Управление информационной безопасностью. Стандарты СУИБ (СИ)
– установление требуемых взаимосвязей между заинтересованными сторонами;
– определение путей принятия решений;
– определение документов, которые необходимо вести.
2. Оценка рисков ИБ
Входные данные: Установленные критерии, сфера действия и границы, организационная структура для процесса управления рисками ИБ.
Действие: Оценку риска обеспечивают следующие меры:
– идентификация рисков;
– измерение рисков;
– оценивание рисков.
Руководство по реализации: Риски должны быть идентифицированы, количественно определены или качественно описаны и расставлены в соответствии с приоритетами, исходя из критериев оценки риска и целей организации.
Риск представляет собой комбинацию последствий, вытекающих из нежелательного события, и вероятности возникновения события. Оценка риска количественно определяет или качественно описывает риски и даёт возможность руководителям расставлять риски в соответствии с приоритетами согласно установленным критериям.
Оценка риска определяет ценность информационных активов, идентифицирует применимые угрозы и уязвимости, которые существуют (или могут существовать), идентифицирует существующие средства контроля и их влияние на идентифицированные риски, определяет потенциальные последствия и, наконец, расставляет выведенные риски в соответствии с приоритетами и ранжирует их по критериям оценки рисков.
Выходные данные: Перечень оценённых рисков, расставленных в соответствии с приоритетами согласно критериям оценки риска.
2.1. Идентификация рисков
Целью идентификации рисков является определение того, что могло бы произойти, чтобы нанести потенциальный, и чтобы получить представление о том, как, где и почему мог иметь место этот вред.
Для идентификация рисков необходимо идентифицировать следующие объекты:
– активы;
– угрозы;
– средства защиты;
– уязвимости;
– последствия.
2.1.1. Идентификация активов
Входные данные: Область применения и границы для оценки риска, перечень составных частей, включающий владельцев, местоположение, функцию и т. д.
Действие: Должны быть идентифицированы активы, входящие в установленную область применения, и определены их владельцы.
Руководство по реализации: Ответственность за каждый актив должен нести его владелец, который должен быть в организации определён или назначен. Чаще всего владелец актива является наиболее подходящим лицом, способным определить реальную ценность актива для организации.
Можно выделить два вида активов:
– первичные активы: бизнес-процессы и информация;
– активы поддержки всех типов: аппаратные средства и ПО, сети и сайты, организационная структура и персонал.
Все определения ценности активов должны быть сведены к общей основе. Это можно сделать с помощью критериев, которые могут использоваться для оценки возможных последствий, вытекающих из потери конфиденциальности, целостности, доступности, неотказуемости, учётности, подлинности или надёжности активов.
Они включают в себя:
– нарушение законодательства и/или предписаний;
– ухудшение функционирования бизнеса;
– потеря «неосязаемого капитала»/негативное влияние на репутацию;
– нарушения, связанные с личной информацией;
– создание угрозы личной безопасности;
– неблагоприятное влияние на обеспечение правопорядка;
– нарушение конфиденциальности;
– нарушение общественного порядка;
– финансовые потери;
– нарушение бизнес-деятельности;
– создание угрозы для безопасности окружающей среды.
Другим подходом к оценке последствий может быть:
– прерывание сервиса;
– потеря репутации и доверия клиента;
– нарушение внутреннего функционирования;
– нарушение функционирования третьей стороны;
– нарушение законов/предписаний;
– нарушение договора;
– опасность для персонала / безопасность пользователей;
– вторжение в частную жизнь пользователей;
– финансовые потери;
– финансовые потери, связанные с непредвиденными случаями или ремонтом:
– потеря товаров / денежных средств / активов;
– потеря клиентов, поставщиков;
– судебные дела и штрафы;
– потеря конкурентного преимущества;
– потеря технологического/технического лидерства;
– потеря эффективности/надёжности;
– потеря технической репутации;
– снижение способности к заключению соглашений;
– промышленный кризис (забастовки);
– правительственный кризис;
– материальный ущерб.
После установления критериев ценности активов организация должна согласовать шкалу, которая будет использоваться в масштабах организации. Первым шагом является принятие решения о числе используемых уровней. Обычно может использоваться любое число уровней от 3 (например, низкий, средний и высокий) до 10 в соответствии с подходом, используемым организацией для всего процесса оценки риска.
Организация может определить собственные границы для ценности активов, такие как «низкая», «средняя» или «высокая». Эти границы должны оцениваться в соответствии с выбранными критериями (например, для возможных финансовых потерь они должны быть даны в денежном выражении, но при рассмотрении угрозы личной безопасности, определить денежную ценность может быть затруднительно).
Выходные данные: Перечень активов, подлежащий управлению рисками, и перечень бизнес-процессов, связанных с активами, и их ценность.
2.1.2. Идентификация угроз
Входные данные: Информация об угрозах, полученная от владельцев активов, пользователей, в результате анализа инцидента, а также из других источников, включая реестры известных угроз.
Действие: Угрозы и их источники должны быть идентифицированы.
Руководство по реализации: Угроза обладает потенциалом причинения вреда активам. Должны быть идентифицированы и случайные, и умышленные источники угроз. Угроза может проистекать как из самой организации, так и вне её пределов. Угрозы должны идентифицироваться в общем и по виду (например, неавторизованные действия, физический ущерб, технические сбои).
Некоторые угрозы могут влиять более, чем на один актив. В таких случаях они могут являться причиной различных влияний, в зависимости от того, на какие активы оказывается воздействие
Используя реестры угроз или результаты прежних оценок угроз, не следует забывать о том, что происходит постоянная смена значимых угроз, особенно, если изменяются бизнес-среда или информационные системы.
Выходные данные: Перечень угроз с идентификацией вида и источника. Например, угрозы могут быть преднамеренными, случайными и экологическими. Особое внимание должно быть обращено на человеческие источники угроз.
2.1.3. Идентификация средств защиты
Входные данные: Документация средств защиты, планы обработки рисков и инцидентов.
Действие: Идентификацию средств защиты необходимо провести, чтобы проверить их эффективность и достаточность и избежать ненужных расходов, например, на их дублирование.
Если средства защиты не работают, как ожидалось, это может стать причиной уязвимости. Одним из способов количественно оценить действия средств защиты – посмотреть, как оно уменьшает вероятность угрозы и использования уязвимости или влияние инцидента.
Существующее или планируемое средство защиты может идентифицироваться как неэффективное или недостаточное, или необоснованное. Если его посчитали необоснованным или недостаточным, средство защиты необходимо проверить, чтобы определить стоит ли его удалить, заменить его другим, более подходящим, или стоит оставить его на месте, например, по стоимостным причинам.
Для идентификации существующих или планируемых средств защиты могут быть полезны следующие мероприятия: