Обеспечение повышенных требований к ИБ

При наличии повышенных требований к ИБ должен быть проведен так называемый полный вариант анализа рисков, в рамках которого, в дополнение к базовым, рассматриваются следующие аспекты:

• бизнес-процессы с точки зрения ИБ;
• ресурсы организации и их ценность;
• угрозы безопасности — потенциальные источники нежелательных событий, которые могут нанести ущерб ресурсам, и оценка их параметров;
• уязвимости — слабые места в защите, которые способствуют реализации угроз.

На основе собранных сведений должны быть получены оценки рисков для информационной системы организации, отдельных подсистем, баз данных, отдельных элементов данных.

Следующий шаг — выбор контрмер, снижающих риски до приемлемых уровней.

Основные этапы полного анализа рисков

Рассмотрим основные этапы полного анализа рисков.

Определение границ исследования

Прежде всего должны быть установлены границы исследования. Следует разделить рассматриваемые ресурсы и внешние элементы, с которыми осуществляется взаимодействие. Ресурсами могут быть средства вычислительной техники, программное обеспечение, данные. Примерами внешних элементов являются сети связи, внешние сервисы и т.п.

Ресурсы должны быть проанализированы с точки зрения оценки воздействия возможных атак (спланированных действий внутренних или внешних злоумышленников) и различных нежелательных событий естественного происхождения. Такие потенциально возможные события будем называть угрозами безопасности.

Построение модели информационной технологии

Между ресурсами, очевидно, существуют взаимосвязи. Например, выход из строя какого-либо оборудования может привести к потере данных или выходу из строя другого критически важного элемента системы. Подобные взаимосвязи необходимо учитывать, для чего строится модель организации с точки зрения ИБ.

Эта модель обычно строится следующим образом. Для выделенных ресурсов определяется их ценность как с точки зрения ассоциированных с ними возможных финансовых потерь, так и с точки зрения ущерба репутации организации, дезорганизации ее деятельности, нематериального ущерба от разглашения конфиденциальной информации и т.д. Затем описываются взаимосвязи ресурсов, определяются угрозы безопасности и оцениваются вероятности их реализации.

Выбор контрмер

На основе построенной модели можно обоснованно выбрать систему контрмер, снижающих риски до допустимых уровней и обладающих наибольшей ценовой эффективностью. Частью системы контрмер должны являться рекомендации по проведению регулярных проверок эффективности системы защиты.

Управление рисками

Обеспечение повышенных требований к ИБ предполагает соответствующие мероприятия на всех этапах жизненного цикла информационных технологий. Планирование этих мероприятий производится по завершении этапа анализа рисков и выбора контрмер. Обязательной составной частью этих планов является периодическая проверка соответствия существующего режима ИБ политике безопасности, сертификация информационной системы (технологии) на соответствие требованиям определенного стандарта безопасности.

Базовый уровень ИБ	Содержание	Инструментальные средства для анализа рисков и управления рисками