Методология анализа рисков.
Цель процесса оценивания рисков состоит в определении характеристик рисков в информационной системе и ее ресурсах. На основе таких данных выбираются необходимые средства управления ИБ.
Процесс оценивания рисков содержит несколько этапов:
– описание объекта и мер защиты;
– идентификация ресурса и оценивание его количественных показателей (определение потенциального негативного воздействия на бизнес);
– анализ угроз информационной безопасности;
– оценивание уязвимостей;
– оценивание существующих и предполагаемых средств обеспечения информационной безопасности;
– оценивание рисков.
Риск характеризует опасность, которой может подвергаться система и использующая ее организация, и зависит от:
– показателей ценности ресурсов;
– вероятностей нанесения ущерба ресурсам (выражаемых через вероятности реализации угроз для ресурсов);
– степени легкости, с которой уязвимости могут быть использованы при возникновении угроз (уязвимости системы защиты);
– существующих или планируемых средств обеспечения ИБ.
Расчет этих показателей выполняется на основе математических методов, имеющих такие характеристики, как обоснование и параметры точности метода.
Построение профиля защиты.
На этом этапе разрабатывается план проектирования системы защиты информационной среды Заказчика. Производится оценка доступных средств, осуществляется анализ и планирование разработки и интеграции средств защиты (рисунок 5).
Рисунок 5. Возможный алгоритм оценивания информационных рисков.
Необходимым элементом работы является утверждение у Заказчика допустимого риска объекта защиты.
Обеспечение повышенных требований к информационной безопасности предполагает соответствующие мероприятия на всех этапах жизненного цикла информационных технологий.
Планирование этих мероприятий производится по завершении этапа анализа рисков и выбора контрмер. Обязательной составной частью этих планов является периодическая проверка соответствия существующего режима ИБ политике безопасности, сертификация информационной системы (технологии) на соответствие требованиям определенного стандарта безопасности.
Работа по построению плана защиты объекта начинается с построения профиля защиты данного объекта. При этом часть этой работы уже была проделана при проведении анализа рисков.
Формирование организационной политики безопасности.
Прежде чем предлагать какие-либо технические решения по системе информационной безопасности объекта, предстоит разработать для него политику безопасности.
Собственно организационная политика безопасности описывает порядок предоставления и использования прав доступа пользователей, а также требования отчетности пользователей за свои действия в вопросах безопасности.
Система информационной безопасности (СИБ) объекта окажется эффективной, если она будет надежно поддерживать выполнение правил политики безопасности, и наоборот. Шагами построения организационной политики безопасности являются:
– внесение в описание объекта автоматизации структуры ценности и проведение анализа риска;
– определение правил для любого процесса пользования данным видом доступа к ресурсам объекта автоматизации, имеющим данную степень ценности.
Организационная политика безопасности оформляется в виде отдельного документа, который согласовывается и утверждается Заказчиком.
Условия безопасного использования ИТ Предполагается, что система обеспечения безопасности объекта Заказчика, соответствующая выбранному профилю защиты, обеспечит требуемый уровень безопасности только в том случае, если она установлена, управляется и используется в соответствие с выработанными правилами. Операционная среда должна управляться согласно принятой для данного профиля защиты нормативной документации, а также инструкциям администраторов и пользователей.
Выделяются следующие виды условий безопасного использования ИТ:
– физические условия;
– условия для персонала;
– условия соединений.
Физические условия касаются размещения ресурсов объекта, а также защиты аппаратных средств и программного обеспечения, критичных к нарушению политики безопасности.
Условия для персонала содержат организационные вопросы управления безопасностью и отслеживания полномочий пользователей.
Условия соединений не содержат явных требований для сетей и распределенных систем, но, например, условие равенства положения означает наличие единой области управления всей сетью объекта.
Условия безопасного использования объекта автоматизации оформляются в виде отдельного документа, который согласовывается и утверждается Заказчиком.
Формулирование целей безопасности объекта.
В этом разделе профиля защиты дается детализованное описание общей цели построения системы безопасности объекта Заказчика, выражаемое через совокупность факторов или критериев, уточняющих цель. Совокупность факторов служит базисом для определения требований к системе (выбор альтернатив).
Факторы безопасности, в свою очередь, могут распределяться на технологические, технические и организационные.
Определение функциональных требований безопасности.
Функциональные требования профиля защиты определяются на основе набора хорошо известных, отработанных и согласованных функциональных требований безопасности. Все требования к функциям безопасности можно разделить на два типа: управление доступом к информации и управление потоками информации.
На этом этапе предстоит правильно определить для объекта компоненты функций безопасности. Компонент функции безопасности описывает определенный набор требований безопасности – наименьший выбираемый набор требований безопасности для включения в профиль защиты. Между компонентами могут существовать зависимости.
Требования гарантии достигаемой защищенности.
Структура требований гарантии аналогична структуре функциональных требований и включает классы, семейства, компоненты и элементы гарантии, а также уровни гарантии.
Классы и семейства гарантии отражают такие вопросы, как разработка, управление конфигурацией, рабочая документация, поддержание этапов жизненного цикла, тестирование, оценка уязвимости и другие вопросы.
Требования гарантии достигаемой защиты выражаются через оценки функций безопасности СИБ объекта. Оценка силы функции безопасности выполняется на уровне отдельного механизма защиты, а ее результаты позволяют определить относительную способность соответствующей функции безопасности противостоять идентифицированным угрозам.
