лекция 5

1.

ПОДХОДЫ К ОЦЕНКЕ
РИСКОВ
ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
ЛЕКЦИЯ 5

2.

КАЧЕСТВЕННЫЙ ПОДХОД К
ОЦЕНКЕ РИСКОВ

3.

Качественный подход к оценке рисков
Качественный подход к оценке рисков позволяет выявить и идентифицировать возможные
виды рисков, свойственных объекту информатизации, а также определить и описать причины и
факторы, влияющие на уровень данного вида риска. Кроме того, качественный анализ
предполагает описание возможного ущерба от проявления рисков, его стоимостной оценки и
мер по снижению или предотвращению риска. При использовании качественного подхода не
нужно определять точные финансовые показатели стоимости активов, ожидаемого ущерба и
стоимости средств управления и контроля. Вместо этого рассчитываются относительные
стоимости.
Качественный подход является основой для проведения дальнейших исследований с помощью
количественных методов. Качественная оценка может использоваться:
– как начальная деятельность по проверке и идентификации рисков, требующих более
детального анализа;
– там, где этот вид анализа является единственным способом оценки уровня риска при
принятии решений;
– там, где количественную оценку по той или иной причине получить невозможно
(недостаточная изученность процесса, существенно субъективный характер оценки и т.п.).

4.

Качественный подход к оценке рисков
Как правило, для проведения качественного анализа используются методы
экспертной оценки. Эксперты, привлекаемые для оценки рисков, должны:
– иметь доступ ко всей необходимой информации об объекте оценки;
– обладать достаточным уровнем креативности мышления и необходимыми знаниями
в соответствующей предметной области;
– быть свободным от личных предпочтений.
Для оценки рисков ИБ могут быть привлечены эксперты по информационной
безопасности, менеджеры и сотрудники IT-подразделений, владельцы и пользователи
информационных активов.
Самой простой формой проведения рейтинговой (экспертной) оценки является
ранжирование. Оно предполагает упорядочение оцениваемых объектов в порядке
возрастания или убывания их качеств.

5.

Качественный подход к оценке рисков
Некоторые методы ранжирования:
■ Мягкая рейтинговая оценка. Например, эксперты оставляют в списке, не указывая приоритет, наиболее
опасные, с их точки зрения, угрозы. Наивысший ранг получает угроза, набравшая наибольшее число голосов
экспертов.
■ Непосредственное ранжирование. Эксперты располагают в определенном порядке оцениваемые объекты,
затем рассчитывается среднее арифметическое место каждого объекта и в соответствии с этим значением
составляется окончательно упорядоченный список. Достоверность результатов экспертизы проверяется по
коэффициенту конкордации – согласованности методов экспертов. Непосредственное ранжирование
невозможно применить, если список оцениваемых объектов остается открытым.
■ Попарное сравнение. Эксперты сопоставляют поочередно каждые два оцениваемых объекта и определяют,
какой из них лучше. Затем эти мнения усредняются и составляется окончательный рейтинг по правилу: «Если А
лучше В, В лучше С, то А лучше С».
■ Ранжирование на основе балльной оценки. Сочетает в себе преимущества непосредственного
ранжирования и ранговой корреляции, при этом список оцениваемых объектов может быть неограничен.
Эксперты сами называют число объектов и оценивают их в баллах или располагают их в определенном порядке.
При этом порядковому номеру присваивается соответствующее число баллов. Для получения окончательного
упорядоченного списка ранжируемых объектов баллы складываются, а объекты располагаются в порядке
возрастания или убывания баллов.

6.

Качественный подход к оценке рисков
■ Преимущества качественного подхода состоят в том, что он выдвигает
меньше требований к экспертам и позволяет отказаться от сложных процедур
определения точной стоимости актива, затрат на средства управления и контроля
и т. п.
■ Недостаток качественного подхода состоит в присутствии определенного
уровня субъективности. Полученные результаты не имеют однозначной
интерпретации, а относительные величины, определенные в ходе качественной
оценки рисков, могут не удовлетворять некоторых сотрудников, ответственных за
принятие деловых решений (особенно сотрудников, работающих в сфере учета
или финансов).

7.

КОЛИЧЕСТВЕННЫЙ ПОДХОД К
ОЦЕНКЕ РИСКОВ

8.

Количественный подход к оценке рисков
■ Количественный подход к оценке рисков предполагает численное определение
величин отдельных рисков и интегральной оценки риска в целом. Количественный
анализ базируется на теории вероятностей, математической статистике, теории
исследования операций. Качество анализа зависит от точности и полноты числовых
значений и от обоснованности используемых моделей.
■ Целью количественной оценки рисков является вычисление объективных числовых
значений каждого компонента, выявленного в ходе оценки рисков и анализа выгод и
затрат. Например, организация может оценить реальную стоимость каждого
информационного актива с точки зрения затрат на его замену, ущерба в показателях
снижения производительности, ущерба в показателях потери деловой репутации и
других прямых и непрямых показателях ущерба. Этот же подход следует применять
при определении подверженности актива воздействию, стоимости элементов
контроля и других вели-чин, выявленных в ходе управления рисками.

