9.2.3 Аналіз та оцінка ризиків

Аналіз ризиків передбачає вивчення моделі загроз для інфор­маційної сфери організації та моделі порушників, можливих наслід­ків від реалізації потенційних загроз (рівня можливої заподіяної ни­ми шкоди) і формування на його підставі моделі захисту інформації у організації. Під час проведення аналізу ризиків необхідним є ви­конання наступних робіт.

Визначення компонентів і ресурсів організації, які необхідно вра­ховувати при аналізі. Повинні бути визначені критичні з точки зору безпеки компоненти і ресурси організації, які можуть бути об'єкта­ми атаки або самі є потенційним джерелом порушення безпеки ін­формації (об'єкти захисту). Для цього використовуються відомості, одержані в результаті обстеження середовищ функціонування орга­нізації.

Ідентифікація загроз з об'єктами захисту. Встановлюється відпо­відність моделі загроз і об'єктів захисту, тобто складається матри­ця загрози/компоненти (ресурси) організації. Кожному елементу ма­триці повинен бути зіставлений опис можливого впливу загрози на відповідний компонент або ресурс організації. У процесі упорядку­вання матриці може уточнюватися список загроз і об'єктів захисту, внаслідок чого коригуватись модель загроз.

Оцінка ризиків. Повинні бути отримані оцінки гранично припу­стимого й існуючого (реального) ризику здійснення кожної загрози впродовж певного проміжку часу, тобто ймовірності її здійснення впродовж цього інтервалу. Для оцінки ймовірності реалізації загро­зи рекомендується вводити декілька дискретних ступенів (градацій). Оцінку слід робити за припущення, що кожна подія має найгірший, з точки зору власника інформації, що потребує захисту, закон розподі-

386

Розділ 9 Основи управління інформаційною безпекою

лу, а також за умови відсутності заходів захисту інформації. На пра­ктиці для більшості загроз неможливо одержати достатньо об'єктив­ні дані про ймовірність їхньої реалізації і доводиться обмежуватисяякісними оцінками. У цьому випадку значення ймовірності реалізації загрози визначається в кожному конкретному випадку експертним методом або емпіричним шляхом, на підставі досвіду експлуатації подібних систем, шляхом реєстрації певних подій і визначення ча­стоти їхнього повторення тощо.

Оцінка може мати числове або смислове значення (наприклад, ймовірність реалізації загрози — незначна, низька, висока, неприпу­стимо висока).

У будь-якому випадку існуючий ризик не повинен перевищува­ти гранично допустимий для кожної загрози. Перевищення свідчить про необхідність впровадження додаткових заходів захисту. Мають бути розроблені рекомендації щодо зниження ймовірності виникне­ння або реалізації загроз та величини ризиків.

Оцінювання величини можливих збитків, пов'язаних з ре­алізацією загроз. Виконується кількісна або якісна оцінка збитків, що можуть бути нанесені організації (організації) внаслідок реаліза­ції загроз. Доцільно, щоб ця оцінка складалась з величин очікуваних збитків від втрати інформацією кожної з властивостей (конфіденцій­ності, цілісності або доступності) або від втрати керованості організа­ції внаслідок реалізації загрози. Для одержання оцінки можуть бути використані такі ж методи, як і при аналізі ризиків. Величина мо­жливих збитків визначається розміром фінансових втрат або, у разі неможливості визначення цього, за якісною шкалою (наприклад, ве­личина збитків — відсутня, низька, середня, висока, неприпустимо висока).