Методичні вказівки до виконання курсового проекту з дисципліни проектування захищених

• Название: Методичні вказівки до виконання курсового проекту з дисципліни проектування захищених
• Анкор: M_V_KP_ZKCM_u.doc
• Дата: 04.08.2018
• Размер: 0.54 Mb.
• Имя файла: M_V_KP_ZKCM_u.doc
• Тип: Методичні вказівки; #22454
• страница: 9 из 14

4.2 Розробка політики безпеки інформації в ІТС

4.2.1 Вивчення об’єкта, на якому створюється КСЗІ, проведення науково-дослідних робіт

На цьому етапі розробник КСЗІ проводить детальне вивчення об’єкта, на якому створюється КСЗІ, уточнює моделі загроз, потенційного порушника та результати аналізу можливості керування ризиками, які виконані на попередніх етапах, а також виконує у разі необхідності додаткові науково-дослідні роботи, пов’язані з пошуком шляхів реалізації завдання на створення КСЗІ, оформлює і затверджує звіти з НДР, що виконувалися.

4.2.2 Вибір варіанту КСЗІ

У загальному випадку за результатами робіт попереднього етапу готуються альтернативні варіанти концепції створення КСЗІ і планів їх реалізації, здійснюється оцінка переваг і недоліків кожного варіанту, вибір найбільш оптимального варіанту. Концепція оформлюється у вигляді звіту.

4.2.3 Оформлення політики безпеки

На цьому етапі здійснюється:

• 
  вибір основних рішень з протидії всім суттєвим загрозам, формування загальних вимог, правил, обмежень, рекомендацій і т.п., які регламентують використання захищених технологій обробки інформації в ІТС, окремих заходів і засобів захисту інформації, діяльність користувачів всіх категорій;
  
• 
  документальне оформлення політики безпеки інформації.
  

Політика безпеки може розроблятись для ІТС в цілому або, якщо мають місце особливості функціонування окремих компонентів КСЗІ, для окремої компоненти, для окремої функціональної задачі, для окремої технології обробки інформації тощо.

Політика безпеки розробляється згідно з положеннями НД ТЗІ 1.1-002 та рекомендаціями НД ТЗІ 1.4-001. Політику безпеки рекомендується оформляти у вигляді окремого документу Плану захисту.

Слід враховувати наступне:

1. Положення політики безпеки, які пов’язані з рішеннями, що приймаються на наступних етапах робіт (стосовно проектних рішень, організації робіт, встановлення відповідальності, порядку впровадження і експлуатації КСЗІ та ін.), вносяться до документу після прийняття цих рішень на відповідних етапах.

2. Результати обстеження середовища функціонування ІТС, завдання на створення КСЗІ, результати розроблення політики безпеки, можуть включатися до вимог технічного завдання на створення КСЗІ, а самі роботи виконуватись відповідно до етапів, визначених в ТЗ.

4.3. Розробка плану захисту ІТС

План захисту рекомендується розробляти для всіх ІТС, в яких обробляється інформація, що підлягає захисту згідно з законодавством України, користуючись зазначеними вимогами до його складу і змісту.

План захисту повинен складатись з наступних розділів:

• 
  завдання захисту інформації в ІТС;
  
• 
  класифікація інформації, що обробляється в ІТС;
  
• 
  опис компонентів ІТС та технології обробки інформації;
  
• 
  загрози для інформації в ІТС;
  
• 
  політика безпеки інформації в ІТС;
  
• 
  система документів з забезпечення захисту інформації в ІТС.
  

На підставі Плану захисту складається календарний план робіт з захисту інформації в ІТС.

4.3.1 Завдання захисту інформації в ІТС

Повинні бути визначені основні завдання і мета захисту інформації, об’єкти захисту.

