24. Оценка рисков по трем факторам.

В зарубежных методиках, расчитанных на более высокие требования, чем базовый уровень, исп-ся модель оценки рисков с 3мя факорами: угроза, уязвимость, цена потери.

Вер-ть происшествия, кот. в данном подходе м.б. объективной или субъективной величиной, зависит от уровней (вероятностей) угроз и уязвимостей:

Rпр=Pугр*Pуязв

R=Pугр*Pуязв*C

Данное выр-ие можно рассм-ть как матем-ую формулу, если исп-ся количественные шкалы, либо исп-ть табличные методы, в случае когда хотя бы 1 из шкал качественная.

Например, показатели рисков измер-ся по 8-бальной шкале след. образом:

1-риск практически отсутствует, т.к. происшествие на практике встречается редко, а ущерб невелик

...

8-риск очень велик, событие скорее всего наступит, последствия будут тяжёлыми, т таком случае м.б. использованиа таблица:

	Ругр
	Н			Ср			Вс
	Руяз
	Н	Ср	Вс	Н	Ср	Вс	Н	Ср	Вс
N	0	1	2	1	2	3	2	3	4
Mi	1	2	3	2	3	4	3	4	5
Mo	2	3	4	3	4	5	4	5	6
S	3	4	5	4	5	6	5	6	7
Cr	4	5	6	5	6	7	6	7	8

25. Технологии оценки угроз и уязвимостей.

Как правило, для оценки угроз и уязвимостей применяютя различные методы, в основе кот. могут лежать:

1) экспертные оценки

2) статистич-ие данные

3) учёт факторов, влиющие на уровни угроз и уязвимостей

Один из возможных подходов разработки возможных подходов накопление статичтич-их данных, имевших место происшествия, анализ и классификация их причин, выявление факторов, от кот. они зависят и т.д. Эта инфа позволяет оценить угрозы и уязв-ти ИС, однако практич-ой реализации этого подхода препятствует след-щее:

1) д.б. собран обширный материал о происшествиях в этой области

2) данный подход оправдан далеко не всегда, если ИС крупная, имеет давнюю историю, то подход, скорее всего, неприменим, если же система невелика и эксплуатирует новейшие эл-ты ИТ, то оценки м.б. недостоверными.

Наиболее распространён в наст. время подход, основанный на учёте разл. факторов, влияющих на уровень угроз и уязвимостей. Он позволяет абстрагироваться от малосущественных технич-их деталей и принять во внимание не только программно-технич-ие, но иные аспекты.

26. Подходы к выбору допустимого уровня риска.

Связан с затратами на реализацию систем ИБ. Сущ-ют 2 подхода к выбору допустимого уровня рисков:

1) типичен для базового уровня без-ти - уровень остаточных рисков не примен-ся во внимание, затраты на программно-техн-ие средства защиты и организационные мероприятия, необходимые для соответствия ИС спецификациям базовым уровням являютя обязат-ными, их целесообразность не обсуждается. Дополн-ные затраты должны не превышать 5-15% средств, тратищихся на поддержание работы ИС

2) применяется для обеспечения повышенного уровня без-ти. В зависимости от уровня организации и хар-ра основной деят-ти обоснование выбора допустимого риска может проводиться разными способами.