Основные этапы управления рисками
Страница
1
1
Основные этапы управления рисками
Общие положения Использование информационных систем связано с определенной совокупностью рисков. Когда риск (возможный ущерб) неприемлемо велик, необходимо принять экономически оправданные защитные меры. Периодическая (пере)оценка рисков необходима для контроля эффективности деятельности в области безопасности и для учета изменений обстановки. С количественной точки зрения размер риска является функцией вероятности реализации определенной угрозы (использующей некоторые уязвимости), а также величины возможного ущерба. Таким образом, суть работы по управлению рисками состоит в том, чтобы оценить их размер, выработать эффективные и экономичные меры по уменьшению этого размера и затем убедиться, что риски заключены в приемлемые рамки (и остаются таковыми). Следовательно, управление рисками включает в себя два вида деятельности, которые чередуются циклически:
- (пере)оценку (измерение) рисков;
- выбор эффективных и экономичных защитных средств (нейтрализация рисков).
- ликвидация риска (например, за счет устранения причины);
- уменьшение риска (например, за счет использования дополнительных защитных средств);
- принятие риска (и выработка плана действия в соответствующих условиях);
- переадресация риска (например, путем заключения страхового соглашения).
- выбор анализируемых объектов и уровня детализации их рассмотрения;
- выбор методики оценки рисков;
- идентификация активов;
- анализ угроз и их последствий, определение уязвимостей в защите;
- оценка рисков;
- выбор защитных мер;
- реализация и проверка выбранных мер;
- оценка остаточного риска.
- инициация;
- закупка (разработка);
- установка;
- эксплуатация;
- выведение из эксплуатации.
Подготовительные этапы управления рисками
Первые три этапа процесса управления рисками можно считать подготовительными. Их суть состоит в следующем. Выбор анализируемых объектов и уровня детализации их рассмотрения — первый шаг в оценке рисков. Для небольшой организации допустимо рассматривать всю информационную инфраструктуру; однако, если организация крупная, всеобъемлющая оценка может потребовать неприемлемых затрат времени и сил. В таком случае следует сосредоточиться на наиболее важных сервисах, заранее соглашаясь с приблизительностью итоговой оценки. Если важных сервисов все еще много, выбираются те из них, риски для которых заведомо велики или неизвестны. По многим причинам целесообразно создать карту информационной системы организации. Для управления рисками подобная карта особенно важна, поскольку она наглядно показывает, какие сервисы выбраны для анализа, а какими было решено пренебречь. Если ИС меняется, а карта поддерживается в актуальном состоянии, то при переоценке рисков сразу станет ясно, какие новые или существенно изменившиеся сервисы нуждаются в рассмотрении. Вообще говоря, уязвимым является каждый компонент информационной системы — от куска сетевого кабеля, который могут прогрызть мыши, до базы данных, которая может быть разрушена из-за неумелых действий администратора. Как правило, в сферу анализа невозможно включить каждый винтик и каждый байт. Приходится останавливаться на некотором уровне детализации, отдавая себе отчет в приблизительности оценки. Для новых систем предпочтителен детальный анализ; старая система, подвергшаяся небольшим модификациям, может быть проанализирована более поверхностно. Очень важно выбрать разумную методику оценки рисков. Целью оценки является получение ответов на следующие вопросы:- приемлемы ли существующие риски?
- какие из неприемлемых рисков в первую очередь нуждаются в уменьшении?
- какие защитные средства экономически целесообразно использовать для уменьшения неприемлемых рисков?
Анализ угроз и оценка рисков
Этапы, предшествующие анализу угроз, можно считать подготовительными, поскольку, строго говоря, они впрямую не связаны с рисками. Риск появляется там, где есть угрозы. Перечень наиболее распространенных угроз предполагается известным. К сожалению, с практической точки зрения число угроз оказывается бесконечно большим, причем далеко не все из них носят компьютерный характер. Так вполне реальной угрозой является наличие мышей и тараканов в помещениях, занимаемых организацией. Первые могут повредить кабели, вторые — вызвать короткое замыкание. Как правило, наличие той или иной угрозы является следствием уязвимостей в защите информационной системы, которые, в свою очередь, объясняются отсутствием некоторых сервисов безопасности или недостатками в реализующих их защитных механизмах. Опасность прогрызания кабелей исходит не только от мышей, но и от недостаточной прочности защитной оболочки или ее отсутствия. Первый шаг в анализе угроз — их идентификация. Анализируемые виды угроз следует выбрать из соображений здравого смысла (оставив вне поля зрения, например, землетрясения, однако не исключая возможности захвата организации террористами), но в пределах выбранных видов провести максимально полное рассмотрение. Целесообразно выявлять не только сами угрозы, но и источники их возникновения, это поможет в выборе дополнительных средств защиты. Например, нелегальный вход в систему может стать следствием воспроизведения начального диалога, подбора пароля или подключения к сети неавторизованного оборудования. Очевидно, для противодействия каждому из перечисленных способов нелегального входа нужны свои механизмы безопасности. После идентификации угрозы необходимо оценить вероятность ее осуществления. Допустимо использовать при этом трехбалльную шкалу (низкая (1), средняя (2) и высокая (3) вероятность). Кроме вероятности осуществления, важен размер потенциального ущерба. Например, пожары бывают нечасто, но ущерб от каждого из них, как правило, велик. Тяжесть ущерба также можно оценить по трехбалльной шкале. Оценивая тяжесть ущерба, необходимо иметь в виду не только непосредственные расходы на замену оборудования или восстановление информации, но и более отдаленные, такие как подрыв репутации, ослабление позиций на рынке и т.