Анализ рисков. Сущность и основные понятия. Основные факторы риска и шкалы для их измерения. Двух и трехфакторный анализ рисков

И ОСНОВНЫЕ ПОНЯТИЯ. ОСНОВНЫЕ ФАКТОРЫ РИСКА И ШКАЛЫ ДЛЯ ИХ

ИЗМЕРЕНИЯ. ДВУХ И ТРЕХФАКТОРНЫЙ АНАЛИЗ РИСКОВ

нарушения целостности,
доступности, конфиденциальности
информации;
ОСНОВНЫЕ ПОНЯТИЯ
Уязвимость – слабость в системе защиты,

которая делает возможным реализацию угрозы;
Риск нарушения ИБ –
возможность реализации угрозы;

также контрмер;
Оценка рисков – идентификация рисков, выбор параметров для их

описания и получения оценок по этим параметрам;

Управление рисками – процесс определения контрмер в соответствии с оценкой рисков;
Класс рисков – множество угроз ИБ, выделенных по определенному признаку.

негативного
воздействия на бизнес;
Оценивание угроз;
Оценивание уязвимостей;
Оценивание существующих и предполагаемых средств

обеспечения информационной безопасности;
Оценивание рисков;
Выбор средств, обеспечивающих режим ИБ.

ПРОЦЕСС ОЦЕНИВАНИЯ РИСКОВ

способствует реализации риска, т.е. обстоятельства, способствующие реализации рисков.

ОСНОВНЫЕ ФАКТОРЫ РИСКА

является ли привлекательным для сторонних лиц и можно ли использовать

ресурс для получения дохода;
вероятности реализации угроз;
простоты использования уязвимости при возникновении угроз;
существующих или планируемых
к внедрению средств
обеспечения

ИБ, которые уменьшают уязвимости, сокращают вероятность возникновения угроз и негативных воздействий.

измерения физических
величин, например шкалы для
измерения объемов жидкости в

литрах,
шкалы для измерения длины в метрах.
В ряде случаев прямых шкал не существует, приходится использовать либо прямые шкалы других свойств, связанных с интересующими нас, либо определять новые шкалы. Шкала для измерения субъективного свойства «ценность информационного ресурса». Эта ценность может измеряться в единицах измерения производных шкал, таких как стоимость восстановления ресурса, время восстановления ресурса и др.

ШКАЛЫ ИЗМЕРЕНИЯ ФАКТОРОВ РИСКА

три значения:
малоценный информационный
ресурс: от него не зависят критически
важные

задачи и он может быть
восстановлен с небольшими затратами
времени и денег;
ресурс средней ценности: от него
зависит ряд важных задач, но в случае
утраты он может быть восстановлен
за время, не превышающее критически допустимое, но стоимость восстановления - высокая;
ценный ресурс: от него зависят критически важные задачи, в случае утраты время восстановления превышает критически допустимое либо стоимость чрезвычайно высока.

однозначно пониматься экспертами.
После выбора шкалы необходимо провести ее обкатку.

Риски можно оценивать по
объективным либо субъективным
критериям. Примером
объективного критерия является
вероятность выхода из строя
какого-либо оборудования,
например ПК, за определенный
промежуток времени. Пример
субъективного критерия - оценка
владельцем информационного
ресурса риска выхода из строя ПК.

или группы людей в том, что данное событие в действительности

будет иметь место (меры, полученные экспертным путем).

ОБЪЕКТИВНЫЕ И СУБЪЕКТИВНЫЕ ВЕРОЯТНОСТИ

появления какого-либо события в общем объеме наблюдений или отношение числа

благоприятных исходов к общему количеству наблюдений. Это понятие применяется при анализе результатов большого
числа наблюдений, имевших место
в прошлом, а также полученных
как следствия из моделей,
описывающих некоторые процессы.

= Рпроисшествия * Цена потери
Если переменные являются
количественными

величинами,
то риск – это оценка
математического ожидания
потерь. Если переменные
являются качественными
величинами, то метрическая
операция умножения не определена. Т.о. в явном виде эта формула использоваться не должна.

ОЦЕНКА РИСКОВ ПО ДВУМ ФАКТОРАМ

высокие требования, чем базовый
уровень, используется модель оценки риска
с тремя

факторами: угроза, уязвимость, цена
потери.
Вероятность происшествия, которая в данном
подходе может быть объективной либо
субъективной величиной, зависит от уровней (вероятностей) угроз и уязвимостей.

= Pугрозы * Pуязвимости
Соответственно риск определяется следующим образом:
Риск = Pугрозы

* Pуязвимости * Цена потери
Данное выражение можно рассматривать как математическую формулу, если используются количественные шкалы, либо как формулировку общей идеи, если хотя бы одна из шкал качественная.
 

рисков?
Какие шкалы измерения факторов риска Вы знаете?
Какие факторы учитываются при

двухфазном анализе риска?
Какие факторы учитываются при трехфазном анализе риска?

КОНТРОЛЬНЫЕ ВОПРОСЫ