Комплексні системи захисту інформації. Проектування, впровадження, супровід

Ідентифiкацiявразливостей системи

Необхiдно iдентифiкувати всi вразливостi, якi можуть бути використанi потенцiйними загрозами для нанесення збитку. Навiть та вразливiсть, яка не вiдповiдае нiякiй загрозi i тому не вимагае засобiв захисту, повинна знаходитися пiд контролем на предмет можливих змiн.

Зрозумiло, що аналiз загроз повинен розглядатися у тiсному зв'язку з вразливостями ІТС. Завданням даного етапу управлiння ризиками е складання перелiку можливих вразливостей системи i класифiкацiя цих вразливостей з урахуванням iх «сили».

Градацiю вразливостей можна розбити по таких рiвнях: високий, середнiй та низький.

Джерелами складання такого перелiку уразливостей можуть стати:

– загальнодоступнi, регулярно друкованi списки вразливостей;

– списки вразливостей, що друкуються виробниками ПЗ;

– результати тестiв на проникнення (проводяться адмiнiстратором безпеки);

– аналiз звiтiв сканерiв вразливостей (проводяться адмiнiстратором безпеки).

У загальному випадку вразливостi можна класифiкувати таким чином:

– вразливостi ОС i ПЗ (програмнi помилки), виявленi виробником або незалежними експертами;

– вразливостi системи, пов'язанi з помилками в адмiнiструваннi (наприклад, незакритi мiжмережевим екраном порти з уразливими сервiсами, загальнодоступнi незаблокованi мережевi ресурси тощо);

– вразливостi, джерелами яких можуть стати iнциденти, не передбаченi полiтикою безпеки, а також подii стихiйного характеру.

Як приклад поширеноi вразливостi ОС i ПЗ можна привести переповнювання буфера.

Ідентифiкацiя наслiдкiвреалiзацii загроз

Мають бути iдентифiкованi усi можливi наслiдки реалiзацii загроз. Наслiдком може бути втрата iнформацii, ресурсiв ІТС, несприятливi операцiйнi умови, втрата бiзнесу, збиток, нанесений репутацii тощо. Наслiдки можуть бути тимчасовими або постiйними, як у разi руйнування активiв.

Вимiрювання ризикiв

Вимiрювання ризикiв складаеться з таких заходiв:

– розробка методологii вимiрювання;

– оцiнка наслiдкiв реалiзацii загроз;

– оцiнка вiрогiдностi ризикiв;

– вимiр рiвня ризикiв.

Розробка методологii вимiрювання

Методологiя вимiрювання ризикiв може бути якiсною або кiлькiсною, або iх комбiнацiею, залежно вiд обставин. На практицi якiсна оцiнка часто використовуеться першою для отримання загальних вiдомостей про рiвень ризикiв i виявлення iх основних значень.