п. Пусть, например, в результате дефектов в управлении доступом к бухгалтерской информации сотрудники получили возможность корректировать данные о собственной заработной плате. Следствием такого состояния дел может стать не только перерасход бюджетных или корпоративных средств, но и полное разложение коллектива, грозящее развалом организации. Уязвимости обладают свойством притягивать к себе не только злоумышленников. Не всякий устоит перед искушением немного увеличить свою зарплату, если есть уверенность, что это сойдет в рук. Поэтому, оценивая вероятность осуществления угроз, целесообразно исходить не только из среднестатистических данных, но учитывать также специфику конкретных информационных систем. Если в подвале дома, занимаемого организацией, располагается сауна, а сам дом имеет деревянные перекрытия, то вероятность пожара, к сожалению, оказывается существенно выше средней. После того, как накоплены исходные данные и оценена степень неопределенности, можно переходить к обработке информации, то есть собственно к оценке рисков. Вполне допустимо применить такой простой метод, как умножение вероятности осуществления угрозы на предполагаемый ущерб. Если для вероятности и ущерба использовать трехбалльную шкалу, то возможных произведений будет шесть: 1, 2, 3, 4, 6 и 9. Первые два результата можно отнести к низкому риску, третий и четвертый — к среднему, два последних — к высокому, после чего появляется возможность снова привести их к трехбалльной шкале. По этой шкале и следует оценивать приемлемость рисков. Правда, граничные случаи, когда вычисленная величина совпала с приемлемой, целесообразно рассматривать более тщательно из-за приближенного характера результата. Если какие-либо риски оказались недопустимо высокими, необходимо их нейтрализовать, реализовав дополнительные защитные меры. Как правило, для ликвидации или нейтрализации уязвимости, сделавшей реальной опасную угрозу, существует несколько механизмов безопасности, отличающихся эффективностью и стоимостью. Например, если велика вероятность нелегального входа в систему, можно приказать пользователям выбирать длинные пароли (скажем, не менее восьми символов), задействовать программу генерации паролей или закупить интегрированную систему аутентификации на основе интеллектуальных карт. Если имеется вероятность умышленного повреждения сервера баз данных, что грозит серьезными последствиями, то можно врезать замок в дверь серверной комнаты или поставить около каждого сервера по охраннику.Выбор защитных мер и последующие этапы управления рисками
Оценивая стоимость защитных мер, приходится, разумеется, учитывать не только прямые расходы на закупку оборудования и/или программ, но и расходы на внедрение новинки и, в частности, на обучение и переподготовку персонала. Эту стоимость также можно выразить по трехбалльной шкале и затем сопоставить ее с разностью между вычисленным и приемлемым риском. Если по этому показателю новое средство оказывается экономически выгодным, его можно принять к дальнейшему рассмотрению (подходящих средств, вероятно, будет несколько). Однако, если средство окажется дорогим, его не следует сразу отбрасывать, памятуя о приближенности расчетов. Выбирая подходящий способ защиты, целесообразно учитывать возможность экранирования одним сервисом безопасности сразу нескольких прикладных сервисов. Так поступили в Массачусетском технологическом институте, защитив несколько тысяч компьютеров сервером аутентификации Kerberos. Важным обстоятельством является совместимость нового средства со сложившейся организационной и аппаратно-программной структурой, с традициями организации. Меры безопасности, как правило, носят недружественный характер, что может отрицательно сказаться на энтузиазме сотрудников. Порой сохранение духа открытости важнее минимизации материальных потерь. Впрочем, такого рода ориентиры должны быть расставлены в политике безопасности верхнего уровня. Можно представить ситуацию, когда для нейтрализации риска не существует эффективных и приемлемых по цене мер. Например, компания, базирующаяся в сейсмически опасной зоне, не всегда может позволить себе строительство защищенной штаб-квартиры. В таком случае приходится поднимать планку приемлемого риска и переносить центр тяжести на смягчение последствий и выработку планов восстановления после аварий, стихийных бедствий и иных происшествий. Продолжая пример с сейсмоопасностью, можно рекомендовать регулярное тиражирование данных в другой город и овладение средствами восстановления первичной базы данных. Как и всякую иную деятельность, реализацию и проверку новых регуляторов безопасности следует предварительно распланировать. В плане необходимо учесть наличие финансовых средств, сроки обучения персонала. Нужно составить план тестирования (автономного и комплексного), если речь идет о программно-техническом механизме защиты. Когда намеченные меры приняты, необходимо проверить их действенность, то есть убедиться в том, что остаточные риски стали приемлемыми. Если это на самом деле так, значит, все в порядке и можно спокойно намечать дату ближайшей переоценки. В противном случае придется проанализировать в срочном порядке ошибки, которые были допущены, и провести повторный сеанс управления рисками.Ключевые роли в процессе управления рисками
Управление рисками — деятельность административного уровня информационной безопасности. Ключевые роли в этой деятельности принадлежат следующим должностным лицам. Руководитель организации. Он несет общую ответственность за выполнение организацией возложенной на нее миссии. Он должен обеспечить, чтобы ресурсы, необходимые для выполнения миссии, были выделены и эффективно применялись. При принятии решений о выделении ресурсов руководитель должен опираться на результаты анализа рисков. Разработка и проведение в жизнь эффективной программы управления рисками, связанными с информационными технологиями, включающей их (рисков) оценку и нейтрализацию, требует поддержки высшего руководства организации. Начальник управления (отдела) информатизации. Он отвечает за планирование, выделение средств и функционирование информационных систем организации, включая аспекты, относящиеся к информационной безопасности. Принимаемые им решения должны основываться на результатах эффективной программы управления рисками. Владельцы систем и информации. Они отвечают за то, чтобы для защиты принадлежащих им информационных систем и данных применялись соответствующие регуляторы безопасности. Они ответственны и за