9 Процессы планирования иб ас. Детальная оценка рисков. Метод ранжирования угроз мерами рисков иб

Цель этого этапа - оценить риски, которым подвергается вся система и её компоненты для обоснования выбора ЗМ.

метод ранжирования угроз мерами риска ИБ; использ, чтобы связать важность активов с уровнем реализации угроз. Для реализ этого метода исп результаты оценки важности защищ активов и возможн реализ угроз в отношении разл. видов активов. За единицу принимается самое низкое значение важности актива и самое низкое значение реализации угрозы.

	Возм-ть реализ.угрозы	Значение ценностиактива	Мера риска	Ранг угрозы
Угр1	4	3	12	1
Угр2	1	3	3	5
Угр3	2	2	4	4
Угр4	5	1	5	3
Угр5	3	2	6	2

Можно ранжировать угрозы по степени их опасности для активов и системы в целом. Достоинство метода-возможность сравнения различных угроз активов и ранжирование их в порядке приоритета выбора ЗМ для противодействия угрозам.

10 Процессы планирования иб ас. Детальная оценка рисков. Метод ранжирования систем и/или активов мерами рисков

Для реализ этого метода необх предварит определить значении рисков ИБ в зависимости от вида актива и его важности, уровня реализации угроз и степени уязвимости. Инф для определения значения рисков ИБ может быть собрана из опросов соответствующих техн специалистов, персонала и экспертов, а так же с помощью осмотра физ. расположения активов и анализ соотв. документации. Значение важности активов, уровня угроз и степени уязвимости связывается в матрицу, чтобы определить для каждой комбинации соотв. меру риска по выбр шкале.

Угрозы Уязвимости	Уровень реализации угрозы
	Н			С			В
Значение активов	Степень уязвимости
	н	с	в	н	с	в	н	с	в
1	1	2	3	2	3	4	3	4	5
2	2	3	4	3	4	5	4	5	6
3	3	4	5	4	5	6	5	6	7
4	4	5	6	5	6	7	6	7	8
5	5	6	7	6	7	8	7	8	9

Рассмотрим оценивание рисков активов по данному методу на примере угрозы подделки идентификатора пользователя. Эта угроза может быть реализована при дальнейшем существовании любой из следующих уязвимостей активов:

1. плохое управление параллелями (низкий уровень уязвимостей);

2. незащищенные списки паролей (средний);

3. отсутствие механизмов аутентификации пользователей (высокий).

Рассмотрим влияние уязвимостей и угроз на следующие активы системы:

1. общедоступные информативные активы;

2. программные и аппаратные средства для обработки общедоступных информационных активов;

3 конфиденциальные информационные активы;

4. программные и аппаратные средства для обработки конфиденциальных активов;

5. строго-конфиденциальные информационные активы и программные и аппаратные средства для их обработки.

Можно определить риски ИБ для всех активов и проранжировать активы в соответствии с рисками ИБ (выделить активы, которые требуют наибольшей защиты).

Рассмотрим систему, состоящую из 3 видов активов:

1. файловый сервер - ФС (А1=3);

2. компьютеры-К (А2=2);

3. программные средства - ПС. информационные активы - ИА (А3=4).

В качестве актуальной угрозы для 1 и 2 рассмотрим угрозу отказа аппаратных средств: А1А2→У1. Степень уязвимости такова:

1. низкая: тех.обслуживание проводится в соответствии с регламентом, но периодичность тех.обслуживания не соответствует правилам тех.обслуживания аппаратных средств (А1А2→низкая-Я11, средняя-Я12, высокая-Я13);

2. средняя: проведение тех.обслуживания не соответствует регламенту тех.обслуживания;

3. высокая: тех.обслуживание не проводится.

В качестве актуальной угрозы для ПС и ИА рассмотрим угрозу использования ПС и ИА неавторизованным способом: А3→У2. Степень уязвимости такова:

1. низкая: отсутствует мониторинг соответствия прав доступа пользователя его функциональным обязанностям (А3→низкая-Я21, средняя-Я22, высокая-Я23);

2. средняя: неправильное распределение прав доступа пользователей, т.е. некоторые пользователи имеют полномочия больше, чем надо;

3. высокая: все пользователи имеют единые права доступа.

Если для А1 уровень реализации угрозы низкий, а степень уязвимости средняя, то риск ФС→ФС/У1/Я12=4. Если для А2 уровень реализации угрозы низкий, а степень уязвимости высокая, то К→К/У1/Я13=4. Если для А3 уровень реализации угрозы средний, а степень уязвимости низкая, то риск ПС,ИА→ПС,ИА/У2/Я21=5. Общий риск для системы: ФС+К+ПС,ИА=13.

Достоинство: возможность ранжирования систем или активов по значению рисков ИБ.