Общие понятия управления рисками Подходы к анализу рисков

В настоящее время используются два подхода к анализу рисков - базовый и полный вариант. Выбор зависит от оценки собственниками ценности своих информационных ресурсов и возможных последствий нарушения режима информационной безопасности. В простейшем случае собственники информационных ресурсов могут не оценивать эти параметры. Подразумевается, что ценность ресурсов с точки зрения организации не является чрезмерно высокой. В этом случае анализ рисков производится по упрощенной схеме: рассматривается стандартный набор наиболее распространенных угроз без оценки их вероятности и обеспечивается минимальный или базовый уровень ИБ.

Полный вариант анализа рисков применяется в случае повышенных требований к ИБ. В отличие от базового варианта в том или ином виде оцениваются ресурсы, характеристики рисков и уязвимостей. Как правило, проводится анализ соотношения стоимость/эффективность нескольких вариантов защиты.

Таким образом, при проведении полного анализа рисков необходимо:

1. определить ценность ресурсов;

2. добавить к стандартному набору список угроз, актуальных для исследуемой информационной системы;

3. оценить вероятность угроз;

4. определить уязвимость ресурсов;

5. предложить решение, обеспечивающее необходимый уровень ИБ.

При выполнении полного анализа рисков приходится решать ряд сложных проблем: как определить ценность ресурсов? как составить полный список угроз ИБ и оценить их параметры? как правильно выбрать эффективные контрмеры?

Процесс анализа рисков делится на несколько этапов:

1. идентификация информационных ресурсов;

2. выбор критериев оценки и определение потенциального негативного воздействия на ресурсы и приложения;

3. оценка угроз;

4. оценка уязвимостей;

5. оценка рисков;

6. оценка эффективности существующих и предполагаемых средств обеспечения информационной безопасности.

На основе анализа рисков выбираются средства, обеспечивающие режим ИБ. Ресурсы, значимые для бизнеса и имеющие определенную степень уязвимости, подвергаются риску, если по отношению к ним существует какая-либо угроза. При оценке рисков учитываются потенциальное негативное воздействие от нежелательных происшествий и показатели значимости рассматриваемых уязвимостей и угроз.

Риск характеризует опасность, которой может подвергаться система и использующая ее организация.

Степень риска зависит от ряда факторов:

1. ценности ресурсов;

2. вероятности реализации угроз;

3. простоты использования уязвимости для реализации угроз;

4. существующих или планируемых к внедрению средств обеспечения ИБ, которые уменьшают число уязвимостей, вероятность возникновения угроз и возможность негативных воздействий.

Системный подход в управлении рисками

Системный подход в управлении рисками основывается на том, что все процессы и явления рассматриваются в их си­стемной связи, учитывается влияние отдельных ре­шений и элементов на систему в целом. Системный подход может находить свое выражение в том, что:

1. должна проводиться системно: то есть параллельная защита социальных, экономических, геополитических, полити­ческих, финансовых процессов, защита окружающей среды, конструкторских и технологических структур экономики от недопустимых (чрезмерных) рисков. Так же надо уделять внимание безопасности, управлению конфликтами, охране труда.

2. Риски связанные с одной опе­рацией или объектом, рассматриваются как единый комплекс факторов, вли­яющих на эффективность и расход ресурсов.

3. Должен соблюдаться баланс и предусматри­ваться возможность создания или выделения необходимых для управления риском резервных ресурсов на различных иерархических уровнях. Если будет отдаваться приоритет управлению рисками только на одном из системных уровней, то это снизит безопасность.

4. Как некоторая единая система рассматриваются меро­приятия по управлению рисками на: различных этапах жиз­ненного цикла товара (разработка, производство, эксплуатация, утилизация) и цикла разработки товара (эскизный проект, технический проект, опытные образцы).

5. Все составляющие какой-либо операции (например подготовка, проведение, расчеты) следует планировать и рассматривать та­ким образом, чтобы разумно снизить риски этой операции.

6. Необходимо разработать комплекс мероприятий, ограничивающих риск на различных циклах предприятия (создание, развитие, зрелость, старение; инвестиционный, текущих операций, денеж­ный) в их взаимной связи для защиты от рисков деятельности предприятия в целом.

7. Важно проанализировать каждую из существующих альтернативных возможностей по ис­пользованию ограниченных ресурсов, определить наиболее выгодные и использовать именно эти наи­более эффективные действия или их комбинацию;

8. Необходимо найти оптимальный баланс между стремлением к безопасности и необходимыми для ее обеспечения ресурсами.

9. Управление рисками в каждой организации должно иметь свою тактику, стратегию, и оперативную составляющие;

10. На всех стадиях проек­тирования систем должно учитываться влияние человеческого фактора, творчества, необходимость работы в условиях жест­ких ограничений на время, влияние стресса.