изменения, вносимые в системы. Решения по планированию и санкционированию реализации контрмер и внесения изменений в ИС должны основываться на результатах эффективной программы управления рисками. Руководители производственных отделов и отдела закупок. От них зависит экономическая эффективность процесса управления рисками, экономичность и эффективность расходования ресурсов. Начальник отдела (управления) информационной безопасности. Он отвечает за все программы безопасности в организации, включая программу управления рисками. Он должен предложить и проводить в жизнь эффективную, структурированную методологию, помогающую идентифицировать, оценить и нейтрализовать риски, связанные с информационными технологиями. Он отчитывается перед высшим руководством организации за выполнение программы управления рисками. Администраторы безопасности, системные и сетевые администраторы. Они отвечают за должную реализацию требований и регуляторов безопасности в подведомственных им информационных системах. При изменении систем и их окружения (появлении дополнительных сетевых соединений, изменении инфраструктуры, применении новых технологий и т.п.) они должны поддержать или применить процесс управления рисками, чтобы выявить и оценить новые потенциальные риски и реализовать необходимые контрмеры для поддержания информационной безопасности систем на требуемом уровне. Специалисты по обучению персонала. Сотрудники организации являются пользователями ее информационной системы. Использование систем и данных в соответствии с политикой безопасности и правилами добропорядочного поведения критически важно для нейтрализации рисков и защиты ресурсов организации. Для минимизации рисков необходимо обеспечить информирование и обучение персонала по вопросам информационной безопасности. Следовательно, специалисты по обучению персонала должны понимать процесс управления рисками, чтобы разрабатывать соответствующие учебные материалы и проводить учебные курсы.Детальное рассмотрение процесса оценки рисков
Процесс оценки рисков можно подразделить на девять основных этапов:- определение характеристик информационной системы;
- идентификация уязвимостей;
- идентификация угроз;
- анализ регуляторов безопасности;
- определение вероятностей;
- анализ воздействий;
- определение рисков;
- рекомендуемые контрмеры;
- результирующая документация.
Опишем выделенные этапы более детально.
Определение характеристик информационной системы
Первым шагом в процессе оценки рисков является определение объекта оценки, то есть границ анализируемой информационной системы, а также ресурсов и информации, образующих ИС. О системе необходимо собрать следующую информацию:- архитектура ИС;
- используемое аппаратное обеспечение;
- используемое программное обеспечение;
- системные интерфейсы (внутренняя и внешняя связность);
- топология сети;
- присутствующие в системе данные и информация;
- поддерживающий персонал и пользователи;
- миссия системы (то есть процессы, выполняемые ИС);
- критичность системы и данных;
- чувствительность (то есть требуемый уровень защищенности) системы и данных.
- функциональные требования к ИС;
- политики безопасности, положения которых затрагивают ИС;
- меры защиты доступности, конфиденциальности и целостности хранимых данных;
- потоки данных, принадлежащих системе, входные и выходные данные;
- существующие программно-технические регуляторы безопасности (то есть встроенные или дополнительные защитные средства, поддерживающие идентификацию и аутентификацию, управление доступом, протоколирование и аудит, защиту остаточной информации, криптографические функции и т.д.);
- существующие регуляторы безопасности административного уровня (политика и программы безопасности, меры планирования безопасности, правила поведения и т.п.);
- существующие регуляторы безопасности процедурного уровня (кадровая безопасность, процедуры управления пользователями, управление разделением обязанностей пользователей, обеспечение бесперебойной работы, резервное копирование, хранение данных вне производственных площадей, восстановление после аварий, сопровождение системы);
- меры физической защиты ИС (физическая защита производственных площадей, контроль доступа в центр обработки данных и т.п.);
- защита ИС от угроз со стороны окружающей среды (средства контроля температуры, влажности, загрязнения, электропитание, водоснабжение и т.д.).
Идентификация уязвимостей
Напомним определение: уязвимость — это дефект или слабое место в системных защитных процедурах, проекте, реализации или внутренних регуляторах безопасности, которые могут проявиться (будучи случайно активизированы или умышленно проэксплуатированы) и привести к нарушению безопасности или отступлению от политики безопасности. Анализ угроз ИС включает анализ уязвимостей информационной системы и ее окружения. Цель данного шага — получить список рассматриваемых уязвимостей. Для достижения поставленной цели рекомендуется использовать источники информации об уязвимостях, проводить тестирование защищенности ИС, применять контрольные перечни с требованиями безопасности. Типы рассматриваемых уязвимостей и методы их выявления зависят от специфики информационной системы и этапа жизненного цикла, на котором она находится. На стадии проектирования ИС основное внимание уделяется требованиям безопасности, политике безопасности организации, планируемым процедурам, анализу доступных защитных средств. На этапе реализации привлекается дополнительная, конкретная информация, например, предусмотренные проектом средства безопасности, результаты анализа проекта и т.д. На этапе эксплуатации производится анализ имеющихся защитных средств, регуляторов безопасности, программно-технических и организационных. Технические и организационные уязвимости могут быть выявлены посредством применения методов сбора информации о характеристиках информационной системы. Предварительно проведенный обзор источников информации об уязвимостях, таких как сайты производителей и групп реагирования, помогает подготовить вопросники и контрольные перечни, целенаправленно проводить интервью. Тестирование является проактивным средством безопасности. Тестовый инструментарий включает:- автоматические средства сканирования;
- средства тестирования и оценки;
- тестирование проникновением.