Завданнями захисту інформації можуть бути:

• 
  забезпечення визначених політикою безпеки властивостей інформації (конфіденційності, цілісності, доступності) під час створення та експлуатації ІТС;
  
• 
  своєчасне виявлення та знешкодження загроз для ресурсів ІТС, причин та умов, які спричиняють (можуть привести до) порушення її функціонування та розвитку;
  
• 
  створення механізму та умов оперативного реагування на загрози для безпеки інформації, інші прояви негативних тенденцій у функціонуванні ІТС;
  
• 
  ефективне знешкодження (попередження) загроз для ресурсів ІТС шляхом комплексного впровадження правових, морально-етичних, фізичних, організаційних, технічних та інших заходів забезпечення безпеки;
  
• 
  керування засобами захисту інформації, керування доступом користувачів до ресурсів ІТС, контроль за їхньою роботою з боку персоналу СЗІ, оперативне сповіщення про спроби НСД до ресурсів ІТС;
  
• 
  реєстрація, збір, зберігання, обробка даних про всі події в системі, які мають відношення до безпеки інформації;
  
• 
  створення умов для максимально можливого відшкодування та локалізації збитків, що завдаються неправомірними (несанкціонованими) діями фізичних та юридичних осіб, впливом зовнішнього середовища та іншими чинниками, зменшення негативного впливу наслідків порушення безпеки на функціонування ІТС.
  

Політика безпеки, яка реалізується КСЗІ для захисту інформації від потенційних внутрішніх та зовнішніх загроз, повинна поширюватись на наступні об’єкти захисту:

• 
  відомості (незалежно від виду їхнього представлення), віднесені до інформації з обмеженим доступом (ІзОД) або інших видів інформації, що підлягають захисту, обробка яких здійснюється в ІТС і які можуть знаходитись на паперових, магнітних, оптичних та інших носіях;
  
• 
  інформаційні масиви та бази даних, програмне забезпечення, інші інформаційні ресурси;
  
• 
  обладнання ІТС та інші матеріальні ресурси, включаючи технічні засоби та системи, не задіяні в обробці ІзОД, але знаходяться у контрольованій зоні, носії інформації, процеси і технології її обробки. Технічні області, в яких необхідно захищати інформаційне та програмне забезпечення - робоча станція, комунікаційні канали (фізична мережа) та комутаційне обладнання, сервери, засоби друку та буферизації для утворення твердих копій, накопичувачі інформації;
  
• 
  засоби та системи фізичної охорони матеріальних та інформаційних ресурсів, організаційні заходи захисту;
  
• 
  користувачів (персонал) ІТС, власників інформації та ІТС, а також їхні права.
  

Забезпечення безпеки інформації в ІТС досягається:

• 
  організацією та впровадженням системи допуску співробітників (користувачів) до роботи з інформацією, яка потребує захисту;
  
• 
  організацією обліку, зберігання, обігу інформації, яка потребує захисту, та її носіїв;
  
• 
  організацією і координацією робіт з захисту інформації, яка обробляється та передається засобами ІТС;
  
• 
  здійсненням контролю за забезпеченням захисту інформації, яка обробляється засобами ІТС, та за збереженням конфіденційних документів (носіїв).
  

4.3.2 Класифікація інформації, що обробляється в ІТС

Повинні бути класифіковані всі відомості за режимом доступу, за правовим режимом, а також за типом їхнього представлення в ІТС. Класифікація є підставою для визначення власником (розпорядником) інформації або ІТС методів і способів захисту кожного окремого виду інформації.

За режимом доступу інформація в ІТС має бути поділена на:

• 
  відкриту;
  
• 
  з обмеженим доступом.
  

Відкриту інформацію слід поділити на відкриту, яка не потребує захисту, або захист якої забезпечувати недоцільно, та відкриту, яка такого захисту потребує. До другої слід відносити інформацію, важливу для особи, суспільства і держави (відповідно до Концепції технічного захисту інформації в Україні), важливі для організації відомості, порушення цілісності або доступності яких може призвести до моральних чи матеріальних збитків.

За правовим режимом інформація з обмеженим доступом повинна бути поділена на таємну та конфіденційну.

До таємної інформації має бути віднесена інформація, що містить відомості, які становлять державну, а також іншу, передбачену законом таємницю.

Інформація, що становить державну таємницю, в свою чергу, поділяється на категорії відповідно до Закону України “Про державну таємницю”.

Правила доступу до конфіденційної інформації, володіти, користуватися чи розпоряджатися якою можуть окремі фізичні, юридичні особи або держава, встановлює її власник. Конфіденційна інформація може мати велику цінність для її власника, втрата або передача якої іншим особам може завдати організації (власнику) значних збитків. З метою встановлення ПРД до конфіденційної інформації необхідно класифікувати її, поділивши на декілька категорій за ступенем цінності (критерії розподілу можуть бути визначені під час оцінки ризиків).

