Комплексні системи захисту інформації. Проектування, впровадження, супровід

З метою пiдвищення ефективностi аналiзу ризикiв вiн проводиться по рiзних напрямах:

– для об'ектiв ІТС;

– для процесiв, процедур i програм обробки iнформацii;

– для каналiв зв'язку;

– для побiчних електромагнiтних випромiнювань i наведень;

– для механiзмiв керування системою захисту.

Процес аналiзу ризикiв включае оцiнку:

– можливих втрат в результатi реалiзацii загроз;

– вiрогiдностi виявлення вразливостей системи, що впливае на оцiнку можливих втрат;

– витрат на впровадження заходiв i засобiв захисту, якi скорочують ризик до прийнятного рiвня.

Витрати на КСЗІ необхiдно спiввiднести з цiннiстю iнформацiйних ресурсiв, якi пiддаються ризику, а також зi збитком, який може бути нанесений органiзацii в результатi реалiзацii загроз. По завершеннi аналiзу ризикiв реалiзацii загроз уточнюються допустимi залишковi ризики та витрати на заходи захисту iнформацii.

На даний час керування ризиками iнформацiйноi безпеки визначае мiжнародний стандарт ISO/IEC 27005—2011 «Інформацiйна технологiя.

Згiдно вимог цього стандарту керування ризиками складаеться з 4-х етапiв:

1) визначення критерiiв;

2) аналiз ризикiв;

3) обробка ризикiв;

4) прийняття ризикiв.

Кiнцевою метою керування ризиком е мiнiмiзацiя ризику. Мета мiнiмiзацii ризику полягае в тому, що застосування ефективних заходiв захисту призводить до прийняття залишкового ризику.

Мiнiмiзацiя ризику складаеться з трьох частин:

– визначення областей, де ризик неприйнятний;

– вибiр ефективних заходiв захисту;

– оцiнювання заходiв захисту та визначення прийнятностi залишкового ризику.

2.1. Визначення критерiiв

На цьому етапi використовуються данi обстеження всiх середовищ ІТС з метою визначення того, якi iнформацiйнi та технiчнi ресурси зi складу ІТС i з якою детальнiстю повиннi розглядатися в процесi керування ризиком. Крiм того, необхiдно розробити критерii оцiнки ризикiв, впливу на активи та прийняття ризикiв.

Критерii оцiнки ризику повиннi розроблятися, враховуючи наступне:

– стратегiчна цiннiсть обробки iнформацii;

– критичнiсть iнформацiйних активiв;

– нормативно-правовi вимоги та договiрнi зобов'язання;

– важливiсть доступностi, конфiденцiйностi та цiлiсностi iнформацii.

Крiм того, критерii оцiнки ризикiв можуть використовуватися також для визначення прiоритетiв для обробки ризикiв.