Идентификация угроз
К идентификации угроз можно подходить двояко, отправляясь либо от уязвимостей ИС, либо от возможных источников угроз. Уязвимости рассматривались выше, сосредоточимся теперь на источниках угроз, которые можно подразделить на природные, людские и принадлежащие окружению ИС. К числу природных угроз принадлежат наводнения, землетрясения, ураганы, обвалы, лавины, грозы и другие стихийные бедствия. От людей могут исходить случайные и умышленные действия. К числу первых принадлежат ошибки и упущения, к числу вторых — сетевые атаки, внедрение вредоносного программного обеспечения, несанкционированный доступ и т.п. В роли внешних злоумышленников могут выступать хакеры, преступники, террористы и шпионы. У каждой из выделенных категорий свой уровень мотивации (нарастающий от хакеров к шпионам) и вооруженности ресурсами. Внутренними злоумышленниками могут быть как плохо подготовленные, так и обиженные или уволенные сотрудники. Внешний злоумышленник может стать внутренним, если ему удастся взломать систему и начать действовать от имени легального пользователя. От окружения ИС могут исходить угрозы долговременного отключения электропитания, загрязнение окружающей среды, разного рода утечки и протечки и т.п. Как показывает опыт, возможны и более серьезные происшествия — обрушение зданий, взрыв газа и т.п. С практической точки зрения угроз и их источников бесконечного много, однако, с другой стороны, весьма важна полнота их идентификации, так как неожиданные угрозы наносят особенно крупный ущерб. Например, информационной системе, расположенной в пустыне, не грозит природное наводнение, однако разрыв водопроводной трубы может привести к затоплению ИС, так что угроза затопления должна входить в число рассматриваемых.Анализ регуляторов безопасности
Основная цель анализа регуляторов безопасности — определить, удовлетворяют ли существующие и планируемые контрмеры предъявляемым к ИС требованиям безопасности. Попутно определяются вероятности реализации идентифицированных угроз с учетом нейтрализующего действия регуляторов безопасности.Определение вероятностей
При определении вероятности того, что потенциальная уязвимость может быть использована в конкретном окружении, необходимо рассмотреть следующие факторы:- мотивация и вооруженность ресурсами источника угрозы;
- природа уязвимости;
- наличие и эффективность контрмер.
Анализ воздействия
Предварительным условием проведения анализа воздействия является получение следующих сведений:- миссия информационной системы организации (то есть процессы, выполняемые ИС);
- критичность систем и данных (то есть ценность и важность систем и данных для организации);
- чувствительность систем и данных.
Определение рисков
Для определения рисков можно, оставаясь в рамках трехбалльной шкалы, выбрать для вероятностей реализации угроз значения 0.1, 0.5 и 1.0, а для уровней воздействия — 10, 50 и 100. Тогда, если произведение вероятности на воздействие не превосходит 10, риск можно считать низким. Значения от 10 до 50 соответствуют умеренному риску, свыше 50 — высокому. Высокий риск требует незамедлительного планирования и реализации корректирующих действий. Если по какой-либо причине планирование или реализация затягиваются, может ставиться вопрос о приостановке работы ИС или ее частей. Умеренный риск также требует планирования и реализации корректирующих действий за разумный период времени. При низком риске следует решить, нужны ли какие-то корректирующие действия, или можно принять риск.Рекомендуемые контрмеры
Назначение рекомендуемых контрмер заключается в том, чтобы нейтрализовать (в достаточной степени уменьшить или устранить) идентифицированные риски. При планировании дополнительных регуляторов безопасности обязательно следует учитывать следующие факторы:- совместимость с существующим аппаратно-программным обеспечением;
- соответствие действующему законодательству;
- соответствие практике организации, ее политике безопасности;
- воздействие на эксплуатационное окружение;
- безопасность и надежность.
Результирующая документация
Отчет с результатами оценки рисков помогает руководству организации, владельцам информационных систем принимать обоснованные решения по изменению политики, процедур и регуляторов безопасности, по корректировке бюджета и т.п. В отличие от результатов работы аудиторов, которые заботятся, прежде всего, о выявлении недостатков, отчет об оценке рисков не должен носить обвинительного характера. Нужен систематический, аналитический подход, чтобы высшее руководство осознало имеющиеся риски и выделило на их нейтрализацию необходимые ресурсы.Нейтрализация рисков
Нейтрализация рисков — вторая фаза процесса управления рисками — включает определение приоритетов, оценку и реализацию контрмер, уменьшающих риски и рекомендованных по результатам оценки рисков. Поскольку полное устранение рисков невозможно и/или бессмысленно, руководство организации должно следовать принципу минимальной достаточности, реализуя только необходимые, наиболее подходящие регуляторы безопасности с целью уменьшения рисков до приемлемого уровня с минимальным негативным воздействием на бюджет, ресурсы и миссию организации. В процессе управления рисками могут использоваться различные возможности:- принятие риска;
- уклонение от риска (ликвидация причин и/или последствий риска, например, путем добавления регуляторов безопасности, устранения небезопасных функций ИС, приостановки работы ИС в небезопасных ситуациях и т.п.);
- ограничение (нейтрализация) риска (например, путем реализации контрмер, уменьшающих воздействие угроз);
- переадресация риска (например, путем приобретения страхового полиса).
