ВВедение, 1 глава. Анализ предметной области и постановка задачи 4 1 Классификация информационных рисков 8
 Скачать 274.56 Kb.
|
2.2 Качественная и количественная оценка рисковНаиболее распространенной на практике является качественная оценка рисков, суть которой заключается в определении значений параметров риска (вероятности возникновения угрозы, вероятности использования уязвимости и величины ущерба) по некоторым, сформированным заранее, качественным шкалам. Классическим примером является трехуровневая шкала оценки параметров риска со значениями «высокий», «средний» и «низкий». Уровень риска определяется по специальной матрице, в которой возможные уровни риска проставлены на пересечениях значений, принимаемых его параметрами. Качественная оценка рисков дает лишь грубые, трудно интерпретируемые результаты и, тем самым, не позволяет аргументировать размер инвестиций в ИБ и сформировать рациональный комплекс защитных мер. Распространенность качественной оценки рисков обусловлена тем, что количественная оценка вероятности рискового события весьма затруднена ввиду отсутствия четких требований к составу исходных данных, правил оценки (математической модели) и достаточного количества статистических данных [Вихров Н.М., Нырков А.П., Каторин Ю.Ф., Шнуренко А.А., Башмаков А.В., Соколов С.С., Нурдинов Р.А. Анализ информационных рисков // Морской вестник. 2015. № 3 (55). С. 81-85. Дулатов И.Н., Нырков А.П. Современные подходы к оценке рисков информационной безопасности // Материалы III Международной научно- практической конференции «Информационные управляющие системы и технологии». 2014. С. 155-157.]. Количественная оценка риска R в простейшем случае осуществляется по формуле [NIST SP 800-30. Risk Management Guide for Information Technology Systems. NIST, 2002. 56 p.]: R = p  q , (1)где p – вероятность рискового события; q – величина ущерба. Чаще всего под рисковым событием понимается реализация угрозы. Вероятность реализации угрозы принимает значения в интервале [0; 1] и определяется при помощи экспертных, статистических и прочих методов, рассмотренных подробнее в пункте 1.3.2 диссертационной работы. Прогнозирование вероятности рисковых событий с приемлемой точностью является весьма трудоемкой задачей, вследствие чего получить точную количественную оценку сложно. Вместе с тем объективная количественная оценка рисков позволяет повысить качество выбора защитных мер для ИС. Величина ущерба в результате реализации угрозы при количественной оценке рисков определяется в стоимостных показателях. Поскольку вероятность является безразмерной величиной, единица измерения риска соответствует выбранной единице измерения ущерба. При оценке величины ущерба от реализации угрозы необходимо учитывать различные последствия, подразделяемые на материальные (финансовые) и нематериальные (репутационные, ущерб окружающей среде и прочие). Для оценки величины ущерба должны привлекаться профильные специалисты: экономисты, юристы, экологи, специалисты по охране труда и другие. Показатели вероятности и ущерба могут быть по-разному декомпозированы, в результате чего формула (1) становится более детализированной. Зачастую в литературе, посвященной вопросам ИБ, риск определяется по формуле [Астахов А.М. Искусство управления информационными рисками. М.: ДМК Пресс, 2010. 312 с. , Ларина И.Е. Экономика защиты информации: учеб. пособие. М.: МГИУ, 2007. 92 с.]: R = pT pV q , (2)где pT – вероятность возникновения угрозы; pV – вероятность использования уязвимости. Формула (2) может быть детализирована посредством добавления в нее показателей, характеризующих эффективность реализованных защитных мер [ISO/IEC 31010:2009. Risk management. Risk assessment techniques. ISO, 2009. 34 p.]: R = pT (1- Ev ) pV (1-Eq) q , (3)где Ev – эффективность защитных мер, направленных на предотвращение уязвимости; Eq – эффективность защитных мер, направленных на снижение последствий. Стоит отметить, что формулы (1)-(3) справедливы, если риск определяется для одной угрозы и одной уязвимости. Пусть модель угроз безопасности ИС, состоящей из К элементов, содержит X угроз и Y уязвимостей. Угроза может быть реализована посредством использования одной из нескольких уязвимостей. Если предположить, что данные уязвимости независимы, то вероятность нарушения безопасности k-го элемента ИС в результате реализации x-ой угрозы p (k | x) можно определить по формуле:  (4)где pT (x) – вероятность возникновения x-ой угрозы; pV (x | y) – вероятность использования y-ой уязвимости x-ой угрозой. Если предположить, что угрозы независимы, то риск безопасности k-го элемента ИС R(k) может быть определен по формуле: R(k )  (5)где q (k) – величина ущерба от нарушения безопасности k-го элемента ИС. Формула (5) имеет существенный недостаток – в ней многократно учитываются одни и те же последствия, наступающие при реализации разных угроз. Например, повреждение сервера может быть вызвано пожаром, затоплением, физическим воздействием со стороны человека, неправильной эксплуатацией либо естественным износом оборудования. При этом значение риска, определенного по формуле (5), может превысить реальный ущерб от повреждения сервера. Если предположить, что угрозы приводят к одинаковым последствиям, то риск безопасности элемента ИС может быть определен по формуле:  ) . (6)Формула (6) основана на трудновыполнимом ограничении, поскольку, как правило, различные угрозы приводят к разным последствиям. В случае если величина ущерба определяется отдельно для нарушения каждого из свойств безопасности элемента ИС, риск быть определен по формуле [Мур М. Управление информационными рисками // Финансовый директор. 2003. № 9. С. 64-68.]: R(k) p(kC) q(kC) p(kM) q(kM) p(kU) q(kU) , (7) где p(kC), p(kM), p(kU) – значения вероятности нарушения конфиденциальности, целостности и доступности k-го элемента ИС; q(kC), q(kM), q(kU) – значения ущерба, возникающего при нарушении конфиденциальности, целостности и доступности k-го элемента ИС. Полный риск RISопределяется как сумма рисков безопасности элементов ИС до внедрения защитных мер:  В методике оценки рисков компании Microsoft [Microsoft Solutions for Security and Compliance. The Security Risk Management Guide. San Francisco: Microsoft Corporation, 2006. 129 p.] и методике RiskWatch [Астахов А.М. Искусство управления информационными рисками. М.: ДМК Пресс, 2010. 312 с.] вместо показателя «риск» используется показатель ALE (Annual Loss Expectancy), определяемый по формуле: ALE = Asset Value Explosure Factor Frequency, (9)где AssetValue – стоимость элемента ИС; Exposure Factor – коэффициент воздействия, характеризующий, какая часть (в процентах) от стоимости элемента ИС подвергается риску; Frequency – частота реализации угрозы. Показатель ALE может быть также рассчитан по формуле: ALE = ARO SLE , (10)где ARO (Annualized Rate of Occurrence) – ожидаемая годовая частота реализации угрозы; SLE (Single Loss Expectancy) – ожидаемый единичный ущерб, определяемый как разница между первоначальной стоимостью элемента ИС и его остаточной стоимостью после реализации угрозы. Таким образом, во всех рассмотренных формулах риска (1)-(7) и близкого к нему показателя ALE (9)-(10), можно выделить две главные составляющие: вероятность (частота) возникновения рискового события (реализации угрозы, нарушения свойства элемента ИС); величина ущерба от возникновения рискового события. |