2.4.Обработка рисков (этап 3)

При находятся показатели рисков, необходимые для принятия плана обработки рисков, включающие:

• вариант обработки риска (снижение, сохранение, предотвращение или перенос риска) (Var), Var={снижение, перенос, отказ, сохранение }

• предлагаемые меры контроля и управления (Мс);

• затраты на меры контроля и управления (Zat).

Модель обработки рисков может быть представлена в виде:

<Nt, T, A, Ny, Y_TA , [P_TY,] U_TA, M, Var, Mc, Zat, [Ktv]> (3)

В том случае, если оценка ущерба определялась в форме значения шкалы ценности актива [0-4], для перехода к денежному эквиваленту оценки ущерба определяют предельные значения ущерба для каждой шкалы, а затем применяя процедуру рандомизации, вычисляют случайное значение ущерба для каждой угрозы. Например, «малозначимый» ущерб возможен до 30 000 руб, «средний» до 200 000 руб, «высокий» до 1000000 руб, «критичный» [3] до 5000000 руб и свыше 5000000 руб «недопустимый» [4]. Тогда процедура вычисления ущерба для категории «высокий» будет Uta=RND(200000, 1000000), где RND –датчик случайных чисел в заданном интервале.

Если критерий вероятности угрозы ( Т) необходимо выразить в численных значениях возможности, тогда используется аналогичная процедура рандомизации значения Р. Вариант моделирования представлен на рис.8.

Рис.8.Обработка рисков

Анализ проводится по диаграммам и графикам.

В результате анализа делаются выводы:

1. Как распределяются рисков по вариантам обработки и ценности активов ?

2. Как распределяются риски по мерам контроля ?

3. Какие риски взаимосвязаны по мерам контроля и управления ?

4. Как распределяются затраты по мерам контроля и управления в зависимости от мер опасности угроз (М) ?

5. Как распределяются риски по степени влияния на бизнес процессы ?

2.5.Моделирование плана обработки рисков (этап 4)

Моделирование плана обработки рисков предполагает анализ модели плана по различным стратегиям управления рисками. Модель плана имеет следующий вид:

<Nt, T, A, Ny, Y_TA , [P_TY,] Uat_, M, Var, Mc, Zat, [Ktv], Sz, Su, Uat-Zat> (4)

где Sz - накопленная сумма затрат на меры контроля ранжированных рисков;

Su - накопленная сумма возможных последствий от реализации угроз;

Uat-Zat – разница между двумя суммами.

Основными стратегиями обработки рисков являются:

1. Принятие рисков для которых выполняется условие: (М≤Mz) (Ktv≤Kv) .

2. Принятие рисков при условии … (разработать самостоятельно).

3. Принятие рисков при условии … (разработать самостоятельно).

4. Принятие рисков при условии … (разработать самостоятельно).

5. Принятие рисков при условии … (разработать самостоятельно).

6. Принятие рисков при условии … (разработать самостоятельно).

7. Принятие рисков при условии … (разработать самостоятельно).

Анализ рисков информационной безопасности и разработка предложений по реорганизации системы защиты информации с учетом требований по обеспечению непрерывности бизнеса. Кроме того, на этом этапе разрабатывается, при необходимости, новая рациональная схема размещения информационных активов. По результатам анализа плана обработки рисков делаются выводы и оцениваются остаточные риски. При высокоуровневой оценке рисков предлагаемые меры включают организационные мероприятия, физическую защиту активов, резервное копирование и антивирусное ПО. Вариант моделирования плана обработки рисков представлен на рис.9.

Рис.9. Результаты моделирования плана обработки рисков

Графики результатов моделирования п различным стратегиям управления рисками представляются в форме (рис.10).

Рис.10.