- при выявлении дефекта или слабого места целесообразно применить меры, повышающие доверие безопасности ИС, чтобы устранить обнаруженные уязвимости и уменьшить вероятность появления новых;
- при выявлении уязвимости, допускающей использование, целесообразно применить эшелонированную оборону, другие принципы архитектурной безопасности или нетехнические контрмеры, чтобы затруднить или воспрепятствовать использованию уязвимости;
- в ситуациях, когда затраты атакующего меньше потенциальной выгоды от атаки, целесообразно принять меры для уменьшения мотивации источника угрозы путем увеличения стоимости или уменьшения выгоды от атаки (например, может быть применен административный регулятор безопасности, ограничивающий типы данных, подлежащих обработке информационной системой организации, после чего выгода от атаки на ИС должна существенно уменьшиться);
- в ситуациях, когда ущерб слишком велик, целесообразно применить принципы проектирования и архитектурной безопасности, а также технические и организационные контрмеры, чтобы уменьшить возможный масштаб атак и, следовательно, снизить потенциальный ущерб от них (и здесь административный регулятор безопасности, ограничивающий типы данных, подлежащих обработке информационной системой организации, может оказаться самым эффективным способом управления рисками).
- Шаг 1 — ранжирование действий. При выделении ресурсов высший приоритет должен отдаваться неприемлемо высоким рискам, требующим немедленных корректирующих действий. Результат шага 1 — упорядоченный по убыванию приоритетов перечень действий.
- Шаг 2 — оценка возможных способов реализации рекомендованных контрмер. Цель состоит в том, чтобы выбрать наиболее подходящие контрмеры, минимизирующие риски. Результат шага 2 — список пригодных регуляторов безопасности.
- Шаг 3 — оценка экономической эффективности, выбор наиболее практичных контрмер. Результат шага 3 — отчет об экономическом анализе, описывающий затраты и выгоды от реализации контрмер или от отсутствия таковой.
- Шаг 4 — выбор контрмер. По результатам технического и экономического анализа руководство организации выбирает оптимальный способ нейтрализации рисков. Результат шага 4 — список выбранных регуляторов безопасности.
- Шаг 5 — распределение обязанностей. Выбираются должностные лица, обладающие достаточной квалификацией для реализации выбранных контрмер. На этих сотрудников возлагаются обязанности по реализации регуляторов безопасности. Результат шага 5 — список ответственных и их обязанностей.
- Шаг 6 — разработка плана реализации контрмер. План должен содержать по крайней мере следующие сведения:
- риски (пары уязвимость/угроза) и их уровни, полученные в результате оценки рисков;
- рекомендованные регуляторы безопасности;
- действия, упорядоченные по приоритетам (высший приоритет получают действия, направленные на нейтрализацию самых высоких рисков);
- регуляторы безопасности, выбранные из числа рекомендованных;
- ресурсы, необходимые для реализации выбранных регуляторов безопасности;
- список ответственных за реализацию выбранных контрмер;
- календарный план реализации контрмер;
- требования к сопровождению. Результат шага 6 — план реализации контрмер.
- Шаг 7 — реализация выбранных контрмер. Результат шага 7 — остаточные риски.
- затраты на приобретение аппаратного и программного обеспечения;
- снижение эксплуатационной эффективности ИС, если производительность или функциональность системы падает в результате усиления мер безопасности;
- затраты на разработку и реализацию дополнительных политик и процедур;
- дополнительные затраты на персонал, вовлеченный в реализацию предложенных регуляторов безопасности;
- затраты на обучение персонала;
- затраты на сопровождение;
Возможный формат отчета об оценке рисков
Отчет об оценке рисков может иметь следующий формат.- Краткое содержание.
- Введение.
- Цель.
- Область охвата оценки рисков. Описываются компоненты информационной системы, ее пользователи, расположение удаленных производственных площадок (при наличии таковых) и т.п.
- Подход к оценке рисков. Кратко описывается выбранный подход к оценке рисков, в том числе:
- состав группы, оценивающей риски;
- методы сбора информации (вопросники, инструментальные средства и т.п.);
- описание применяемой шкалы рисков.
- Характеристика системы. Описывается система, включая аппаратуру (серверы, активное сетевое оборудование и т.д.), программное обеспечение (приложения, базовое ПО, протоколы), системные интерфейсы (коммуникационные каналы), данные, пользователи. Приводится диаграмма связности, входные и выходные потоки данных.
- Перечень уязвимостей. Составляется список потенциальных уязвимостей, возможно, присутствующих в оцениваемой системе.
- Перечень источников угроз. Составляется список потенциальных источников угроз, актуальных для оцениваемой системы.
- Результаты оценки рисков. Приводится перечень выявленных рисков (пар уязвимость/угроза). Каждый элемент данного перечня должен включать:
- номер и краткое описание (например: 1. Пользовательские пароли могут быть угаданы или подобраны);
- обсуждение пары уязвимость/угроза;
- набор существующих регуляторов безопасности, уменьшающих риск;
- обсуждение вероятности реализации угрозы и ее оценка (высокая, умеренная, низкая);
- анализ воздействия, его оценка (высокое, умеренное, низкое);
- оценка (рейтинг) рисков (высокий, умеренный, низкий);
- рекомендуемые регуляторы безопасности или иные способы снижения рисков.
- Выводы. Приводится сводка рисков и их уровней, рекомендации и комментарии, разъясняющие реализацию рекомендованных контрмер в процессе нейтрализации рисков.
