Идентификация угроз и определение их вероятности

Результатом этого процесса должно быть явное указание враждебных действий, которые могли бы повредить ЛВС, вероятности того, что эти действия могут произойти, и уязвимые места ЛВС, которые могут использоваться для реализации этих  враждебных действий. Чтобы достигнуть этого результата, должны быть выявлены угрозы и уязвимые места, и определены вероятности того, что эти угрозы могут реализоваться.

Существует много информации относительно различных угроз и уязвимых мест.

Список угроз, которые будут рассматриваться, зависит от установленных границ анализа риска и степени детализации описания ЛВС. Концептуальный анализ может указать на абстрактные угрозы и уязвимые места; более детальный анализ может связать угрозу с конкретной компонентой. Например, высокоуровневый анализ может установить, что потеря конфиденциальности данных посредством раскрытия информации в ЛВС приводит к слишком большому риску.  Детальный анализ ЛВС может установить, что раскрытие данных о сотрудниках при перехвате их при передаче  по ЛВС приводит к слишком большому риску. Более чем вероятно, что абстрактность угроз, выявленных в результате концептуального анализа, в конечном счете приведет к тому, что и рекомендации относительно средств защиты тоже будут абстрактными. Это приемлемо, если проводится общая оценка риска. Более детальная оценка риска даст рекомендации относительно средства защиты, которое должно уменьшить конкретный риск, такой как раскрытие данных о сотрудниках. Угрозы и уязвимые места, обсужденные в разделе 2, могут использоваться как отправная точка, наряду с другими источниками, там где это имеет смысл. Новые угрозы и уязвимые места должны учитываться, когда они обнаруживаются. Любая ценность в ЛВС, которая была определена как достаточно важная (то есть, не была отфильтрована в процессе отбора) должна быть исследована, чтобы можно было выявить те угрозы, которые могут потенциально повредить ей. Для более детальной оценки особое внимание должно быть уделено детализации путей, с помощью которых эти угрозы могли бы происходить. Например, методами нападения, которые приводят к неавторизованному доступу, могут быть воспроизведение сеанса регистрации, вскрытие пароля, подключение неправомочного оборудования к ЛВС, и т.д.. Эти специфические особенности обеспечивают большее количество информации при определении уязвимых мест ЛВС и будут обеспечивать большее количество информации для предложения средств защиты.

Этот процесс может раскрыть некоторые уязвимые места, которые могут быть немедленно исправлены путем улучшения административного управления ЛВС  и применения организационных мер. Эти организационные меры будут обычно сокращать риск угроз до некоторой степени , пока не будут  запланированы и осуществлены  более полные  меры и средства защиты. Например, увеличение длины и изменение алфавита символов пароля для аутентификации может быть одним из путей сокращения уязвимого места - угадывания паролей. Использование более надежных паролей - мера, которая может быть быстро осуществлена для увеличения безопасности ЛВС. Одновременно может осуществляться планирование и  внедрение более продвинутого механизма аутентификации.

Вероятность появления угрозы может быть нормализована как значение, которое меняется от  1 до 3.

1 будет указывать низкую вероятность

2 будет указывать умеренную вероятность

3 будет указывать высокую вероятность.

Существующие средства и меры защиты в ЛВС должны быть проанализированы, чтобы можно было определить, обеспечивают ли они в настоящее время адекватную защиту. Эти средства и меры, могут быть техническими, процедурными, и т.д.. Если средство защиты не обеспечивает адекватную защиту, это может рассматриваться как уязвимое место. Например, операционная система ЛВС может обеспечить управление доступом на уровне каталога, а не на  уровне файла. Для некоторых пользователей угроза компрометации информации может быть такой большой, что требовать защиты на уровне отдельного файла. В  этом примере недостаток степени точности при управлении доступом может рассматриваться  как уязвимое место.

После того, как определенные угрозы и связанные с ними уязвимые места идентифицированы,  с каждой  парой угроза/уязвимое место должна быть связана  вероятность(то есть Какова вероятность того, что угроза будет реализована при условии, что используется данное уязвимое место?). Методология риска, выбранная организацией, должна обеспечить возможность измерения вероятности. Наряду с оценкой ценностей, назначение меры вероятности может также быть субъективным процессом. Данные по угрозам для традиционных угроз (главным образом физических угроз) существуют и могут помочь при определении вероятности. Однако опыт относительно технических аспектов ЛВС и знание операционных аспектов организации может оказаться более ценным при назначении вероятности.Эта мера вероятности согласована  с мерой оценки ценности. Хотя меры для оценка ценности и вероятности, показанные в этом примере, кажутся одинаково взвешенными для каждой пары угроза/уязвимое место,   в течение процесса измерения риска следует постоянно помнить, что именно за пользователем остается последнее слово при назначении мер оценки и вероятности .