Для встановлення правил взаємодії активних і пасивних об’єктів ІТС інформація повинна бути класифікована за типом її представлення в ІТС (для кожної з визначених категорій встановлюються типи пасивних об’єктів комп’ютерної системи, якими вона може бути представлена).

4.3.3 Опис компонентів ІТС та технології обробки інформації

Повинна бути проведена інвентаризація усіх компонентів ІТС і зафіксовані всі активні і пасивні об’єкти, які беруть участь у технологічному процесі обробки і тим чи іншим чином впливають на безпеку інформації. Для кожного активного об’єкту ІТС має бути визначено перелік пасивних об’єктів, які з ним взаємодіють.

До об'єктів, що підлягають інвентаризації, можуть бути віднесені:

• 
  обладнання - ЕОМ та їхні складові частини (процесори, монітори, термінали, робочі станції та ін.), периферійні пристрої;
  
• 
  програмне забезпечення - вихідні, завантажувальні модулі, утиліти, СКБД, операційні системи та інші системні програми, діагностичні і тестові програми тощо;
  
• 
  дані - тимчасового і постійного зберігання, на магнітних носіях, друковані, архівні і резервні копії, системні журнали, технічна, експлуатаційна і розпорядча документація та ін.;
  
• 
  персонал і користувачі ІТС.
  

Окрім компонентів ІТС, необхідно дати опис технології обробки інформації в ІТС, що потребує захисту, тобто способів і методів застосування засобів обчислювальної техніки під час виконання функцій збору, зберігання, обробки, передачі і використання даних, або алгоритмів окремих процедур. Опис (як в цілому, так і для окремих компонентів) може бути неформальним або формальним.

При цьому рекомендується розробити структурну схему інформаційних потоків в ІТС, яка б відображала інформаційну взаємодію між основними компонентами ІТС (завданнями, об’єктами) з прив’язкою до кожного елемента схеми категорій інформації та визначених політикою безпеки рівнів доступу до неї.

4.3.4 Загрози для інформації в ІТС

Основою для проведення аналізу ризиків і формування вимог до КСЗІ є розробка моделі загроз для інформації та моделі порушника.

Для створення моделі загроз необхідно скласти перелік суттєвих загроз, описати методи і способи їхнього здійснення.

Необхідно визначити, якими з можливих способів можуть здійснюватися загрози в ІТС:

• 
  технічними каналами, що включають канали побічних електромагнітних випромінювань і наводок, акустичні, оптичні, радіо- та радіотехнічні, хімічні та інші канали;
  
• 
  каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;
  
• 
  несанкціонованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту з метою використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів.
  

Загрози для інформації, що обробляється в ІТС, залежать від характеристик ОС, фізичного середовища, персоналу, технологій обробки та інших чинників і можуть мати об'єктивну або суб'єктивну природу. Загрози, що мають суб'єктивну природу, поділяються на випадкові (ненавмисні) та навмисні. Мають бути визначені основні види загроз для безпеки інформації, які можуть бути реалізовані стосовно ІТС і повинні враховуватись у моделі загроз, наприклад:

• 
  зміна умов фізичного середовища (стихійні лиха і аварії, як землетрус, повінь, пожежа або інші випадкові події);
  
• 
  збої і відмови у роботі обладнання та технічних засобів ІТС;
  
• 
  наслідки помилок під час проектування та розробки компонентів ІТС (технічних засобів, технології обробки інформації, програмних засобів, засобів захисту, структур даних тощо);
  
• 
  помилки персоналу (користувачів) ІТС під час експлуатації;
  
• 
  навмисні дії (спроби) потенційних порушників.
  

Необхідно визначити перелік можливих загроз і класифікувати їх за результатом впливу на інформацію, тобто на порушення яких властивостей вони спрямовані (конфіденційності, цілісності та доступності інформації), а також порушення спостережності та керованості ІТС.