Возможный формат плана реализации контрмер
План реализации контрмер можно оформить в виде таблицы (см. Таб. 1). Таблица 1. Возможный формат сводной таблицы плана реализации контрмер.| Угроза (пара уязвимость/угроза) | Неавторизованные пользователи могут зайти на сервер X по протоколу telnet под именем guest и просмотреть файлы организации |
| Уровень риска | Высокий |
| Рекомендованные контрмеры | Запретить входящие соединения по протоколу telnet. Запретить доступ "прочих" пользователей к чувствительным файлам организации Отключить счет guest или присвоить ему трудный для подбора пароль |
| Приоритет действия | Высокий |
| Выбранные планируемые контрмеры | Запретить входящие соединения по протоколу telnet. Запретить доступ "прочих" пользователей к чувствительным файлам организации Отключить счет guest |
| Требуемые ресурсы | 10 часов на реконфигурирование и тестирование системы |
| Ответственные | С. Иванов, администратор сервера X. А. Петров, администратор межсетевых экранов |
| Даты начала и завершения работ | 01/09/2006 — 02/09/2006 |
| Сопровождение: требования/ комментарии | Периодически пересматривать и тестировать защищенность сервера X |
Возможные трактовки и способы вычисления рисков
Риски и управление ими исследуются в нескольких предметных областях, таких как страхование, экономика, управление, медицина, исследование операций, инженерия, и рассматриваются с разных точек зрения. В простейшем случае риск приравнивается к возможному негативному событию и определяется как "событие, представляющее материальную угрозу чьему-либо состоянию". Иными словами, риски приравниваются к возможным нежелательным событиям (или к возможному снижению полезности). В контексте управления рисками под "чьим-либо состоянием" понимается благополучие организации. С этой точки зрения управлять рисками можно, применяя страхование и получая компенсацию, если негативное событие произойдет. Другой возможный подход — планирование бесперебойной работы, позволяющее продолжить функционирование после нежелательных событий. В некоторых предметных областях, таких как медицина, акцент делается на вероятности негативных событий, а не на их последствиях, поскольку последние зачастую являются необратимыми, фатальными (например, смерть пациента в результате инфаркта) и заострять внимание на них нет смысла. Определяются факторы, влияющие на вероятности (наследственность, вредные привычки и т.п.), а риск трактуется как "вероятность опасного неблагоприятного исхода". Данный подход применяется при страховании жизни, где для получения оценок вероятностей используются таблицы смертности, а "приемлемый риск" относится к людям с низкой вероятностью умереть в течение страхового периода (и, соответственно, с низкой вероятностью выплаты компенсации страховой компанией). Финансисты считают риском вариацию распределения исходов, а мерой риска — диапазон колебаний. Риск определяется как непостоянство стоимости портфеля ценных бумаг, а управление рисками означает решение минимаксной задачи — выбор между риском и доходами. Портфель ценных бумаг пытаются комплектовать так, чтобы обеспечить наивысшие ожидаемые доходы при заданном уровне рисков и наименьший уровень рисков для заданного ожидаемого дохода. При страховании от несчастных случаев (в частности, при страховании автомобилей) риск трактуется как ожидаемые потери и определяется как произведение возможного ущерба на его вероятность. И ожидаемый ущерб, и его вероятность могут меняться в широких пределах (от незначительного до полной утраты автомобиля, от очень небольшой для аккуратных водителей до заметной для лихачей). При проведении анализа рисков важно различать риски экзогенные и эндогенные. Первые не поддаются управлению, они не зависят от чьих-либо действий. Примером могут служить землетрясения. Можно в какой-то степени влиять на размер ущерба, строя здания по определенным стандартам, но предотвратить землетрясение пока невозможно. Эндогенные риски зависят от действий людей. Многие риски, например, риск автомобильной аварии, являются смешанными. Водитель не может влиять на поведение других участников движения, но от его собственного поведения, его манеры езды (и от выбора автомобиля) зависит многое, в том числе ущерб от аварии, если таковая произойдет. Чтобы стимулировать поведение водителей, минимизирующее эндогенные риски, в страховой сумме предусматривают удерживаемую составляющую. Будучи ответственным за часть ущерба, водитель должен действовать с осторожностью. Инструментальные средства управления рисками реализуются с учетом различия между экзогенными и эндогенными рисками. Например, финансисты считают неопределенность экзогенным риском и для управления рисками применяют такие методы, как диверсификация, страхование и распределение активов. Нет возможности непосредственно повлиять на вероятности событий. В медицине и инженерии часть рисков всегда являются эндогенными, поддающимися уменьшению. Пациентов информируют о том, на что они могут вилять, им рекомендуют здоровый образ жизни и специальные диеты. Работников знакомят с правилами техники безопасности, принимают меры по снижению аварийности и травматизма. В информационных технологиях принят по сути тот же взгляд на риски, что и при страховании от несчастных случаев. Суммарный риск определяется как математическое ожидание ущерба, то есть как сумма произведений вероятностей каждого из негативных событий на величины потерь от них: R = Сумма (по i) {P (Ui) * L (Ui)} Несмотря на кажущуюся простоту и очевидность, приведенная формула не подчиняется обычным арифметическим законам, поэтому желательно рассматривать не только итоговую величину риска, но и ее составляющие. Причин тому несколько. Оценка рисков действует на протяжении определенного периода. Чтобы иметь основания применять аппарат теории вероятностей, этот период должен быть достаточно большим (три-пять лет). Если вероятность события (например, пожара) мала, рассматриваемый период следует еще увеличить. Но за это время ИС существенно изменится и старые оценки потеряют смысл. Следовательно, при оценке рисков событиями с вероятностью меньше определенного порогового значения можно пренебречь, несмотря на то, что потенциальный ущерб от них может быть велик. Отметим, что это противоречит традиционной практике, когда руководители склонны уделять чрезмерное внимание рискам с большим ущербом и малой вероятностью. На самом деле, на первом плане должны быть риски с умеренным ущербом, но высокой вероятностью (например, атаки вредоносного программного обеспечения), многократно реализующиеся в течение рассматриваемого периода. Вероятность негативного события нет возможности оценить сколько-нибудь точно. Для этого нет ни теоретических предпосылок, ни накопленного статистического базиса. Нет возможности и для обоснованной оценки влияния контрмер на вероятности; можно воздействовать на факторы, от которых вероятности зависят, но количественный эффект воздействий предсказать нельзя. Наконец, негативные события могут не быть независимыми. Одно из них может исключать другое (например, пожар и затопление) или, напротив, вызывать каскадный эффект, как это бывает при перегрузке критически важных компонентов. В силу приведенных здесь соображений целесообразно трактовать риски не как числовые значения, а как точки на плоскости, где координатными осями служат вероятности и потери (см. Рис. 2). Линиями уровня для функции риска служат гиперболы. Рисунок 2. Представление рисков в виде точек на координатной плоскости.
