ѕовний вар≥ант анал≥зу ризик≥в застосовуЇтьс¤ у випадку п≥двищених вимог в област≥ ≥нформац≥йноњ безпеки. Ќа в≥дм≥ну в≥д базового вар≥анту в тому чи ≥ншому вид≥ виробл¤Їтьс¤ оц≥нка ц≥нност≥ ресурс≥в, характеристик ризик≥в ≥ уразливост≥ ресурс≥в. як правило, проводитьс¤ анал≥з варт≥сть\ефективн≥сть дек≥лькох вар≥ант≥в захисту.
ѕрограмн≥ засоби, що дозвол¤ють провести повний анал≥з ризик≥в, будуютьс¤ з використанн¤м структурних метод≥в системного анал≥зу ≥ проектуванн¤ ≥ ¤вл¤ють собою ≥нструментар≥й дл¤:
ќбов'¤зковим елементом цих продукт≥в Ї база даних, ¤ка м≥стить ≥нформац≥ю з ≥нцидент≥в в област≥ ≥нформац≥йноњ безпеки, що дозвол¤Ї оц≥нити ризики й уразливост≥, ефективн≥сть р≥зних вар≥ант≥в контрзаход≥в у конкретних ситуац≥¤х.
јнал≥з ризик≥в м≥стить у соб≥ ≥дентиф≥кац≥ю й обчисленн¤ р≥вн≥в ризик≥в на основ≥ оц≥нок, привласнених ресурсам, загрозам ≥ вразливост≥ ресурс≥в.
онтроль ризик≥в складаЇтьс¤ з ≥дентиф≥кац≥њ ≥ вибору контрзаход≥в, що дозвол¤ють знизити ризики до прийн¤тного р≥вн¤.
÷е дозвол¤Ї переконатис¤, що захист охоплюЇ всю систему й ≥снуЇ впевнен≥сть у т≥м, що:
јнал≥з ризик≥в проводитьс¤ в три етапи.
≈тап 1: анал≥зуЇтьс¤ усе, що стосуЇтьс¤ ≥дентиф≥кац≥њ ≥ визначенн¤ ц≥нност≥ ресурс≥в системи. Ќаприк≥нц≥ цього етапу банк буде знати, чи досить йому ≥снуючоњ традиц≥йноњ практики, чи в≥н маЇ потребу в проведенн≥ повного анал≥зу безпеки.
≈тап 2: розгл¤даЇтьс¤ усе, що в≥дноситьс¤ до ≥дентиф≥кац≥њ й оц≥нки р≥вн≥в загроз дл¤ груп ресурс≥в ≥ њх вразливост≥. Ќаприк≥нц≥ другого етапу банк одержуЇ ≥дентиф≥кован≥ й оц≥нен≥ р≥вн≥ ризик≥в дл¤ своЇњ банк≥вськоњ системи.
≈тап 3: пошук адекватних контрзаход≥в. ¬ласне кажучи, це пошук вар≥анта системи безпеки, що максимально в≥дпов≥даЇ вимогам банку. Ќаприк≥нц≥ етапу замовник буде знати, ¤к варто модиф≥кувати систему дл¤ в≥дхиленн¤ в≥д ризику, а також вибору спец≥альних заход≥в протид≥њ, що ведуть до зниженн¤ ризик≥в, що залишилис¤, до необх≥дного ≥ припустимого р≥вн¤.
–озгл¤немо б≥льш детально кожний з етап≥в.
–озгл¤немо б≥льш детально кожний з етап≥в. ≈тап 1. ≤дентиф≥кац≥¤ ресурс≥в ≥ побудова модел≥ ≥нформац≥йноњ системи з погл¤ду безпеки ќсновн≥ кроки:
¬изначенн¤ меж досл≥дженн¤. ¬изначенн¤ меж досл≥джуваноњ системи починаЇтьс¤ з≥ збору наступноњ ≥нформац≥њ:
ѕервинна ≥нформац≥¤ збираЇтьс¤ в процес≥ бес≥д з менеджером чи ≥ншими сп≥вроб≥тниками.
