Определение вероятности события

Несмотря на предельную простоту формул, исчисление рисков по методике QRM таит в себе другую сложность: расчет составляющих. Первым компонентом формулы является ARO. Как вычислить вероятность того или иного инцидента? Если разбить угрозы по категориям, то многие вопросы прояснятся. Так, по вопросам угроз, зависящих от климатических условий (затопления, ураганы, обледенения), надо обратиться в локальное или государственное метеорологического бюро и получить там необходимые статистические данные. По пожарам — в управление пожарной охраны, по землетрясениям — в сейсмический центр. Компьютерные преступления мо­гут быть закрытой информацией, либо учитываться органами внутренних дел по другим статьям, тогда необходимо обратиться к доступной мировой статистике, делая поправку на то, что определенный процент таких престу­плений скрывается пострадавшими компаниями. Статистику отказов обору­дования и программного обеспечения можно запросить у поставщиков и, учитывая то, что производители склонны приукрашать свой товар, обра­титься к имеющимся независимым экспертным оценкам.

Определение стоимости активов

Следующий тонкий вопрос — определение стоимости активов. Разделим их а осязаемые и неосязаемые активы. К осязаемым отнесем средства обслужи­вания информационных технологий (ИТ) — аппаратное обеспечение, сетевое обеспечение (среда передачи данных), запасные части, документация и зар­плата персонала для поддержки функционирования систем. Стоимостные характеристики этих активов обычно известны либо легко вычисляемы.

Стоимость неосязаемых активов должна учитывать два вида расходов: рас­ходы на замену/восстановление программного обеспечения и данных, рас­ходы при нарушении конфиденциальности/целостности/доступности. Определение стоимости неосязаемых активов — задача не всегда простая. Существуют отдельные методики такой работы, например, Guideline for Information Valuation (GIV) — Инструкция по Оценке Стоимости Информации, который доступен зарегистрированным членам Information Systems Security Association на сайте http://www.issa.org/. Приведем пример, который помо­жет понять принципы такого определения.

Предположим, группа специалистов, работает над исследованием, результа­том которого должен стать некоторый набор данных (НД), неосязаемую стоимость которого необходимо оценить. Если НД будет утерян на каком-либо из этапов исследования, то это означает, что для его восстановления скорее всего потребуются следующие средства:

1. Если НД сохранился как интеллектуальный продукт (в виде мыслей, идей, возможно, черновиков), то затраты составят расходы на восста­новление его на носителях, т. е. труд операторов по вводу данных, ска­нированию, корректировке и т. д.

Если НД не сохранился ни в каком виде, то расходы составят столько же, сколько было потрачено на работу данной группы до того этапа, ко­гда НД был утерян, при условии что актуальность разработки не утраче­на. Если сохранилось какое-либо оборудование или материалы, которые можно использовать в повторном исследовании, то их следует вычесть из общих расходов.

Дтя оценки стоимости по конфиденциальности необходимо исследование

ряда дополнительных условий.

Если разглашение информации о деталях исследования никак не повлия­ет на деятельность группы, то НД не имеет стоимости в этом смысле.

2. Если разглашение информации о НД, например, конкурентам, означает крах всего исследования, то расходы в этом случае по порядку величины равны организации новых исследований, т. е. затратам в позиции 2. Если работы группы были сегментированы таким образом, что НД пред­ставляет собой отдельные объекты, не связанные друг с другом, то, возможно, нарушение конфиденциальности одного из них не повлияет на со­стояние конфиденциальности остальных, расходы составят меньшую часть. Для оценки стоимости нарушения целостности необходимо знать, насколько такое нарушение существенно для проекта или для работ. При этом следует различать смысловые ошибки самого исследования, ошибки персонала при работе с данными, ошибки оборудования, изменения, внесенные злоумышлен­никами, и т. п. Также следует различать данные по чувствительности к нару­шениям целостности. В номере банковского счета или в сумме на этом счете изменение одной цифры может иметь более серьезные последствия, чем изме­нения 100 записей в базе данных библиотечного каталога в 10 000 записей.

1. Если изменение данных повлекло собой прямой материальный ущерб (недополучение или перерасход, как в примере с банковским счетом), то максимум такого возможного ущерба — это и есть стоимость нарушения целостности. Но при этом следует учитывать, что иногда максимальный ущерб не может быть нанесен просто потому, что будет моментально обнаружен и предотвращен, а иногда часть или весь размер этого ущер­ба возможно компенсировать путем возврата утраченных средств.

2. Изменение также может повлечь больший или меньший ущерб, оценить который могут, порой, только специалисты. Например, изменение в хи­мической формуле или пропорциях химической смеси может привести к грандиозной катастрофе.

Нарушение доступности целесообразно различать по времени. Два основ­ных вида недоступно в течение учитываемого периода времени и недоступ­ны навсегда. Последняя ситуация аналогична случаям 1 и 2, а частичную недоступность следует классифицировать по промежуткам времени — какой ущерб последует, если НД не будет доступен (частично доступен) в течение минуты, часа, дня и т. д.

Для того чтобы не упустить из рассмотрения все возможные варианты по­лучения ущерба, необходимо произвести связь между уязвимостью, угрозой и влиянием на актив. Пример такой связи приведен на рис. 14.2.