Анализ рисков в информационных системах с повышенными требованиями к безопасности

При выполнении полного анализа рисков приходится решать ряд сложных проблем:

Как определить ценность ресурсов?

Как составить полный список угроз ИБ и оценить их параметры?

Как правильно выбрать контрмеры и оценить их эффективность?

Процесс оценивания рисков содержит несколько этапов:

• идентификация ресурса и оценивание его количественных показателей или определение потенциального негативного воздействия на бизнес;

• оценивание угроз;

• оценивание уязвимостей;

• оценивание существующих и предполагаемых средств обеспечения информационной безопасности;

• оценивание рисков.

На основе оценивания рисков выбираются средства, обеспечивающие режим ИБ. Ресурсы, значимые для бизнеса и имеющие определенную степень уязвимости, подвергаются риску, если по отношению к ним существует какая-либо угроза. При оценивании рисков учитываются потенциальное негативное воздействие от нежелательных происшествий и показатели значимости рассматриваемых уязвимостей и угроз для них.

Риск характеризует опасность, которой может подвергаться система и использующая ее организация.

Степень риска зависит:

• показателей ценности ресурсов;

• вероятности реализации угроз;

• простоты использования уязвимости при возникновении угроз;

• существующих или планируемых к внедрению средств обеспечения ИБ, которые уменьшают уязвимости, сокращают вероятность возникновения угроз и негативных воздействий.