Практическая часть

В ходе данной лабораторной работы мы познакомимся с разработанной Microsoft программой для самостоятельной оценки рисков, связанных с безопасностью - Microsoft Security Assessment Tool (MSAT). Она бесплатно доступна на сайте Microsoft по ссылке http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=cd057d9d-86b9-4e35-9733-7acb0b2a3ca1. [1]

В ходе работы, пользователь, выполняющий роль аналитика, ответственного за вопросы безопасности, отвечает на две группы вопросов.

Первая из них посвящена бизнес-модели компании, и призвана оценить риск для бизнеса, с которым компания сталкивается в данной отрасли и в условиях выбранной бизнес-модели. Создается так называемый профиль риска для бизнеса (ПРБ).

Рис. 7.18.  Информация о компании

Вопросы этого этапа разбиты на 6 групп. Первая (рис. 7.18) касается общих сведений о компании - название, число компьютеров, серверов и т.д. Вторая группа вопросов озаглавлена "Безопасность инфраструктуры". Примеры вопросов - "использует ли компания подключение к Интернет", "размещаются ли службы, используемые как внешними, так и внутренними клиентами, в одном и том же сегменте" и т.д. Остальные группы - "Безопасность приложений", "Безопасность операций", "Безопасность персонала", "Среда".

Надо отметить, что при локализации не все вопросы первого этапа были качественно переведены с английского. Чего стоит вопрос: "Прошла ли ваша организация через "копирование и замена" касающиеся любого основного компонента технологии, за последние 6 месяцев ?"! Однако во всех случаях можно из контекста понять, о чем идет речь (в приведенном примере вопрос был, относительно того, менялись ли используемые технологии обработки информации).

Когда проведен первый этап оценки, полученная информация обрабатывается (для этого требуется подключение к Интернет), после чего начинается второй этап анализа. Для технических специалистов он будет более интересен, т.к. касается используемых в компании политик, средств и механизмов защиты (рис. 7.19). Стоит сказать, что и перевод вопросов второго этапа выполнен существенно лучше.

Рис. 7.19.  Анализ используемых механизмов защиты

Вопросы организованы в соответствии с концепцией многоуровневой (эшелонированной) защиты. Сначала рассматривается защита инфраструктуры (защита периметра, аутентификация…), затем вопросы защиты на уровне приложений, далее проводится анализ безопасности операций (определена ли политика безопасности, политика резервного копирования и т.д.), последняя группа вопросов касается работы с персоналом (обучение, проверка при приеме на работу и т.д.).

Во многом тематика вопросов соответствует разделам стандартов ISO 17799 и 27001, рассмотренных в теоретической части курса.

После ответа на все вопросы программа вновь обращается к удаленному серверу и генерирует отчеты. Наибольший интерес для технических специалистов представляет "Полный отчет". В частности, он содержит предлагаемый список приоритетных действий. Фрагмент списка представлен в табл. 7.1

Таблица 7.1. Список предлагаемых действий

Список приоритетных действий
Предмет анализа	Рекомендация
Высокий приоритет
Операции > Управление средствами исправления и обновления > Управление средствами исправления	Наличие политики исправлений и обновлений для операционных систем является полезным начальным шагом, однако необходимо разработать такую же политику и для приложений. Разработайте такую политику, пользуясь сведениями, доступными в разделе, посвященном передовым методикам. Сначала установите исправления для внешних приложений и приложений Интернета, затем для важных внутренних приложений и, наконец, для не особо важных приложений.

ХОД РАБОТЫ: Лабораторная работа выполняется в малых группах (2-3 человека), в которых необходимо распределить обязанности. Обязанности распределяются по следующим ролям: руководитель, специалист по работе с персоналом, IT-специалист.

ЗАДАНИЕ:

1. Ознакомьтесь с теоретическим материалом лабораторной работы;

2. Составьте сводный отчет в форме таблицы о существующих методиках оценки рисков. Отчет должен содержать набор параметров, по которым будет произведено сравнение. Таблица должна содержать методики CRAMM, FRAP, OCTAVE, RiskWatch, Microsoft. Кроме того необходимо самостоятельно найти 1-2 методики и также описать в таблице.

3. Выбрать любую компанию и кратко описать ее деятельность (использовать ресурсы интернет, данные курсовой работы и т.д.).

4. Опишите 5-7 активов выбранной компании разного класса влияния исходя из определения понятия «актив». За основу используйте таблицу 7.1. Определить класс актива, уровень подверженности воздействию, уровень влияния. Результаты представить в форме таблицы.

5. Выполните их приоретизацию на основе таблицы 7.2. Выпишите активы с рисками высокого уровня, на основе таблиц 7.3 и 7.4.

6. Проведите оценку риска от влияния на активы при помощи программы Microsoft Assessment Tool (MSAT). Для этого необходимо из меню Пуск запустить соответствующий ярлык.

7. Задайте название своей компании, выберите профиль компании ПРБ (бизнес-профиль) и ответьте на поставленные вопросы.

8. С целью экономии времени предлагается распределить вопросы по соответствующим ролям.

9. После получения итогового отчета программы необходимо сохранить его и скопировать в тестовый файл. (Можно открывать полученные отчеты в программе MSAT при помощи пункта меню Файл – Управление оценками)

10. Далее работа разделяется между участниками группы. Руководитель должен описать деятельности фирмы, специалист по работе с персоналом – выписать 5-8 вопросов из программы относительно персонала, IT-специалист – 5-8 вопросов по организации информационной среды предприятия.

11. Из отчета, полученного в программе MSAT, необходимо выбрать рекомендации, касающиеся деятельности специалиста и оформить отчет

12. Руководитель составляет итоговое описание.

13. Таким образом, результатом выполнения лабораторной работы является письменный отчет, содержащий следующую информацию:

а) Титульный лист (в свободной форме с указание рабочей группы и ролей);

б) Сравнительная характеристика программных продуктов для оценки рисков;

в) Описание деятельности предприятия (3-4 предложения);

г) Описание активов предприятия (3-4 актива) на примере таблицы 7.1.

д) Уровни подверженности воздействию, уязвимости на примере таблицы 7.2.

е) Список приоретизации активов;

ж) Вопросы из программы МSAT по тематике: общие вопросы организации; вопросы об организации работы с персоналом; вопросы об организации информационной среды предприятия.

з) Отчет из программы и рекомендации из программы MSAT по тематике: отчет о рисках, связанных с организацией работы с персоналом и информационной среды предприятия.

и) Итоговый отчет руководителя.

ВОПРОСЫ ДЛЯ САМОКОНТРОЛЯ

1. Объясните, что называют уровнями подверженности воздействию в методике Microsoft и кто их определяет;

2. Описать методику количественной оценки риска;

3. Как определить ожидаемый годовой ущерб;

4. Какие типы методик оценки рисков существуют и в чем их отличия?

5. Назовите примеры методик оценки рисков каждого типа.

6. Какие классы влияния на бизнес существуют?

7. Каким образом оценить ежегодную частоту возникновения ущерба?

8. Как связаны класс влияния и уровень влияния актива?

9. В чем состоит смысл понятия «приоретизация активов»?

15