Випадковими загрозами суб’єктивної природи (дії, які здійснюються персоналом або користувачами по неуважності, недбалості, незнанню тощо, але без навмисного наміру) можуть бути:

• 
  дії, що призводять до відмови ІТС (окремих компонентів), руйнування апаратних, програмних, інформаційних ресурсів (обладнання, каналів зв’язку, видалення даних, програм та ін.);
  
• 
  ненавмисне пошкодження носіїв інформації;
  
• 
  неправомірна зміна режимів роботи ІТС (окремих компонентів, обладнання, ПЗ тощо), ініціювання тестуючих або технологічних процесів, які здатні призвести до незворотних змін у системі (наприклад, форматування носіїв інформації);
  
• 
  неумисне зараження ПЗ комп’ютерними вірусами;
  
• 
  невиконання вимог до організаційних заходів захисту чинних в ІТС розпорядчих документів;
  
• 
  помилки під час введення даних в систему, виведення даних за невірними адресами пристроїв, внутрішніх і зовнішніх абонентів тощо;
  
• 
  будь-які дії, що можуть призвести до розголошення конфіденційних відомостей, атрибутів розмежування доступу, втрати атрибутів тощо;
  
• 
  неправомірне впровадження і використання забороненого політикою безпеки ПЗ (наприклад, навчальні та ігрові програми, системне і прикладне забезпечення та ін.);
  
• 
  наслідки некомпетентного застосування засобів захисту;
  
• 
  інші.
  

Навмисними загрозами суб’єктивної природи, спрямованими на дезорганізацію роботи ІТС (окремих компонентів) або виведення її з ладу, проникнення в систему і одержання можливості несанкціонованого доступу до її ресурсів, можуть бути:

• 
  порушення фізичної цілісності ІТС (окремих компонентів, пристроїв, обладнання, носіїв інформації);
  
• 
  порушення режимів функціонування (виведення з ладу) систем життєзабезпечення ІТС (електроживлення, уземлення, охоронної сигналізації, вентиляції та ін.);
  
• 
  порушення режимів функціонування ІТС (обладнання і ПЗ);
  
• 
  впровадження і використання комп’ютерних вірусів, закладних (апаратних і програмних) і підслуховуючих пристроїв, інших засобів розвідки;
  
• 
  використання засобів перехоплення побічних електромагнітних випромінювань і наводів, акусто-електричних перетворень інформаційних сигналів;
  
• 
  використання (шантаж, підкуп тощо) з корисливою метою персоналу ІТС;
  
• 
  крадіжки носіїв інформації, виробничих відходів (роздруків, записів, тощо);
  
• 
  несанкціоноване копіювання носіїв інформації;
  
• 
  читання залишкової інформації з оперативної пам’яті ЕОМ, зовнішніх накопичувачів;
  
• 
  одержання атрибутів доступу з наступним їх використанням для маскування під зареєстрованого користувача (“маскарад”);
  
• 
  неправомірне підключення до каналів зв’язку, перехоплення даних, що передаються, аналіз трафіку тощо;
  
• 
  впровадження і використання забороненого політикою безпеки ПЗ або несанкціоноване використання ПЗ, за допомогою якого можна одержати доступ до критичної інформації (наприклад, аналізаторів безпеки мереж);
  
• 
  інші.
  

Перелік суттєвих загроз має бути максимально повним і деталізованим. Для кожної із загроз необхідно визначити:

• 
  на порушення яких властивостей інформації або ІТС вона спрямована (рекомендується користуватись чотирма основними градаціями – порушення конфіденційності, цілісності, доступності інформації, а також порушення спостережності та керованості ІТС);
  
• 
  джерела виникнення (які суб’єкти ІТС або суб’єкти, зовнішні по відношенню до неї, можуть ініціювати загрозу);
  
• 
  можливі способи здійснення загроз.
  

У кожному конкретному випадку, виходячи з технології обробки інформації, необхідно розробити модель порушника, яка повинна бути адекватна реальному порушнику для даної ІТС. Модель порушника — абстрактний формалізований або неформалізований опис дій порушника, який відображає його практичні та теоретичні можливості, апріорні знання, час та місце дії і т.ін. По відношенню до ІТС порушники можуть бути внутрішніми (з числа співробітників, користувачів системи) або зовнішніми (сторонні особи або будь-які особи, що знаходяться за межами контрольованої зони).

Модель порушника повинна визначати:

• 
  можливу мету порушника та її градацію за ступенями небезпечності для ІТС;
  
• 
  категорії осіб, з числа яких може бути порушник.;
  
• 
  припущення про кваліфікацію порушника;
  
• 
  припущення про характер його дій.
  

