6. Информационная безопасность: основные представления о риске и ущербе

Риск - количественная мера опасности с учетом ее последствий.

Оценка риска связанна с оценкой ущерба.

7. Методология анализа рисков

1)Описание объекта(идентификация информационных, программных, физических ресурсов и создание модели ресурсов исследуемой системы)

2)Оценивание существующих и предполагаемых средств обеспечения информационной безопасности

3)Идентификация значительных угроз и уязвимостей

4)Вычисление вероятности реализации угроз и уязвимостей

5)вычисление рисков

6)установка допустимого уровня риска

7)сопоставление вычисленного риска с допустимым

Условно выделяют анализ рисков базового и полного уровня.

Основное отличие полного уровня от базового в то, что необходима полная модель анализируемой информационной системы(эта модель включает виды ценной информации, объекты и ее хранение, группы пользователей и виды допуска к информации, анализ средств защиты и виды угроз).

Выполняют количественную оценку риска измерение в деньгах, и а качественную оценку риска - высокий, средний, низкий.

При оценки рисков наиболее распространены следующие методы:

1)статический

2)анализ целесообразности затрат

3)метод аналогий

4)аналитические методы

5)методы экспертных оценок(метод Дельфи, метод снежного кома, комиссии круглого стола, дерева целей и т.д.)

8. Качественная оценка рисков

Величина ущерба	Описание
0	Ничтожный моральный, финансовый ущерб
1	Незначительный ущерб
2	Предприятие терпит убытки, но положение на рынке изменяется мин.
3	Значительные потери на рынке
4	Необходимы крупные финансовые займы
5	Предприятие прекращает существование

Вероятность	Средняя частота появления
0	Данный вид атаки отсутствует
1	Реже чем раз в год
2	1 раз в год
3	1 раз в месяц
4	1 раз в неделю
5	Практически ежедневно

пример:

Описание	Ущерб	Вероятность	Риск
Спам	1	4	1*4=4
Несанкц. копирование	3	1	3*1=3

допустимо 7

Упрощенный метод качественной оценки:

Оценивается защита в организациях сходных по профилю и применяются используемые там средства защиты.

Достоинства качественной оценки риска:

1)упрощение вычислений

2)не нужно присваивать денежную стоимость каждому активу

3)не вычисляется частота появления угрозы и размер ущерба

Недостатки:

1)субъективность оценки

2)отсутствие возможности установить точное соответствие угрозам.