Риск события U1 относится к числу обычно переоцениваемых руководителями; на практике, в силу низкой вероятности, большей частью подобных рисков целесообразно пренебречь. Управлению рисками соответствует перемещение точек по плоскости. Обычно стремятся приблизиться к началу координат вдоль одной оси, не меняя значения другой координаты. Впрочем, если удастся уменьшить сразу обе координаты, это будет еще лучше. Обоснованное управление рисками возможно только в сравнительно узких областях, когда известны возможные негативные события, когда число их относительно невелико (обозримо, в пределах нескольких десятков) и когда существуют реалистичные оценки вероятностей и потерь. В других случаях экономическая целесообразность нейтрализации рисков может оцениваться только интуитивно. Правда, нейтрализация многих рисков требуется действующим законодательством (например, обеспечение противопожарной безопасности), поэтому соответствующие контрмеры можно считать обязательными. Одной из областей, важных с практической точки зрения и хорошо проработанных в плане управления рисками, является аутсорсинг по управлению информационной системой (в частности, контроль ее информационной безопасности). Здесь выделены восемь угроз: - Непредвиденно высокие затраты на переход на новую дисциплину управления ИС. "Уязвимостями" (то есть факторами, способствующими негативному событию) являются отсутствие у организации опыта аутсорсинга, неопределенность в законодательстве.
- Затраты на переход на обслуживание другой организацией (включая попадание в заложники обслуживающей организации, возврат к исходному состоянию и переход на обслуживание новой организацией). Уязвимости: специфичность ИС, узкий выбор обслуживающих организаций, размеры и сложность ИС, взаимосвязь разных видов деятельности.
- Дорогостоящие поправки к контракту. Уязвимости: неопределенность, технологический разрыв, сложность задачи.
- Споры и тяжбы с обслуживающей организацией. Уязвимости: проблемы измеримости, недостаток опыта (у одной или обеих сторон) по заключению контрактов на аутсорсинг, неопределенность законодательства, недостаток культуры.
- Снижение качества обслуживания. Уязвимости: взаимосвязь разных видов деятельности, недостаток опыта, слишком большой размер и/или финансовая нестабильность обслуживающей организации, проблемы измеримости.
- Превышение затрат. Уязвимости: недостаток опыта по управлению контрактом на аутсорсинг, проблемы измеримости, недостаток опыта у поставщика услуг.
- Потеря компетенции. Уязвимости: размеры и сложность ИС, близость к основной деятельности организации, взаимосвязь разных видов деятельности.
- Скрытые затраты на обслуживание. Уязвимости: сложность разных видов деятельности, проблемы измеримости.
| Номер риска | Вероятности: | Потери: | ||
| = | до | после | до | после |
| 1 | 1 | 1 | 1 | 1 |
| 2 | 1 | 1 | 4 | 1 |
| 3 | 1 | 1 | 2 | 2 |
| 4 | 1 | 1 | 3 | 3 |
| 5 | 1 | 1 | 5 | 3 |
| 6 | 1 | 1 | 4 | 1 |
| 7 | 4 | 2 | 1 | 1 |
| 8 | 1 | 1 | 1 | 1 |
Из таблицы и рисунка видно, что удалось снизить три риска с номерами (2), (5) и (6), причем в первых двух случаях уменьшались только возможные потери, а в последнем — и вероятность, и потери. Отметим, что единственным серьезным был риск номер (6), хотя руководители в первую очередь обращали внимание на риски (2) и (5), игнорируя их относительно небольшую вероятность. Чтобы не стать заложником внешней организации (управление риском (2)), страховая компания разбила проект на этапы и заключала отдельный контракт для каждого из них. Тем самым каждый контракт имел обозримый срок, а его результаты могли реально контролироваться. Если работа внешней организации оказалась бы неудовлетворительной, отношения с ней могли быть оперативно прекращены. Со снижением качества обслуживания (риск (5)) страховая компания боролась, предусмотрев в контракте систему штрафов (в пять раз превышающих общую стоимость контракта). Для противодействия превышению затрат, страховая компания заранее оговорила гарантированную плату и методику измерения дополнительных расходов с учетом особенностей отдельных компонентов ИС. Тем самым понижалась и вероятность, и воздействие риска. Представление рисков в виде точек на плоскости является удачным с психологической точки зрения, поскольку оно разделяет два разных аспекта риска — вероятность и воздействие, и наглядно показывает, с чем в первую очередь нужно бороться и насколько это удалось. Можно воспользоваться еще одним представлением рисков — в виде деревьев уязвимостей, угроз и контрмер (см. Рис. 4). Здесь Vi — уязвимости, Ti,j — угрозы, эксплуатирующие уязвимости, Ci,j — контрмера, нейтрализующая угрозу i,j, Li,j — недостаток контрмер для угрозы i,j. Рисунок 4. Представление рисков в виде дерева уязвимостей, угроз и контрмер. 