Метою порушника можуть бути:

• 
  отримання необхідної інформації у потрібному обсязі та асортименті;
  
• 
  мати можливість вносити зміни в інформаційні потоки у відповідності зі своїми намірами (інтересами, планами);
  
• 
  нанесення збитків шляхом знищення матеріальних та інформаційних цінностей.
  

Рекомендується класифікувати порушників за рівнем можливостей, що надаються їм засобами ІТС, наприклад, поділити на чотири рівні цих можливостей. Класифікація є iєрархічною, тобто кожний наступний рівень включає в себе функціональні можливості попереднього:

• 
  перший рівень визначає найнижчий рівень можливостей ведення діалогу з ІТС — можливість запуску фіксованого набору завдань (програм), що реалізують заздалегідь передбачені функції обробки інформації;
  
• 
  другий рівень визначається можливістю створення і запуску власних програм з новими функціями обробки iнформації;
  
• 
  третій рівень визначається можливістю управління функціонуванням ІТС, тобто впливом на базове програмне забезпечення системи і на склад і конфігурацію її устаткування;
  
• 
  четвертий рівень визначається повним обсягом можливостей осіб, що здійснюють проектування, реалізацію, впровадження, супроводження програмно-апаратного забезпечення ІТС, аж до включення до складу ІТС власних засобів з новими функціями обробки інформації.
  

За рівнем знань про ІТС усіх порушників можна класифікувати як таких, що:

• 
  володіють інформацією про функціональні особливості ІТС, основні закономірності формування в ній масивів даних та потоків запитів до них, вміють користуватися штатними засобами;
  
• 
  володіють високим рівнем знань та досвідом роботи з технічними засобами системи та їхнього обслуговування;
  
• 
  володіють високим рівнем знань у галузі обчислювальної техніки та програмування, проектування та експлуатації ІТС;
  
• 
  володіють інформацією про функції та механізм дії засобів захисту.
  

За використовуваними методами і способами порушників можна класифікувати як таких, що:

• 
  використовують виключно агентурні методи одержання відомостей;
  
• 
  використовують пасивні технічні засоби перехоплення інформаційних сигналів;
  
• 
  використовують виключно штатні засоби ІТС або недоліки проектування КСЗІ для реалізації спроб НСД;
  
• 
  використовують способи і засоби активного впливу на ІТС, що змінюють конфігурацію системи (підключення додаткових або модифікація штатних технічних засобів, підключення до каналів передачі даних, впровадження і використання спеціального ПЗ тощо).
  

За місцем здійснення дії можуть класифікуватись:

• 
  без одержання доступу на контрольовану територію організації (ІТС);
  
• 
  з одержанням доступу на контрольовану територію, але без доступу до технічних засобів ІТС;
  
• 
  з одержанням доступу до робочих місць кінцевих (у тому числі віддалених) користувачів ІТС;
  
• 
  з одержанням доступу до місць накопичення і зберігання даних (баз даних, архівів, АРМ відповідних адміністраторів тощо);
  
• 
  з одержанням доступу до засобів адміністрування ІТС і засобів керування КСЗІ.
  

4.3.5 Політика безпеки інформації в ІТС

Під політикою безпеки інформації (далі - політика безпеки) слід розуміти набір вимог, правил, обмежень, рекомендацій і т. ін., які регламентують порядок обробки інформації і спрямовані на захист інформації від певних загроз. Термін "політика безпеки" може бути застосовано щодо ІТС, окремого її компонента, послуги захисту, що реалізується системою і т. ін. Політика безпеки інформації в ІТС є частиною загальної політики безпеки організації і повинна успадковувати основні її принципи.

Під час розробки політики безпеки повинні бути враховані технологія обробки інформації, моделі порушників і загроз, особливості ОС, фізичного середовища та інші чинники. В ІТС може бути реалізовано декілька різних політик безпеки, які істотно відрізняються.

Як складові частини загальної політики безпеки в ІТС мають існувати політики забезпечення конфіденційності, цілісності, доступності оброблюваної інформації.

Політика безпеки повинна стосуватись: інформації (рівня критичності ресурсів ІТС), взаємодії об’єктів (правил, відповідальності за захист інформації, гарантій захисту), області застосування (яких складових компонентів ІТС політика безпеки стосується, а яких – ні).

Політика безпеки має бути розроблена таким чином, що б вона не потребувала частої модифікації (потреба частої зміни вказує на надмірну конкретизацію, наприклад, не завжди доцільно вказувати конкретну назву чи версію програмного продукту).

