Управление рисками при проектировании систем безопасности. Анализ рисков

Целью анализа рисков является оценка угроз и уязвимостей, определение комплекса контрмер, обеспечивающего достаточный уровень защищенности информационной системы. Существуют различные подходы к оценке рисков, выбор которых зависит от уровня требований, предъявляемых в организации к режиму информационной безопасности.

Существует 2 подхода, выбор каждого из которых зависит от того, насколько собственником информации определяется характер возможных последствий нарушения информационной безопасности (рис. 7.1).

Рис 7.1. Схема подходов к проведению анализа рисков Общая схема анализа рисков

где Yj – угроза;

З – механизмы защиты;

Oi – объекты.

Риск R определяется как ,

где S – стоимость защищаемых объектов;

– вероятность появления угрозы;

–вероятность уязвимости объекта после и до введения средств защиты.

В настоящее время технологии анализа рисков в России развиты слабо. Основная причина такого положения состоит в том, что в российских руководящих документах не рассматривается аспект рисков, их допустимый уровень и ответственность за принятие определенного уровня рисков. Информационная система в зависимости от своего класса должна обладать подсистемой безопасности с определенными формальными свойствами. Анализ рисков, как правило, выполняется формально, с использованием собственных методик неизвестного качества.

В развитых зарубежных странах это не так. К примеру, в американском глоссарии по безопасности можно найти термин Designated Approving Authority — лицо, уполномоченное принять решение о допустимости определенного уровня рисков.

Вопросам анализа рисков уделяется серьезное внимание: десятилетиями собирается статистика, совершенствуются методики.

Однако и у нас в стране положение начинает меняться. Среди отечественных специалистов служб информационной безопасности зреет понимание необходимости проведения такой работы.

В первую очередь, это относится к банкам, крупным коммерческим структурам, то есть к тем, кто обязан серьезно заботиться о безопасности своих информационных ресурсов.

Цель процесса оценивания рисков состоит в определении характеристик рисков информационной системе и ее ресурсам. На основе таких данных могут быть выбраны необходимые средства защиты. При оценивании рисков учитываются многие факторы: ценность ресурсов, оценки значимости угроз, уязвимостей, эффективность существующих и планируемых средств защиты и многое другое.

Основные подходы к анализу рисков

В настоящее время используются два подхода к анализу рисков. Их выбор зависит от оценки собственниками ценности своих информационных ресурсов и возможных последствий нарушения режима информационной безопасности. В простейшем случае собственники информационных ресурсов могут не оценивать эти параметры. Неявно предполагается, что ценность защищаемых ресурсов с точки зрения организации не является чрезмерно высокой. В этом случае анализ рисков производится по упрощенной схеме: рассматривается стандартный набор наиболее распространенных угроз безопасности без оценки их вероятности и обеспечивается минимальный или базовый уровень ИБ.

Обычной областью использования этого уровня являются типовые проектные решения. Существует ряд стандартов и спецификаций, в которых рассматривается минимальный (типовой) набор наиболее вероятных угроз, таких как вирусы, сбои оборудования, несанкционированный доступ и т. д. Для нейтрализации этих угроз обязательно должны быть приняты контрмеры вне зависимости от вероятности их осуществления и уязвимости ресурсов. Таким образом, характеристики угроз на базовом уровне рассматривать не обязательно.

Полный вариант анализа рисков применяется в случае повышенных требований в области ИБ. В отличие от базового варианта в том или ином виде производится оценка ценности ресурсов, характеристик рисков и уязвимостей ресурсов. Как правило, проводится анализ стоимость/эффективность нескольких вариантов защиты.

Таким образом, при проведении полного анализа рисков необходимо:

• определить ценность ресурсов;

• к стандартному набору добавить список угроз, актуальных для исследуемой информационной системы;

• оценить вероятность угроз;

• определить уязвимость ресурсов;

• предложить решение, обеспечивающее необходимый уровень ИБ.