Анализ влияния

Следующим важным шагом в измерении уровня риска является определение отрицательного влияния в результате успешной реализации уязвимостей. Перед началом анализа влияния необходимо получить следующую информацию, о которой было оговорено в Секции 3.1.1:

- Целевое назначение системы (например, процессы, выполняемые ИС).

- Критичность системы и данных (например, ценность и важность систем для организации).

- Конфиденциальность системы и данных.

Эта информация может быть получена из имеющейся в организации документации, такой как отчеты анализа влияния рисков на деятельности организации или отчеты по оценке критичности активов. Анализ влияния рисков на деятельность организации (также известный, как анализ бизнес влияния (Business Impact Analysis BIA) для некоторых организаций) определяет приоритеты уровней влияния, которое может оказать компрометация информационных активов, основываясь на качественной или количественной оценке критичности этих активов. Оценка критичности активов – определение и расстановка приоритетов конфиденциальности и критичности информационных активов организации (например, программного и аппаратного обеспечения, систем, служб, и связанных технологических активов), которые необходимы организации для функционирования.

Если эта документация отсутствует или подобная оценка для ИТ активов организации не проводилась, критичность систем и данных может быть определена, основываясь на уровне требований защиты для управления доступностью, конфиденциальностью и целостностью. В соответствии с методом, используемым для определения критичности ИС и данных, собственники системы и информации, ответственны за определение необходимого и достаточного уровня влияния. Следовательно, подходящим подходом анализа влияния является интервьюирование непосредственно собственников информации и систем.

Анализ влияния

Поэтому, неблагоприятное влияние происшествий безопасности может быть описано в терминах потери или деградации любых или комбинации любых из следующих целей безопасности: целостность,доступность и конфиденциальность. Следующий список представляет краткое описание каждой цели безопасности и последствия (или влияния), если цели не достигнуты:

В некоторых случаях влияние рисков может быть измерено количественно в потере прибыли, стоимости восстановления системы или уровне усилий необходимых для решения проблем, возникших в результате реализации угрозы. В других случаях влияние (например, потеря доверия общественности, ущерб интересам организации) не может быть измерено в конкретных цифрах, но может быть квалифицировано или описано в терминах высокое, среднее и низкое влияние.

В связи с тем, что руководство рассматривает методологию анализа рисков только в общем виде, здесь описываются только качественные категории оценки влияния – высокое, среднее и низкое.

Таблица Определение величины влияния

Величина влияния	Определение влияния
Высокое	Потеря конфиденциальности, целостности или доступности может привести к тяжелым или катострофичным неблагоприятным последствиям, которые отразятся на функционировании организации, а также на активы или персонал этой организации. РАСШИРЕНИЕ: Тяжелые или катострофичным неблагоприятные последствия означают, что потеря конфиденциальности, целостности или доступности может: (1) вызвать невосполнимую деградацию целевых показателей, в результате чего организация не способна выполнять свои функции; (2) привести к невосполнимым повреждениям активов организации; (3) привести к невосполнимым финансовым потерям; или (4) привести к тяжелым последствиям в отношении персонала, включая потерю жизни или серьезные раны, которые могут угрожать жизни.
Среднее	Потеря конфиденциальности, целостности или доступности может привести к серьезным неблагоприятным последствиям, которые отразятся на функционировании организации, а также на активах или персонале к организации. РАСШИРЕНИЕ: Серьезные неблагоприятные последствия означают, что потеря конфиденциальности, целостности или доступности может: (1) вызвать значительную деградацию целевых показателей организации, при этом организация способна выполнять свои основные функции, но эффективность этих функций значительно снижена; (2) привести к значительным повреждениям активов организации; (3) привести к значительным финансовым потерям; или (4) привести к значительным повреждениям персоналу, исключая потерю жизни и серьезные раны, угрожающие жизни.
Низкое	Потеря конфиденциальности, целостности или доступности может вызвать ограниченные неблагоприятные последствия, которые отразятся на функционировании организации, а также активах или персонале организации. РАСШИРЕНИЕ: Ограниченные неблагоприятные последствия означают, что потеря конфиденциальности, целостности или доступности может: (1) вызвать деградацию целевых показателей организации, при этом организация способна выполнять свои основные функции, но эффективность этих функций заметно снижена; (2) привести к незначительным повреждениям активов организации; (3) привести к незначительным финансовым потерям; или (4) привести к незначительным повреждениям персоналу.