Політика безпеки повинна передбачати використання всіх можливих заходів захисту інформації, як-то: правові та морально-етичні норми, організаційні (адміністративні), фізичні, технічні (апаратні і програмні) заходи і визначати правила та порядок застосування в ІТС кожного з цих видів.

Політика безпеки повинна базуватися на наступних основних принципах:

• 
  системності;
  
• 
  комплексності;
  
• 
  неперервності захисту;
  
• 
  достатності механізмів і заходів захисту та їхньої адекватності загрозам;
  
• 
  гнучкості керування системою захисту, простоти і зручності її використання;
  
• 
  відкритості алгоритмів і механізмів захисту, якщо інше не передбачено окремо.
  

Політика безпеки повинна доказово давати гарантії того, що:

• 
  в ІТС (в кожній окремій складовій частині, в кожному функціональному завданні і т. ін.) забезпечується адекватність рівня захисту інформації рівню її критичності;
  
• 
  реалізація заходів захисту інформації є рентабельною;
  
• 
  в будь-якому середовищі функціонування ІТС забезпечується оцінюваність і перевіряємість захищеності інформації;
  
• 
  забезпечується персоніфікація положень політики безпеки (стосовно суб’єктів ІТС), звітність (реєстрація, аудит) для всіх критичних з точки зору безпеки ресурсів, до яких здійснюється доступ в процесі функціонування ІТС;
  
• 
  персонал і користувачі забезпечені достатньо повним комплектом документації стосовно порядку забезпечення захисту інформації;
  
• 
  всі критичні з точки зору безпеки інформації технології (функції) ІТС мають відповідні плани забезпечення неперервної роботи та її поновлення у разі виникнення непередбачених ситуацій;
  
• 
  враховані вимоги всіх документів, які регламентують порядок захисту інформації в ІТС (п. 6 додатку), та забезпечується їхнє суворе дотримання.
  

Політика безпеки розробляється на підготовчому етапі (НД ТЗІ 3.7-001-99) створення КСЗІ. Методологія розроблення політики безпеки включає в себе наступні роботи:

• 
  розробка концепції безпеки інформації в ІТС;
  
• 
  аналіз ризиків;
  
• 
  визначення вимог до заходів, методів та засобів захисту;
  
• 
  вибір основних рішень з забезпечення безпеки інформації;
  
• 
  організація виконання відновлювальних робіт і забезпечення неперервного функціонування ІТС;
  
• 
  документальне оформлення політики безпеки.
  
• 
  Концепція безпеки інформації в ІТС викладає систему поглядів, основних принципів, розкриває основні напрями забезпечення безпеки інформації. Розроблення концепції здійснюється після вибору варіанту концепції створюваної ІТС і виконується на підставі аналізу наступних чинників:
  
• 
  правових і (або) договірних засад;
  
• 
  вимог до забезпечення безпеки інформації згідно з завданнями і функціями ІТС;
  
• 
  загроз, яким зазнають впливу ресурси ІТС, що підлягають захисту.
  
• 
  За результатами аналізу мають бути сформульовані загальні положення безпеки, які стосуються або впливають на технологію обробки інформації в ІТС:
  
• 
  мета і пріоритети, яких необхідно дотримуватись в ІТС під час забезпечення безпеки інформації;
  
• 
  загальні напрями діяльності, необхідні для досягнення цієї мети;
  
• 
  аспекти діяльності у галузі безпеки інформації, які повинні вирішуватися на рівні організації в цілому;
  
• 
  відповідальність посадових осіб та інших суб’єктів взаємовідносин в ІТС, їхні права і обов'язки щодо реалізації завдань безпеки інформації.
  

