6.Процессы планирования иб ас. Детальная оценка рисков. Идентификация и определение ценности активов.

Идентификация активов – различаются основные и вспомогательные активы.

Основные: 1. бизнес процессы (утрата их делает невозможным достижение цели организации), бизнес деятельность (секретные процессы, и процессы, созданные с использованием высокоуровневых технологий).

2. информационные активы (инф., необходимая для осущ. деятельности огранизации; инф. Содерж. ПД; инф. с высокой себестоимостью).

Вспомогательные: 1.Аппаратные средства. 2. ПО 3. телекоммуникации. 4. Персонал. 5. Место функционирования организации. 6. структура организации.

Определение ценности активов. Для опр. ценности активов необходимо опр. критерии и шкалу. Критерии следующие:

1. критерии оценивающие активы с точки зрения последствий и расходов, связ. с потерей конфиденциальности, целостности, доступности, неотказуемости. 2. критерии на основе оценки исходной стоимости активов, стоимости замены активов, оценке абстрактной ценности (репутация).

Процесс: Идентификация активов:

Вх. Данные: Существ-щие основные и вспомогательные активы, область применения ОР.

Упр.инф-ия: Способ идентификации.

Ресурсы: Владельцы активов, эксперты.

Вых.инф.: Перечень основных и вспомогательных активов.

Процесс: Определение ценности активов:

Вх. Данные: Перечень основных и вспомогательных активов.

Упр.инф-ия: Способ оценки активов, Критерии и шкалы ОА.

Ресурсы: Руководство, Эксперты, Владельцы активов.

Вых.инф.: Список активов с указанием их ценности.

7.Процессы планирования иб ас. Детальная оценка рисков. Анализ и оценка угроз иб. Анализ и оценка существующих защитных мер.

Анализ и оценка угроз ИБ. Цель – источники случайных и преднамеренных угроз, сами угроза д/б определены вероятность их реализации д/б оценена.

Процесс: Анализ и оценка угроз ИБ:

Вх. Данные: Перечень защищаемых активов, информация о среде.

Упр.инф-ия: Перечень угроз, Способ оценки угроз.

Ресурсы: Специалисты, Эксперты, Владельцы активов.

Вых.инф.: Перечень актуальных угроз с вероятность их реализации.

Анализ и оценка существующих защитных мер. Включают определение слабостей физич среде организации, АС, среде сотрудников, программных средств, которые м/б использованы угрозами, в результате будет нанесен ущерб. Уязвимости не имеющие соотв угроз не требуют реализации ЗМ.

Процесс: Анализ и оценка уязвимостей ИБ:

Вх. Данные: Опись активов, Перечень актуальных угроз, Принятые ЗМ.

Упр.инф-ия: Способ оценки уязвимостей.

Ресурсы: Специалисты, Эксперты, Владельцы активов.

Вых.инф.: Перечень уязвимостей и возможность их использования.

Защитные меры будут выбираться по результатам ОР, как правило выбранные ЗМ явл дополнительными к уже существующим ЗМ. Выбранные ЗМ не должны дублировать существуюшие. Если существующие неэффективны – их нужно заменить.

8 Процессы планирования иб ас. Детальная оценка рисков. Оценка уязвимостей иб. Примеры уязвимостей иб

Анализ и оценка уязвимостей ИБ включает определение слабостей в физической среде организации, уязвимостях сотрудников, уязвимостей в управлении, аппаратных и программных средств и т.д., которые могут быть использованы источниками угроз, чтобы причинить ущерб бизнесу или деятельности организации. Уязвимость, которая не имеет соответствующей угрозы, не требует реализации защитной меры, но должна быть идентифицирована и находиться под постоянным контролем.

Примеры уязвимостей:

1) Для физ.среды: отсутствие физ.защиты зданий, дверей, окон, может быть использовано угрозой кражи; неадекватное или небрежное управление физ. доступом здания или помещения, может быть использовано угрозой преднамеренных повреждений;

2) Для аппарат. средств: отсутствие периодической замены компонентов активов, может быть использовано угрозой износа компонентов активов; восприимчивость к измен напряжения, может быть исп угрозой колебания мощности,

3) Для ПО: отсутствие тестирования или неэффективное тестирование ПО, может быть исп угрозой использования ПО неавтор. пользователями; сложный интерфейс пользователя, м.б. исп угрозой ошибки персонала;

4) Для телекоммуникаций: незащищ. линия связи, м.б.исп угр перехвата; отсутств аутентификации передатчика и приемника, м.б.исп угр подделки идентификатора польз; передача пароля в открытом виде, м.б. исп угр перехвата; неадекватность управл сетью, м.б. исп. угр перегрузки трафика.

5) Для документов: отсутствие внимания при распоряжении активами, м.б. исп угр кражи; неконтролир. копирование, м.б. исп угр кражи.

6) Для персонала, сотрудников: отсутствие или недостаток персонала, м.б. исп угр дефицита персонала; недостат обучение ИБ, м.б. исп угр операционной ошибки; отсутствие или недостаток осведомления по ИБ, м.б.исп угр операционной ошибки пользователей; неправильное использование ПО и аппаратных средств, м.б.использовано угрозой операционной ошибки пользователей;

Результатом этого этапа детальной оценки риска должны быть перечень уязвимости и оценки возможности их исполнения.

Процесс анализ и оценка уязвимостей.

Вход: перечень актуальных угроз; опись активов; перечень известных уязвимостей; существующие ЗМ.

Выход: перечень уязвимостей и оценка возможностей из использования.

Ограничения: нормативные документы по ИБ; способы оценки уязвимостей.

Ресурсы: владельцы активов; эксперты