АНАЛІЗ І УПРАВЛІННЯ РИЗИКАМИ В СФЕРІ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ

ВСТУП В ПРОБЛЕМУ

Метою даного розділу є вивчення сучасних методіканаліза і управління ризиками, пов'язаними з інформаційною безпекою (ІБ). Ризиком в сфері ІБ називатимемо потенційну можливість понести збитки через порушення безпеки інформаційної системи (ІС). Найчастіше поняття ризику змішують з понятіемугрози, яке розглядалося раніше, в розділі 1.1. Необхідно)

відзначити, що від загрози ризик відрізняє наявність кількісної оцінки можливих втрат і (можливо) оцінки ймовірності настання небажаної події.

Розберемося, навіщо потрібно досліджувати ризики в сфері ІБ, і що его може дати при розробці системи забезпечення ІБ для ІС. Для будь-якого проекту, що вимагає фінансових витрат на його реалізацію, дуже бажано вже на початковій стадії визначити, що ми будемо вважати ознакою завершення роботи і як будемо оцінювати результати проекту. Для задач, пов'язаних із забезпеченням ІБ, це також дуже актуально.

На практиці найбільшого поширення набули два підходи до обгрунтування проекту підсистеми забезпечення безпеки.

Перший з них заснований на перевірці відповідності рівня захищеності ІС вимогам одного із стандартів в області інформаційної безпечне ™. Це можег бути клас захищеності відповідно до вимог керівних документів Держтехкомісії РФ (зараз це ФСТЕК Росії), профіль захисту, розроблений відповідно до стандарту ISO-15408 (див. Розділ 1.5), або будь-якою іншою набір вимог. Тоді критерій досягнення мети в області безпеки - це виконання заданого набору вимог. Критерій ефективності - мінімальні сумарні витрати на виконання поставлених функціональних вимог: YjC, - "min, де с, - витрати на je засіб захисту.

Основний недолік даного підходу полягає в тому, що в разі, коли необхідний рівень захищеності жорстко не заданий (наприклад, через законодавчі вимоги), визначити «найбільш ефективний» рівень захищеності ІС досить складно.

Другий підхід до побудови системи забезпечення ІБ пов'язаний з оцінкою і управлінням ризиками. Спочатку він стався з принципу «розумної достатності», застосованого до сфери забезпечення ІБ. Цей принцип бути описаний таким набором тверджень:

  • - абсолютно непереборну систему захисту створити неможливо;
  • - необхідно дотримуватися балансу між витратами на захист і одержуваних ефектом, в т. Ч. І економічним, що полягає в зниженні втрат від порушень безпеки;
  • - вартість засобів захисту не повинна перевищувати вартості інформації, що захищається (або інших ресурсів - апаратних, програмних);
  • - витрати порушника на несанкціонований доступ до інформації повинні перевищувати той ефект, який він отримає, здійснивши подібний доступ.

Але повернемося до ризиків. В даному випадку, розглядаючи ІС в її початковому стані, ми оцінюємо розмір очікуваних втрат від інцидентів, пов'язаних з інформаційною безпекою (як правило, береться певний період часу, наприклад, рік). Після цього робиться оцінка того, як пропоновані засоби і заходи забезпечення безпеки впливають на зниження ризиків, і скільки вони коштують. Якщо уявити деяку ідеальну ситуацію, то ідею підходу відображає наведений на рис. 4.1 графік [15J.

Ідеалізований графік співвідношення «витрати на захист - очікувані втрати»

Мал. 4.1. Ідеалізований графік співвідношення «витрати на захист - очікувані втрати»

У міру того, як витрати на захист ростуть, розмір очікуваних втрат падає. Якщо обидві функції мають вигляд, представлений на рис. 4.1, то можна визначити мінімум функції «Очікувані сумарні результати», який нам і потрібен.

На жаль, на практиці точні залежності між витратами і рівнем захищеності визначити не представляється можливим, тому аналітичний метод визначення мінімальних витрат в представленому вигляді непридатний.

Для того щоб перейти до розгляду питань опису ризику, введемо ще одне визначення. Ресурсом або активом називатимемо іменований елемент ІС, що має (матеріальну) цінність і підлягає захисту.

Тоді ризик може бути ідентифікований наступним набором параметрів:

  • - загроза, з можливою реалізацією якої пов'язаний даний ризик;
  • - ресурс, щодо якого може бути реалізована загроза (ресурс може бути інформаційний, апаратний, програмний і т. Д.);
  • - вразливість, через яку може бути реалізована дана загроза щодо даного ресурсу.

Важливо також визначити те, як ми дізнаємося, що небажане подія відбулася. Тому в процесі опису ризиків, зазвичай також вказують події - «тригери», які є ідентифікаторами ризиків, що сталися або очікуються незабаром (наприклад, збільшення час відгуку web-сервера може свідчити про виробленої на нього однією з різновидів атак на «відмова в обслуговуванні» ).

Виходячи зі сказаного вище, в процесі оцінки ризику треба оцінити вартість збитку і частоту виникнення небажаних подій і ймовірність того, що подібна подія завдасть шкоди ресурсу. Розмір збитку від реалізації погрози щодо ресурсу залежить від вартості ресурсу, який наражається на ризик, і ступеня руйнівності впливу па ресурс, яка виражається у вигляді коефіцієнта руйнівності. Як правило, зазначений коефіцієнт лежить в діапазоні від 0 до 1. Таким чином, отримуємо оцінку втрати від разової реалізації загрози, які представлені у вигляді твору:

Далі необхідно оцінити частоту виникнення даного небажаного події (за якийсь фіксований період часу, наприклад, за рік) і ймовірність успішної реалізації загрози. В результаті, вартість ризику може бути обчислена за формулою:

Приблизно така формула використовується в багатьох методиках аналізу ризиків, деякі з яких будуть розглянуті в подальшому. Очікуваний збиток порівнюється з витратами на заходи і засоби захисту, після чого приймається рішення щодо даного ризику. Він може бути:

  • - прийнятий;
  • - знижений (наприклад, за рахунок впровадження засобів і механізмів захисту, що зменшують ймовірність реалізації загрози або коефіцієнт руйнівності);
  • - усунутий (за рахунок відмови від використання підданого загрозі ресурсу);
  • - перенесений (наприклад, застрахований, в результаті чого в разі реалізації загрози безпеки втрати буде нести страхова компанія, а нс власник ІС).
 
Переглянути оригінал
< Попер   ЗМІСТ   ОРИГІНАЛ   Наст >