Определение ценности ресурсов

Важным шагом при анализе рисков является стадия оценки ценности информации.(рис. 7.2) .

Рис. 7.2 .Виды информации с позиции ценности

Ресурсы обычно подразделяются на несколько классов, например физические, программные и данные. Для каждого класса должна существовать своя методика оценки ценности элементов.

Для оценки ценности ресурсов выбирается подходящая система критериев. Критерии должны позволять описать потенциальный ущерб, связанный с нарушением конфиденциальности, целостности, доступности.

Ценность физических ресурсов оценивается с точки зрения стоимости их замены или восстановления работоспособности. Эти стоимостные величины затем преобразуются в качественную шкалу, которая используется также для информационных ресурсов. Программные ресурсы оцениваются тем же способом, что и физические, на основе определения затрат на их приобретение или восстановление.

Если для информационного ресурса существуют особенные требования к конфиденциальности или целостности (например, исходный текст имеет высокую коммерческую ценность), то оценка этого ресурса производится по той же схеме, то есть в стоимостном выражении.

Кроме критериев, учитывающих финансовые потери, в коммерческих организациях могут присутствовать критерии, отражающие следующее:

• ущерб репутации организации;

• неприятности, связанные с нарушением действующего законодательства;

• ущерб для здоровья персонала;

• ущерб, связанный с разглашением персональных данных отдельных лиц;

• финансовые потери от разглашения информации;

• финансовые потери, связанные с восстановлением ресурсов;

• потери, связанные с невозможностью выполнения обязательств;

• ущерб от дезорганизации деятельности.

Могут использоваться и другие критерии, в зависимости от профиля организации. К примеру, в правительственных учреждениях могут добавляться критерии, отражающие такие области, как национальная безопасность и международные отношения.