Количественные методики управления рисками
Суть этих задач сводится к поиску единственного оптимального решения, из множества существующих. Например, необходимо ответить на следующие вопросы: «Как, оставаясь в рамках утвержденного годового (квартального) бюджета на информационную безопасность, достигнуть максимального уровня защищенности информационных активов компании?» или «Какой из альтернатив построения корпоративной защиты информации (защищенного WWW сайта или корпоративной
Одной из наиболее известных методик этого класса является методика CRAMM. В 1985 году Центральное Агентство по Компьютерам и Телекоммуникациям (CCTA) Великобритании начало исследования существующих методов управления информационной безопасностью для выдачи рекомендаций по их использованию в правительственных организациях, обрабатывающих конфиденциальную информацию. Ни один из рассмотренных методов не подошел. Поэтому сначала был создан метод, а затем одноименная методика CRAMM (анализа и контроля рисков), соответствующая требованиям CCTA. Затем появилось несколько версий методики, ориентированной на требования различных государственных и коммерческих организаций и структур. Одна из версий «коммерческого профиля» широко распространилась на рынке средств защиты информации. Основными целями методики CRAMM являются:
Управление рисками в методике СRAMM осуществляется в несколько этапов. Основные этапы управления рисками в CRAMM
На первом этапе инициации определяются границы исследуемой информационной системы компании, состав и структура ее основных информационных активов и транзакций. На этапе идентификации и оценки ресурсов четко идентифицируются активы, и определяется их стоимость. Расчет стоимости информационных активов однозначно позволяет определить необходимость и достаточность предлагаемых средств контроля и защиты. На этапе оценки угроз и уязвимостей идентифицируются и оцениваются угрозы и уязвимости информационных активов компании. Этап анализа рисков позволяет получить качественные и количественные оценки рисков. На этапе управления рисками предлагаются меры и средства уменьшения или уклонения от риска. Для наглядности возможности CRAMM предлагаем рассмотреть следующий пример. Пусть проводится оценка информационных рисков следующей корпоративной информационной системы. Схема анализируемой информационной системы
В этой схеме условно выделим следующие элементы системы:
Функционирование системы осуществляется следующим образом. Данные, введенные с рабочих мест пользователей и поступившие на почтовый сервер, направляются на сервер корпоративной обработки данных. Затем данные поступают на рабочие места группы оперативного реагирования и там принимаются соответствующие решения. Теперь необходимо провести анализ рисков с помощью методики CRAMM и предложить некоторые средства контроля и управления рисками, адекватные целям и задачам бизнеса компании. Определение границ исследования. Этап начинается с решения задачи определения границ исследуемой системы. Для этого собирается следующая информация: ответственные за физические и программные ресурсы; кто является пользователем и как пользователи используют или будут использовать систему; конфигурация системы. Первичная информация собирается в процессе бесед с менеджерами проектов, менеджером пользователей или другими сотрудниками. Идентификация ресурсов и построение модели системы с точки зрения ИБ. Проводится идентификация ресурсов: материальных, программных и информационных, содержащихся внутри границ системы. Каждый ресурс необходимо отнести к одному из предопределенных классов. Классификация физических ресурсов приводится в приложении. Затем строится модель информационной системы с точки зрения ИБ. Для каждого информационного процесса, имеющего самостоятельное значение с точки зрения пользователя и называемого пользовательским сервисом ( Идентификация физических ресурсов
Ценность ресурсов. Методика позволяет определить ценность ресурсов. Этот шаг является обязательным в полном варианте анализа рисков. Ценность физических ресурсов в данном методе определяется ценой их восстановления в случае разрушения. Ценность данных и программного обеспечения определяется в следующих ситуациях:
Построение модели информационной системы с точки зрения безопасности
Для оценки возможного ущерба предлагается использовать следующие критерии:
