Логарифмическая частота угрозы

P	Частота проявления угрозы
	Раз в 300 лет
	Раз в 30 лет
	Раз в 3 года (1000 дней)
	Раз в 100 дней
	Раз в 10 дней
	Раз в день
	10 раз в день
	100 раз в день

Более научно-обоснованным является метод многофакторных испытаний. Здесь определяют наиболее значимые факторы (проявившиеся признаки), оказывающие влияние на оцениваемую величину, в данном случае — это вероятность реализации угрозы или ожидаемые потери. Затем, рассчитывают коэффициенты, соответствующие факторам, и получают математическую зависимость (полином) от соответствующих факторов, например:

где: b_i - коэффициент i-го фактора, k - число факторов.

В случае выбора двух наиболее значимых факторов, указанный метод сводится к простому методу наименьших квадратов. В пассивном методе многофакторных испытаний анализируется статистический материал (значения факторов и оцениваемой величины), в активном — проводятся собственные ускоренные испытания.

Следует оговориться, что методы анализа риска обычно не отличаются высокой точностью. Дело в том, что основная задача анализа риска (как инструмента планирования) оценить уровень возможных потерь и уровень затрат на защиту. Для практики, когда разнородные исходные данные имеют приближенный или субъективный характер оценки, высокая точность расчета и не требуется. Иногда вообще невозможно оценить точность результата.

5.6. Выбор и проверка защитных мер

Для уменьшения размера ущерба необходим выбор соответствующих мер защиты: организационных, физических, программно-технических и др. Каждая угроза может быть предотвращена различными способами. Поэтому на данном этапе решается задача анализа и синтеза мер, методов и средств защиты по критерию эффективность/стоимость с учетом, конечно, технической политики организации и других жизненно важных характеристик АС.

После выбора способов защиты АС производится проверка их эффективности. Если остаточные риски стали опять-таки неприемлемы, весьма разумно повторить этапы анализа риска.

Завершая подраздел, следует отметить, что разработка политики безопасности и проведение анализа риска являются кропотливыми научно-техническими задачами. Поэтому важно правильно подобрать коллектив разработчиков. Обычно этим профессионально занимается группа информационной безопасности предприятия. Однако возможно привлечение администраторов и разработчиков систем и сетей, специалистов по аудиту и управлению, психологов, представителей службы режима.

Тема 6 планирование обеспечения информационной безопасности

6.1. План защиты

6.2. План обеспечения непрерывной работы и восстановления функционирования автоматизированной системы

6.3. Реализация планов

Политика безопасности определяет - что нужно защищать, а процедуры защиты - как надо защищать. Поэтому после определения официальной политики безопасности следует подготовить конкретизирующие ее плановые документы, описывающие практические процедуры защиты при работе АС. Таких документов обычно два:

1. План защиты (security plan);

2. План обеспечения непрерывной работы и восстановления функционирования АС (contingency and recovery plan).