9.

Количественный подход к оценке рисков
Данный подход содержит несколько недостатков, которые трудно преодолимы:
1) Не существует эффективного формализованного метода, позволяющего точно определить
стоимости активов и средств управления и контроля. Другими словами, несмотря на
кажущуюся точность полученных характеристик, финансовые показатели фактически
основываются на оценках. Как, например, точно определить влияние проблемы с
безопасностью, получив-шей широкую огласку, на имидж фирмы? В некоторых случаях
этого можно добиться, проанализировав статистические данные, однако зачастую это невозможно.
2) Организации, пытавшиеся скрупулезно реализовать все аспекты количественного подхода
к управлению рисками, обнаружили, что это требует слишком больших затрат. Как правило,
завершение первого полного цикла подобных проектов требует длительного времени, а в
сами проекты вовлечено большое число сотрудников, которые не могут согласовать
принципы вычисления конкретных финансовых показателей.
3) Организации, в которых атаки на дорогостоящие информационные активы приводят к
очень большим убыткам, могут выделить значительные дополнительные средства на
снижение всех возможных рисков.
В рамках количественного подхода принято рассматривать экономическую и
вероятностную модели оценки риска.

10.

Количественный подход к оценке рисков
1. Экономическая модель
Экономическая модель позволяет оценить стоимость ущерба от реализации некоторой
атаки.
Стоимость потерь от снижения производительности сотрудников атакованного узла или
сегмента определяется по формуле:
NC
ZC
П П С 1
tП ,
192
где tП – время простоя вследствие атаки (в часах), ZC – зарплата сотрудников
атакованного узла (денежных единиц в месяц), NC – количество сотрудников
атакованного узла, 192 – количество рабочих часов в месяц (24*8)

11.

Количественный подход к оценке рисков
Стоимость восстановления работоспособности атакованного узла или сегмента:
П В П ВИ П ПВ П ЗЧ ,
где ПВИ – стоимость повторного ввода информации, ППВ – стоимость восстановления узла
(переустановка системы, конфигурирование и т.д.), ПЗЧ – стоимость замены оборудования или
запасных частей.
N
ZC
C
П ВИ С 1
t ВИ ,
192
где tВИ – время повторного ввода потерянной информации (в часах).
где tВ – время восстановления после атаки (в часах), ZО – зарплата обслуживающего персонала
(администраторов) (денежных единиц в месяц), NО – количество обслуживающего персонала.

12.

Количественный подход к оценке рисков
Упущенная выгода (ущерб) от простоя атакованного узла или сегмента определяется по формуле:
U ПП ПВ V ,
где V – выгода.
где ОПР – объем продаж атакованного узла или сегмента (денежных единиц за год), 52 – количество
рабочих недель за год, 5 – количество рабочих дней в неделю, 8 – количество рабочих часов в день.
Общий ущерб определяется как сумма ущерба от атаки за год :
где I – число атакованных узлов, n – число атак в год.

13.

Количественный подход к оценке рисков
2. Вероятностная модель
Вероятностная модель позволяет оценить вероятность успешной атаки.
Полный риск можно представить в виде иерархической структуры частных рисков .
Количество уровней иерархии может быть произвольным.
Иерархическая модель риска

14.

Количественный подход к оценке рисков
Объектами риска (
) являются активы (например, ПК с конфиденциальной
информацией, сервер доступа, межсетевой экран и т.д.). С каждым объектом риска
связан свой набор защитных мер (
). Злоумышленник получает доступ к
ресурсам объекта, если успешно преодолевает последовательность мер и средств
защиты.
В составе любого объекта защиты можно выделить некоторые ограниченные
замкнутые пространства или совокупность тесно связанных между собой по
определенному признаку (единый пропускной режим, место расположения, технология
рабочих процессов, перечень сотрудников и т.д.) объектов в составе общего объекта –
так называемые зоны безопасности. Зоны безопасности могут располагаться одна
внутри другой, и по отношению к ним должны обеспечиваться следующие требования:
– эшелонирование средств защиты, что предполагает расположение более важных
зон внутри менее важных;
– равнопрочность, т.е. одинаковая степень противостояния одной и той же угрозе и
отсутствие незащищенных мест для всех участков зоны.

15.

Количественный подход к
оценке рисков
Обычно выделяют 5 типов зон:
1)
Зона
окружающей
среды
(неохраняемая зона). Это внешняя среда,
окружающая объект. Она является
началом пути злоумышленника.
2) Территория объекта (мало
охраняемая зона). Это зона от забора до
зданий.
3) Зона зданий.
4) Зона комнат.
5) Средство хранения информации.
Типы зон безопасности

16.

