5.5. Оценка рисков

После идентификации угрозы необходимо оценить риск проявления угрозы. В большинстве случаев возможно получить количественную оценку риска. Она может быть получена на базе экспертного опроса, оценена статистически или рассчитана по некоторой математической зависимости (адекватной конкретной угрозе конкретному активу).

Кроме вероятности осуществления угрозы, важен размер ожидаемых потерь. В общем случае ожидаемые потери рассчитываются по следующей формуле: e = p·v, где p — вероятностная оценка риска проявления угрозы, v — ущерб при реализации угрозы. Однако, как вероятности угрозы, так и ожидаемые потери не всегда можно оценить количественно. Например, рассчитать замену компьютера достаточно просто, но трудно оценить потенциальный ущерб в случае задержки выдачи данных, искажения информации, разглашения отдельных сведений и т.д. Некоторые инциденты могут нанести ущерб репутации фирмы, вызвать социальную напряженность в коллективе, повлечь юридическое преследование предприятия со стороны пользователей и т.д.

Приведем примеры простых способов оценки вероятностей проявления угроз и возможных потерь:

1. Экспертная оценка событий. Методы экспертных оценок применяются при оценке трудно предсказуемых угроз, например стихийных бедствий, и являются самыми неточными.

2. Методика определения приемлемости уровня риска по трехбалльной шкале [45]. Согласно методике, оцениваемым рискам и ущербам ставятся оценки по трехбалльной шкале {1, 2, 3}. Полученные два множества оценок рисков и ущербов перемножаются. Множество возможных значений будет следующим: {1, 2, 3, 4, 6, 9}. Полагается, что первые два значения характеризуют низкий уровень риска, третий и четвертый — средний, два последних — высокий.

3. Методика определения приемлемости уровня риска с учетом видимости угроз и их последствий [60]. Здесь вводится понятие видимости угрозы для внешнего мира — мера информации о системе, доступной злоумышленнику (и вызывающей нездоровый интерес). Согласно указанной методике, оцениваемым рискам, видимости, физическим ущербам и моральным ущербам ставятся оценки по трехбалльной шкале {1, 2, 3}. Значения рисков умножаются на значения для видимости, а значения для физического ущерба умножаются на значения для морального ущерба. Затем полученные два числа складываются. Считается, что уровень риска низкий, если итоговое число меньше 7, высокий, если итоговое число больше 11, иначе — средний.

4. Статистическая оценка событий и использование статистических моделей (отражающих законы распределения конкретных типов угроз). Данный метод позволяет получить приемлемые результаты для оценки часто проявляемых регистрируемых угроз, например: сбоев и отказов вычислительного процесса.

5. Использование аналитических моделей (возможно в виде таблиц) потенциального ущерба в зависимости от заранее определенных коэффициентов. Примером может быть модель IBM [84], где логарифмическая степень возможных потерь приближенно вычисляется по следующей формуле:

E  (0.3)(10^P+V-3),

где: V  log₁₀v — коэффициент, характеризующий значение возможного ущерба при реализации угрозы;

P  3 + log₁₀3p — коэффициент, характеризующий возможную частоту возникновения соответствующей угрозы.

Физически коэффициент P представляет логарифмическую частоту угрозы, рассчитываемую согласно следующей таблице.

Таблица 6.5.