Аналіз ризиків
Аналіз ризиків передбачає вивчення моделі загроз для інформації та моделі порушників, можливих наслідків від реалізації потенційних загроз (рівня можливої заподіяної ними шкоди) і формування на його підставі моделі захисту інформації в ІТС. Під час проведення аналізу ризиків необхідним є виконання наступних робіт.
Визначення компонентів і ресурсів ІТС, які необхідно враховувати при аналізі
Повинні бути визначені критичні з точки зору безпеки компоненти і ресурси ІТС, які можуть бути об'єктами атаки або самі є потенційним джерелом порушення безпеки інформації (об’єкти захисту). Для цього використовуються відомості п.3 додатку, одержані в результаті обстеження середовищ функціонування ІТС.
Ідентифікація загроз з об’єктами захисту
Встановлюється відповідність моделі загроз і об’єктів захисту, тобто складається матриця загрози/компоненти (ресурси) ІТС. Кожному елементу матриці повинен бути зіставлений опис можливого впливу загрози на відповідний компонент або ресурс ІТС. У процесі упорядкування матриці може уточнюватися список загроз і об’єктів захисту, внаслідок чого коригуватись модель загроз.
Оцінка ризиків
Повинні бути отримані оцінки гранично припустимого й існуючого (реального) ризику здійснення кожної загрози впродовж певного проміжку часу, тобто ймовірності її здійснення впродовж цього інтервалу. Для оцінки ймовірності реалізації загрози рекомендується вводити декілька дискретних ступенів (градацій). Оцінку слід робити за припущення, що кожна подія має найгірший, з точки зору власника інформації, що потребує захисту, закон розподілу, а також за умови відсутності заходів захисту інформації. На практиці для більшості загроз неможливо одержати достатньо об’єктивні дані про ймовірність їхньої реалізації і доводиться обмежуватися якісними оцінками. У цьому випадку значення ймовірності реалізації загрози визначається в кожному конкретному випадку експертним методом або емпіричним шляхом, на підставі досвіду експлуатації подібних систем, шляхом реєстрації певних подій і визначення частоти їхнього повторення тощо.

Оцінка може мати числове або смислове значення (наприклад, ймовірність реалізації загрози – незначна, низька, висока, неприпустимо висока).

У будь-якому випадку існуючий ризик не повинен перевищувати гранично допустимий для кожної загрози. Перевищення свідчить про необхідність впровадження додаткових заходів захисту. Мають бути розроблені рекомендації щодо зниження ймовірності виникнення або реалізації загроз та величини ризиків.
Оцінювання величини можливих збитків, пов'язаних з реалізацією загроз
Виконується кількісна або якісна оцінка збитків, що можуть бути нанесені ІТС (організації) внаслідок реалізації загроз. Доцільно, щоб ця оцінка складалась з величин очікуваних збитків від втрати інформацією кожної з властивостей (конфіденційності, цілісності або доступності) або від втрати керованості ІТС внаслідок реалізації загрози. Для одержання оцінки можуть бути використані такі ж методи, як і при аналізі ризиків. Величина можливих збитків визначається розміром фінансових втрат або, у разі неможливості визначення цього, за якісною шкалою (наприклад, величина збитків - відсутня, низька, середня, висока, неприпустимо висока).
Вибір варіанту побудови КСЗІ
В залежності від конфіденційності інформації, яка обробляється в ІТС, рівня її критичності, величини можливих збитків від реалізації загроз, матеріальних, фінансових та інших ресурсів, які є у розпорядженні власника ІТС, а також інших чинників обґрунтовується пропозиція щодо доцільності застосування варіантів побудови КСЗІ. Можливі наступні варіанти:

• 
  досягнення необхідного рівня захищеності інформації за мінімальних затрат і допустимого рівня обмежень на технологію її обробки в ІТС;
  
• 
  досягнення необхідного рівня захищеності інформації за допустимих затрат і заданого рівня обмежень на технологію її обробки в ІТС;
  
• 
  досягнення максимального рівня захищеності інформації за необхідних затрат і мінімального рівня обмежень на технологію її обробки в ІТС.
  

Якщо інформація становить державну таємницю, то необхідно застосовувати, як правило, третій варіант.
Оцінювання витрат на КСЗІ
Здійснюється первинне (попереднє) оцінювання допустимих витрат на блокування загроз, виходячи з вибраного варіанту побудови КСЗІ і виділених на це коштів. На етапі проектування КСЗІ, після формування пропозицій щодо складу заходів і засобів захисту, здійснюється оцінка залишкового ризику для кожної пропозиції (наприклад, за критерієм “ефективність/вартість”), вибирається найбільш оптимальна серед них і первинна оцінка уточнюється. Якщо залишковий ризик перевищує гранично допустимий, вносяться відповідні зміни до складу заходів і засобів захисту, після чого всі процедури виконуються повторно до одержання прийнятного результату.