Значение для Vi, Ti,j, Li,j и Ci,j целесообразно нормировать, так чтобы суммы по i Vi и Ti,j равнялись 1, а также Li,j + Ci,j = 1. Кроме вероятностных параметров, в оценке рисков участвуют константы — критичность активов (CA) и их стоимость (CC). Общая ожидаемая сумма потерь выражается соотношением Общий остаточный риск * CA * CC Предположим, имеется домашний компьютер, по отношению к которому рассматриваются пять уязвимостей с вероятностями 0.2, 0.2, 0.1, 0.05 и 0.45. Первую из них могут использовать две угрозы с вероятностями 0.35 и 0.65, вторую — три (0.4, 0.2, 0.4), третью — две (0.3, 0.7), Четвертую — три (0.25, 0.25, 0.5), пятую — две (0.3, 0.7). Пусть, наконец, значения недостатков контрмер оцениваются как 0.3, 0.4, 0.4, 0.1, 0.25, 0.25, 0.15, 0.25, 0.4, 0.4, 0.2, 0.15. Тогда общий остаточный риск составит 0.239375. Если критичность компьютера оценена как 0.4, а стоимость — как 2500, то ожидаемая сумма потерь составляет 239.38. Можно предложить и другие формализмы для управления рисками. Предположим, имеется M пар (актив, угроза). Для каждой такой пары риск вычисляется по обычной формуле Rk = Pi * Ij Здесь k — номер пары, Pi — вероятность реализации угрозы по отношению к "парному" активу, Ij — воздействие реализации этой угрозы на актив, Rk — величина риска. Пусть, далее, риски считаются допустимыми, если для всех k Rk <= Ra, где Ra — порог допустимости. Избыточные риски, которые требуется нейтрализовать, можно выразить соотношениями вида: / Rk — Ra, если Rk > Ra rk = \ 0, если Rk <= Ra Пусть N — число положительных rk, то есть число пар (актив, угроза), риски которых нуждаются в нейтрализации. Отбросим нулевые избыточные риски и перенумеруем оставшиеся. Можно вычислить среднее значение избыточного риска rMean, воспользовавшись формулой rMean = ((сумма по k от 1 до N) rk) / N Значение rMean можно рассматривать не только как средний избыточный риск, но и как оценку безопасности информационной системы в целом. Эту оценку можно нормализовать, воспользовавшись формулой rMeanNrorm = rMean / (Rmax — Ra) где Rmax — максимальный из возможных рисков Rk, то есть произведение максимального из возможных значений Pi и Ij в выбранной шкале измерений. Значения rMeanNrorm, близкие к 0, характеризуют уровень информационной безопасности ИС как весьма высокий. Близкие к 1 значения, напротив, характерны для слабо защищенных информационных систем. При желании отрезок [0, 1] можно разбить на интервалы, выделив тем самым нужное число уровней безопасности. Кроме среднего арифметического, можно вычислить среднее квадратичное значение положительных избыточных рисков: sigma = кв.корень (((сумма по k от 1 до N) (rk*rk)) / N) Как и средний избыточный риск, среднее квадратичное значение можно нормализовать: sigmaNorm = sigma / (Rmax — Ra) Нормализованное среднее квадратичное значение, как и величину rMeanNrorm, можно напрямую использовать для оценки уровня информационной безопасности организации, если разбить отрезок [0, 1] на соответствующее число интервалов. Значения, близкие к 0, свидетельствуют о высоком уровне защищенности, близкие к 1 — о низком. Преимущество среднего квадратичного значения по сравнению со средним арифметическим в том, что первое более устойчиво к добавлению пар с небольшими избыточными рисками и более чувствительно к аномально высоким рискам. Рассмотрим пример. Пусть вероятности и воздействия оцениваются по шестибалльной шкале, от 0 до 5, а приемлемым считается риск, равный 8. Тогда Ra = 8, Rmax = 25 (5*5). Пусть, далее, имеются две организации. Для первой из них рассматриваются следующие пары (актив, угроза) и ассоциированные с ними характеристики (см. Таб. 3). Таблица 3. Таблица рисков для первой организации. | Актив / угроза | Уровень вероятности | Уровень воздействия | Риск | Избыточный риск |
| Отдел кадров / вирусы | 3 | 5 | 15 | 7 |
| Отдел кадров / физический доступ сотрудников | 2 | 5 | 10 | 2 |
| Отдел кадров / физический доступ внешних лиц | 5 | 5 | 25 | 17 |
| Бухгалтерская система / шпионское ПО | 2 | 5 | 10 | 2 |
| Бухгалтерская система / поломка | 1 | 1 | 1 | 0 |
| Актив / угроза | Уровень вероятности | Уровень воздействия | Риск | Избыточный риск |
| Отдел кадров / вирусы | 3 | 5 | 15 | 7 |
| Отдел кадров / физический доступ сотрудников | 3 | 5 | 15 | 7 |
| Отдел кадров / физический доступ внешних лиц | 3 | 4 | 12 | 4 |
| Бухгалтерская система / шпионское ПО | 4 | 4 | 16 | 8 |
| Средние значения избыточных рисков | Организация 1 | Организация 2 |
| Среднее арифметическое | 7 | 6.5 |
| Нормализованное среднее арифметическое | 0.41 | 0.38 |
| Среднее квадратичное | 9.30 | 6.67 |
| Нормализованное среднее квадратичное | 0.55 | 0.39 |
- формирование анализируемой конфигурации системы;
- формирование количественной модели рисков для анализируемой конфигурации системы;
- формирование и ранжирование требований безопасности для анализируемой конфигурации системы;
- идентификация уязвимостей;
Скачать реферат
Перейти на страницу номер:
1 2
1 2