Анализ Рисков

определения угроз, уязвимостей, возможного ущерба, а также контрмер;
Оценка рисков –

идентификация рисков, выбор параметров для их описания и получения оценок по этим параметрам;
Управление рисками – процесс определения контрмер в соответствии с оценкой рисков;

угроз безопасности обрабатываемой в ней информации. Условием реализации угрозы безопасности обрабатываемой

в системе информации может быть недостаток или слабое место в информационной системе. Если уязвимость соответствует угрозе, то существует риск.

информационной безопасности для каждого ресурса или группы ресурсов. Обычно исходят

из того, что уровень риска зависит от вероятности реализации определенной угрозы в отношении определенного объекта, а также от величины возможного ущерба.

по выбору методики (например, ГОСТ Р ИСО/МЭК 13335-3-2007) или просто

вариант методики (например, «Рекомендации в области стандартизации Банка России» РС БР ИББС-2.2, «Методика оценки рисков нарушения ИБ»).

возможных источников угроз безопасности информации; - основных классов уязвимостей информационных систем; -

возможных видов неправомерных действий и деструктивных воздействий на информацию; - основных способов реализации угроз безопасности информации и неправомерных действий.

1)анализ информационных ресурсов;
2)разработка модели нарушителя;
3)разработка модели угроз;
4)выявление уязвимостей;
5)анализ имеющихся мер

и средств защиты;
6)оценка рисков.

1 и 2 приведены примеры качественных шкал оценки рисков информационной

безопасности, в которых для оценки уровней ущерба и вероятности атаки используется пять понятийных уровней.

таблицы, в которых в первом столбце задаются понятийные уровни ущерба,

а в первой строке – уровни вероятности атаки. Ячейки же таблицы, расположенные на пересечении первой строки и столбца, содержат уровень риска безопасности. Размерность таблицы зависит от количества концептуальных уровней вероятности атаки и ущерба. Пример таблицы, на основе которой можно определить уровень риска, приведён ниже

два года подобных случаев не зафиксировано;
средний (С) - угроза может

реализоваться в течение одного года с вероятностью около 0,3;
высокий (В) - угроза, скорее всего, реализуется в течение года и, возможно, не один раз.
Шкала уязвимостей:
низкий (Н) - защищенность системы очень высока, реализация угроз почти никогда не приводит к происшествию;
средний (С) - защищенность системы средняя, реализация около 30% угроз приводит к происшествию;
высокий (В) - защищенность системы низкая, реализация угрозы практически всегда приводит к происшествию.

методики, по которой проводилась оценка рисков;
описание модели угроз информационной

безопасности;
результаты оценки рисков безопасности;
рекомендации по минимизации недопустимых рисков безопасности.

В простейшем случае используется оценка двух факторов: вероятность происшествия и

тяжесть возможных последствий.
Риск = Рпроисшествия * Цена потери.
Если переменные являются количественными величинами, то риск – это оценка математического ожидания потерь. Если переменные являются качественными величинами, то метрическая операция умножения не определена.

более высокие требования, чем базовый уровень, использует­ся модель оценки риска

с тремя факторами: угроза, уязвимость, цена потери;
Вероятность происшествия, которая в данном подходе может быть объективной либо субъективной величиной, зависит от уровней (вероятностей) угроз и уязвимостей:
Pпроисшествия = Pугрозы * Pуязвимости
Соответственно риск определяется следующим образом:
Риск = Pугрозы * Pуязвимости * Цена потери
Данное выражение можно рассматривать как математическую формулу, если используются количественные шкалы, либо как формулировку общей идеи, если хотя бы одна из шкал качественная.

иного ущерба предприятию (организации). Проявления возможного ущерба могут быть самыми

различными:
моральный и материальный ущерб деловой репутации организации;
моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц;
материальный (финансовый) ущерб от разглашения защищаемой информации;
материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов;
материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной;
моральный и материальный ущерб от дезорганизации в работе всего предприятия.

рекомендации по выбору методики?
Какие виды анализа рисков существуют?