2. Методика frap

Используется для оценки риска на качественном уровне. Обеспечение ИБ ИС предлагается рассматривать в рамках процесса управления рисками. Управление рисками в сфере ИБ - процесс, позволяющий компаниям найти баланс между затратами средств и сил на средства защиты и получаемым эффектом.

Анализ соотношения затрат и получаемого эффекта позволяет определить те средства защиты, которые нужны, для снижения риска до приемлемого уровня.

Основные этапы оценки рисков:

1.Определение защищаемых активов - с использованием: опросных листов, изучения документации на систему, инструментов автоматизированного анализа (сканирования) сетей.

2.Идентификация угроз.

3.Оценка риска - для вероятности возникновения угрозы и ущерба от нее по шкалам.

Вероятность (Высокая - очень вероятно, что угроза реализуется в течение следующего года; Средняя - возможно угроза реализуется в течение следующего года; Низкая - маловероятно, что угроза реализуется в течение следующего года).

Ущерб (Impact) - мера величины потерь или вреда, наносимого активу (Высокий - остановка критически важных бизнес-подразделений, которая приводит к существенному ущербу для бизнеса, потере имиджа или неполучению существенной прибыли; Средний - кратковременное прерывание работы критических процессов или систем, которое приводит к ограниченным финансовым потерям в одном бизнес-подразделении; Низкий - перерыв в работе, не вызывающий ощутимых финансовых потерь).

Оценка определяется в соответствии с правилом, задаваемым матрицей рисков:

-уровень A - связанные с риском действия (например, внедрение СЗИ) должны быть выполнены немедленно и в обязательном порядке;

-уровень B - связанные с риском действия должны быть предприняты;

-уровень C - требуется мониторинг ситуации (но непосредственных мер по противодействию угрозе принимать, возможно, не надо); -уровень D -никаких действий в данный момент предпринимать не требуется.

Рис.4. Матрица рисков FRAP.

4. Определение контрмер, позволяющих устранить риск или свести его до приемлемого уровня.

Определение СЗИ и затрат на его приобретение и внедрение (соотношение затрат и полученного эффекта- стоимость дополнительных программного и аппаратного обеспечения, внедрение дополнительных политик и процедур, затраты на найм дополнительного персонала или переобучение имеющегося ).

5.Документирование. Полученный отчет может быть использован при определении политик, процедур, бюджета безопасности и т.д.

МОПЗИБ-Т-1ПЗ-6 УММ. Методики и программные продукты для оценки рисков в ИС

Чтобы разобраться с любой проблемой безопасности, необходимо ответить на четыре вопроса: «Что?», «Почему?», «От чего?» и «Как защищать?».

Оценка рисков позволяет разобраться с первыми тремя вопросами, а обработка риска - связать первые три вопроса с последним вопросом «Как?».

Все остальные знания в области безопасности посвящены лишь ответу на вопрос «Как защищаться от тех или иных конкретных угроз?».