Количественный подход к оценке рисков
В качестве примера в таблице приведен перечень мер и средств защиты от
несанкционированного доступа (НСД), их характеристики и среднее время возможного
преодоления подготовленным нарушителем.
Таблица 1 – Меры и средства защиты от НСД
№ п/п
Меры и средства защиты
Среднее время преодоления
преграды
Возможный способ преодоления преграды
1
Охраняемая территория со сменой охраны
30 минут
Скрытое проникновение на территорию
2
Пропускная система в здании
10 минут
Подделка документов, сговор, обман
3
Электронный ключ для включения компьютера
1 неделя
Кража, сговор
4
Пароль для входа в систему
1 месяц
Подсматривание, сговор, подбор
5
Пароль для доступа к устройствам
10 суток
Подсматривание, сговор, подбор
6
Пароль для доступа к базе данных
10 суток
Подсматривание, сговор, подбор
7
Зарегистрированный внешний носитель для записи
1 сутки
Кража, сговор, принудительная регистрация
8
Подтверждение подлинности пользователя в процессе сеанса
1 сутки
Подсматривание, выпытывание, сговор
9
Телемониторинг помещений
2 суток
Имитация неисправности, ложные ролики, смешение с
персоналом, сговор
10
Шифрование со сменой ключей
2 года
Дешифровка, сговор
Данная таблица может быть дополнена. Кроме того, для каждого объекта риска при
необходимости может быть разработана своя аналогичная таблица.

17.

Количественный подход к оценке рисков
Вероятность успешной атаки определяется по формуле:
где Рiзащ – вероятность сохранения защищенности объекта риска Xi, определяемая по формуле:
где Ni – количество средств защиты, которые необходимо преодолеть нарушителю, чтобы получить
доступ к i-му объекту риска, Pir – вероятность преодоления нарушителем r-ого средства защиты Xi-го
объекта риска.
Замечание: Произведение вероятностей используется при последовательном расположении мер и
средств защиты. Если они расположены параллельно, злоумышленник выберет средство защиты,
вероятность преодоления которого больше.

18.

Количественный подход к оценке рисков
Пример:
Произведение вероятностей используется при последовательном расположении мер и средств
защиты. Если они расположены параллельно, злоумышленник выберет средство защиты,
вероятность преодоления которого больше.
Рассмотрим пример расчета вероятности сохранения защищенности некоторого
информационного актива при расположении средств защиты, представленном на рисунке:
Рисунок 1. Пример расположение мер и средств защиты

19.

Количественный подход к оценке рисков
Формула
для данной схемы примет вид:
На рисунке 1 представлен случай, когда четко можно
разграничить рубежи защиты. Но не всегда представляется
возможным. Например, окно помещения, где находится объект
защиты (ОЗ), с одной стороны является барьером на входе в
зону здания, а с другой – в зону комнаты. В данном случае
более удобным будет изображение пространственной схемы
проникновения злоумышленника в виде графа. При этом
анализировать граф (для нахождения наиболее вероятного
пути проникновения) удобнее, начиная от объекта защиты. На
рисунке 2 изображена интерпретация схемы, представленной
на рисунке 1, в виде графа.
Вероятности преодоления мер и средств защиты
определяются по статистическим данным, полученным
анализаторами атак, комплексами обнаружения и защиты от
атак.
Представление пути
проникновения злоумышленника
в виде графа

20.

Количественный подход к оценке рисков
Пример:
Необходимо оценить риск для системы, включающей ПК, пограничный маршрутизатор,
межсетевой экран, 3 сервера. Вероятность защищенности ПК 0,9, вероятность защищенности
пограничного маршрутизатора 0,999, вероятность защищенности межсетевого экрана 0,999.
Основной угрозой для серверов является угроза НСД. Меры и средства защиты от НСД,
представленные в таблице 1, расположены последовательно.
При наличии охраны и пропускной системы первые 3 защитные меры преодолеваются с
вероятностью 0,75.
При использовании сменяемых паролей защитные меры 4, 5, 6 преодолеваются с вероятностью
0,3.
При наличии криптографических средств защиты десятая защитная мера преодолевается с
вероятностью 0,01.
Защитные меры 7, 8, 9 не используются.

21.

Количественный подход к оценке рисков
Решение:
Сначала необходимо вычислить вероятность сохранения защищенности серверов:
Далее подставляем полученные значения, а также значения вероятностей защищенности ПК,
маршрутизатора и межсетевого экрана в формулу для нахождения вероятности успешной атаки:
Ответ: вероятность успешной атаки равна 0,107.

22.

СПАСИБО ЗА ВНИМАНИЕ!