ne more zagotoviti objektivnega rezultata analize tveganja, zlasti ob upoštevanju sklopa dejavnikov - vhodna spremenljivke, ki se mimogrede, ki odražajo resno sliko ocene tveganja IB.
Štirje parametrični algoritem
Recimo, da je s pomočjo produktivnih pravil mehke logike, je treba reproducirati izhodni mehanizem, ki temelji na štirih vhodnih spremenljivkah. Takšne spremenljivke v tem primeru so:
. sredstva;
. ranljivost;
. grožnjo (ali bolj njena verjetnost);
. poškodbe.
Vsaka od navedenih vhodnih spremenljivk je ocenjena na njeno lestvico. Torej, predpostavimo, da so bile na podlagi predhodne analize pridobljene nekatere ocene vhodnih spremenljivk (sl. 2.):
Sl. 2. Vnos spremenljivih ocen in mehanizma izhodnega mehanizma
Na najpreprostejšem primeru upoštevajte vrsto pravil o izdelkih za nekaj primera s triletno lestvico:
Sl. 3. Pravila proizvodnje štirih parametrov algoritma
Grafični vmesnik Fuzzy Logic Toolbox v tem primeru vam omogoča, da si ogledate grafe tveganja odvisnosti od verjetnosti grožnje in, v skladu s tem, druge vhodne spremenljivke.
Sl.4. Tveganje odvisnosti od verjetnosti grožnje
Sl. 5. ODGOVORNOST TVEGANJA o škodi
Elegan in monoton graf "izhodne krivulje" označuje zadostnost in doslednost uporabljenih izhodnih pravil. Vizualna grafična predstavitev vam omogoča, da ocenite ustreznost lastnosti izhodnega mehanizma za zahteve. V tem primeru "krivulja zaključka" pomeni, da je izhodni mehanizem priporočljiv, da se uporablja samo na področju nizke verjetnosti vrednosti, tj. ko je verjetno manjša od 0,5. Kaj je mogoče pojasniti s takšnim "izzivom" v vrednosti verjetnosti, ki je večja od 0,5? Verjetno je uporaba lestvice na tri ravni, praviloma, se odraža na občutljivosti algoritma na področju visokih verjetnostnih vrednosti.
Pregled nekaterih orodij za analizo tveganja, ki upoštevajo niz dejavnikov
Pri izvajanju popolne analize tveganj, ob upoštevanju niza dejavnikov, je treba rešiti številne kompleksne težave:
. Kako določiti vrednost virov?
. Kako narediti popoln seznam IB grožnje in ovrednotiti svoje parametre?
. Kako se odločiti, da izberete protiukrepe in ocenite njihovo učinkovitost?
Da bi rešili te težave, obstajajo posebej oblikovana orodja, izdelana z uporabo strukturnih metod sistemske analize in oblikovanja (SSADM - strukturirane sisteme analize in oblikovanja), ki zagotavljajo:
- izgradnja modela IP z vidika IB;
- metode za ocenjevanje vrednosti virov;
- orodja za pripravo seznama groženj in ocenjevanje njihovih verjetnosti;
- izbira protiukrepov in analize njihove učinkovitosti;
- analiza možnosti zaščite;
- Dokumentacija (generacija poročila).
Trenutno obstaja več izdelkov programske opreme tega razreda na trgu. Najbolj priljubljena je Cramm. Na kratko menijo spodaj.
Metoda Cramm.
Leta 1985 je osrednja agencija za računalnike in telekomunikacije (CCTA) Združenega kraljestva začela študijo obstoječih metod analize IB, da bi priporočila metode, primerne za uporabo v vladnih agencijah, ki se ukvarjajo z obdelavo neobrestnih, vendar kritičnih informacij. Nobena od obravnavanih metod se ni približala. Zato je bila razvita nova metoda, ki izpolnjuje zahteve CCTA. Prejel je ime Cramm - metoda analize CCTA in nadzor tveganj. Potem je bilo več različic metode, ki se je osredotočila na zahteve Ministrstva za obrambo, civilne vladne agencije, finančnih institucij, zasebnih organizacij. Ena od različic je "komercialni profil" - je komercialni izdelek. Trenutno je Cramm, ki ocenjuje po številu sklicevanj na internetu, najpogostejši način analize in obvladovanja tveganj. Analiza tveganja vključuje identifikacijo in izračun ravni tveganja (ukrepi) na podlagi ocen, dodeljenih virov, groženj in ranljivosti virov. Nadzor tveganja je sestavljen iz ugotavljanja in izbire protiukrepov, ki zmanjšujejo tveganja na sprejemljivo raven. Formalna metoda, ki temelji na tem konceptu, vam omogoča, da zagotovite, da zaščita pokriva celoten sistem, in obstaja zaupanje, da:
Opredeljene so vsa možna tveganja;
. Opredeljene so ranljivosti virov in ocenjene njihove ravni;
. Opredeljene so grožnje in ocenjene so njihove ravni;
. protiukrepi so učinkoviti;
. Stroški, povezani z IB, so upravičeni.
Oleg Foytsev, glava "Cerder Security // Analiza varnosti vašega spletnega mesta"
