2.Методика выполнения задания
Деловая ситуация выполняется в форме отдельных функционально завершенных работ, выполняемых в определенной последовательности (рис.4). Содержание этих работ определяется концепцией создаваемой системой защиты информации для АКБ. В нашем случае для АКБ «X-trimBank» была использована модель защиты на основе требований стандарта ГОСТ ИСО/МЭК 27002-2012 г. По каждому этапу результаты работы представляются в форме таблиц, графиков и диаграмм. В результате их анализа делаются выводы, позволяющие обратить внимание на основные и наиболее важные для последующих работ значения анализируемых показателей.
Рис.4. Последовательность оценки рисков
2.1.Установление контекста (подготовительный этап)
При выполнении этого этапа определить сначала цель (цели) управления рисками, а затем исходя из этого, определить основные критерии, области и границы применения и методики обработки рисков.
2.1.1.Определение основных целей управления рисками
Возможные цели по возрастанию сложности решения задач:
Провести высокоуровневую оценку рисков информационной безопасности и предложить адекватные рискам меры и средства управления и контроля системой информационной безопасности.
Повысить эффективность системы управления информационной безопасностью организации за счет обоснования адекватных рискам мер контроля и управления.
Повысить эффективность бизнеса за счёт совершенствования системы управления СМИБ и снижения ущерба от реализации возможных угроз информационной безопасности.
2.1.2.Определение основных критериев
Критерии_оценки_риска
Возможны следующие варианты мер риска (метрик):
В виде обобщенного значения показателя величины риска Kr=F(Kt, Ky, Ka),
где Kt – шкала классификации угроз [0,1,2];
Ky – шкала классификации уязвимостей [0,1,2];
Ka – шкала классификации активов по ценности [0,1,2,3,4].
Пример такого показателя приведен в приложении Е (табл.Е.1а) [1]. Конечные значения величины риска могут быть заданы в форме лингвистической переменной «малый» [0-2], средний [3-4], высокий [5-6], критичный [7-8]. Значения в квадратных скобках определяют границы интервалов метрики рисков заданных табл. E.1a [1].
В виде экспертных оценок влияния на бизнес-процессы, заданных в форме лингвистической переменной «малое», «среднее», «высокое», «критичное». Эта форма критерия оценки риска используется при высокоуровневой оценке рисков (приложение Е [1]).
В виде меры риска, основанной на соотношении величины возможного ущерба и затрат на принятие контрмер по снижению риска в одной из следующих форм:
R=Uat – Zat или R=Uat / Zat,
где Uat – оценка величины возможного ущерба;
Zat – оценка величины затрат на принятие контрмер по угрозе t.
Эта форма критерия используется при многофакторной оценке рисков и отличается от предыдущих оценок тем, что метрика рисков универсальна и имеет экономический смысл. Это позволяет одновременно учесть критерий влияния.
Для каждого из рассмотренных критериев используется различная методика оценки рисков.
Критерии_оценки влияния риска на бизнес-процессы (Kv)
В виде обобщенного значения показателя влияния на бизнес-процессы, как функции от вероятности сценария инцидента (в шкале степени влияния на бизнес). Пример в приложении Е (табл.Е.1b) [1]. Конечные значения величины влияния угрозы могут быть заданы в форме лингвистической переменной «малое» [0-2], «среднее» [3-4], «высокое» [5-6], «критичное» [7-8]. Значения в квадратных скобках определяют границы интервалов метрики рисков заданных табл. E.1b [1].
В форме экспертных оценок влияния на бизнес-процессы, заданных в форме лингвистической переменной «малое», «среднее», «высокое», «критичное».
Критерии_принятия риска (Kp)
Представляют собой определённые значения критериев оценки рисков и влияние, которые являются пороговыми при принятии решения. Так как эти критерии трудно определить в начальном цикле оценки рисков, процесс оценки рисков повторяется начиная с первого этапа «Установления контекста» организации (раздел 6) [1].