Приведенная совокупность критериев используется в коммерческом варианте метода (профиль Standard). В других версиях совокупность будет иной, например, в версии, используемой в правительственных учреждениях, добавляются параметры, отражающие такие области, как национальная безопасность и международные отношения. Для данных и программного обеспечения выбираются применимые к данной ИС критерии, дается оценка ущерба по шкале со значениями от 1 до 10. К примеру, если данные содержат подробности коммерческой конфиденциальной (критичной) информации, эксперт, проводящий исследование, задает вопрос: как может повлиять на организацию несанкционированный доступ посторонних лиц к этой информации? Возможен такой ответ: провал сразу по нескольким параметрам из перечисленных выше, причем каждый аспект следовало бы рассмотреть подробнее и присвоить самую высокую из возможных оценок. Затем разрабатываются шкалы для выбранной системы параметров. Они могут выглядеть следующим образом: Ущерб репутации организации: 2 — негативная реакция отдельных чиновников, общественных деятелей. Ущерб для здоровья персонала: 2 — минимальный ущерб (последствия не связаны с госпитализаций или длительным лечением); Финансовые потери, связанные с восстановлением ресурсов: 2 — менее $1000; Дезорганизация деятельности в связи с недоступностью данных: 2 — отсутствие доступа к информации до 15 минут; Далее рассматриваются основные сценарии, приводящие к различным негативным последствиям, описываемым в терминах выбранных параметров (рис. 7) Оценка ценности информационных ресурсов
На этом этапе может быть подготовлено несколько типов отчетов (границы системы, модель, определение ценности ресурсов). Если ценности ресурсов низкие, можно использовать базовый вариант защиты. В таком случае исследователь может перейти от этой стадии сразу к стадии анализа рисков. Однако для адекватного учета потенциального воздействия На этапе оценки угроз и уязвимостей оцениваются зависимости пользовательских сервисов от определенных групп ресурсов и существующий уровень угроз и уязвимостей. Далее активы компании группируются с точки зрения угроз и уязвимостей. Например, в случае наличия угрозы пожара или кражи, в качестве группы ресурсов разумно рассмотреть все ресурсы, находящиеся в одном месте (серверный зал, комната средств связи и т.д.). При этом оценка уровней угроз и уязвимостей может проводится на основе косвенных факторов или на основе прямых оценок экспертов. В первом случае программное обеспечение CRAMM для каждой группы ресурсов и каждого из них генерирует список вопросов, допускающих однозначный ответ. оценка уровня угрозы безопасности по косвенным факторам
Уровень угроз оценивается, в зависимости от ответов, как (рис 9):
Уровень уязвимости оценивается, в зависимости от ответов, как:
Оценка угроз безопасности и уязвимости ресурсов
Возможно проведение коррекции результатов или использование других методов оценки. На основе этой информации рассчитываются уровни рисков в дискретной шкале с градациями от 1 до 7 (этап анализа рисков). Полученные уровни угроз, уязвимостей и рисков анализируются и согласовываются с заказчиком. Только после этого можно переходить к заключительной стадии метода. Шаги управления рисками в CRAMM
MM генерирует несколько вариантов мер противодействия, адекватных выявленным рискам и их уровням. Контрмеры разбиваются на группы и подгруппы по следующим категориям:
В результате выполнения данного этапа формируются несколько видов отчетов. Таким образом, рассмотренная методика анализа и управления рисками полностью применима и в российских условиях, несмотря на то, что показатели защищенности от НСД к информации и требования по защите информации различаются в российских РД и зарубежных стандартах. Особенно полезным представляется использование инструментальных средств типа метода CRAMM при проведении анализа рисков информационных систем с повышенными требованиями в области ИБ. Это позволяет получать обоснованные оценки существующих и допустимых уровней угроз, уязвимостей, эффективности защиты. Сергей Петренко, Сергей Симонов / АйТи |
Вторую группу методик управления рисками составляют количественные методики, актуальность которых обусловлена необходимостью решения различных оптимизационных задач, которые часто возникают в реальной жизни.