≤дентиф≥кац≥¤ ресурс≥в ≥ побудова модел≥ системи з погл¤ду ≥нформац≥йноњ безпеки
ѕроводитьс¤ ≥дентиф≥кац≥¤ ресурс≥в: ф≥зичних, програмних ≥ ≥нформац≥йних, що м≥ст¤тьс¤ усередин≥ меж системи. ожен ресурс необх≥дно в≥днести до одного з визначених клас≥в. ѕот≥м будуЇтьс¤ модель ≥нформац≥йноњ системи з погл¤ду ≥нформац≥йноњ безпеки. ƒл¤ кожного ≥нформац≥йного процесу, що маЇ самост≥йне значенн¤ з погл¤ду користувача ≥ названого користувальницьким серв≥сом, будуЇтьс¤ дерево зв'¤зк≥в використовуваних ресурс≥в. ѕобудована модель дозвол¤Ї вид≥лити критичн≥ елементи.
ќц≥нюванн¤ ц≥нност≥ ресурс≥в. ÷≥нн≥сть ф≥зичних ресурс≥в визначаЇтьс¤ ц≥ною њхнього в≥дновленн¤ у випадку руйнуванн¤. ÷≥нн≥сть даних ≥ програмного забезпеченн¤ визначаЇтьс¤ в наступних ситуац≥¤х:
ƒл¤ оц≥нки можливого збитку рекомендуЇтьс¤ використовувати де¤к≥ з наступних параметр≥в:
ѕриведена сукупн≥сть параметр≥в використовуЇтьс¤ в комерц≥йному вар≥ант≥ методу. ¬ ≥нших верс≥¤х сукупн≥сть буде ≥ншою. “ак, у верс≥њ, використовуваноњ в ур¤дових закладах, додаютьс¤ так≥ област≥, ¤к нац≥ональна безпека ≥ м≥жнародн≥ в≥дносини. ќдержанн¤ зв≥т≥в ≥ обговоренн¤ њх.
Ќа першому етап≥ може бути п≥дготовлено к≥лька тип≥в зв≥т≥в (меж≥ системи, модель, визначенн¤ ц≥нност≥ ресурс≥в).
якщо ц≥нност≥ ресурс≥в низьк≥, можна використовувати базовий вар≥ант захисту. ” такому випадку досл≥дник може в≥дразу перейти в≥д етапу 1 до етапу 3. ќднак дл¤ адекватного обл≥ку потенц≥йного впливу ¤коњ-небудь загрози, вразливост≥, що мають висок≥ р≥вн≥, варто використовувати скорочену верс≥ю етапу 2. ÷е дозвол¤Ї розробити б≥льш ефективну схему захисту.
≈тап 2. јнал≥з загроз ≥ вразливостей Ќа другому етап≥:
¬иробл¤Їтьс¤ угрупованн¤ ресурс≥в з погл¤ду загроз ≥ вразливостей. Ќаприклад, у випадку ≥снуванн¤ загрози пожеж≥ чи крад≥жки ¤к групу ресурс≥в розумно розгл¤нути вс≥ ресурси, що знаход¤тьс¤ в одному м≥сц≥,
яќц≥нка р≥вн≥в загроз ≥ вразливостей виробл¤Їтьс¤ на основ≥ досл≥дженн¤ непр¤мих фактор≥в. ѕрограмне забезпеченн¤ дл¤ кожноњ групи ресурс≥в ≥ кожного з тип≥в загроз генеруЇ список питань, що допускають однозначну в≥дпов≥дь.
яћожливе проведенн¤ корекц≥њ результат≥в чи використанн¤ ≥нших метод≥в оц≥нки.
Ќа п≥дстав≥ ц≥Їњ ≥нформац≥њ розраховуютьс¤ р≥вн≥ ризик≥в. ќтриман≥ р≥вн≥ загроз, вразливостей ≥ ризик≥в анал≥зуютьс¤ й узгоджуютьс¤ з замовником. “≥льки п≥сл¤ цього переход¤ть до третього етапу.
≈тап 3. ¬иб≥р контрзаход≥в Ќа цьому етап≥ генеруютьс¤ к≥лька вар≥ант≥в заход≥в протид≥њ, адекватних ви¤вленим ризикам ≥ њхн≥м р≥вн¤м. ”мовно њх можна об'Їднати в 3 категор≥њ:
Ќа ц≥й стад≥њ можливо провести пор≥вн¤льний анал≥з ефективност≥ р≥зних вар≥ант≥в захисту.