2018-02-14
3032
Под угрозой ИБ понимается потенциально возможное случайное или преднамеренное событие, процесс или явление, приводящее к нарушению конфиденциальности, целостности и доступности информации или поддерживающей ее инфраструктуры, которое наносит ущерб владельцу или пользователю информации.
Анализ источников угроз информационной безопасности ХС.
По сфере воздействия на информационную систему ХС источники угроз ИБ можно разделить на внутренние и внешние.
По мотивации воздействия на информационные ресурсы и системы, источники угроз ИБ можно разделить на преднамеренные и случайные.
Преднамеренные (умышленные) угрозы связаны с корыстными стремлениями людей (злоумышленников).
Случайные (неумышленные) угрозы вызваны ошибками в проектировании элементов информационных систем, в программном обеспечении, в действиях сотрудников и т. п.
Классификация источников угроз информационной безопасности для информационной системы ХС представлена на рис
При анализе угроз информационной безопасности рассматриваются все виды угроз, обусловленных различными факторами, среди которых выделим четыре основных класса:
- угрозы, возникновение которых обусловлено человеческим фактором;
- угрозы, связанные с техническими средствами, используемыми при разработке и эксплуатации информационных систем;
- угрозы, связанные с программными средствами, используемыми при разработке и эксплуатации информационной системы;
- техногенные угрозы, возникающие вследствие форс-мажорных обстоятельств.
Анализ и управление рисками ИБ.
Риск – функция вероятности реализации определенной угрозы (использующей некоторые уязвимости) и величины возможного ущерба.
Анализ рисков — процесс идентификации информационных рисков, определение вероятности их осуществления и потенциального воздействия, а также имеющихся контрмер, уменьшающих это воздействие (угроз и уязвимостей). Анализ рисков является частью управления рисками.
Управление рисками – процесс, включающий анализ рисков, выбор, реализация и оценка эффективных и экономичных контрмер, проверка, что риски установлены на приемлемом уровне.
Типовые критерии, используемые компаниями для оценки защищенности ИР:
-наличие корпоративных стандартов в этой области
-систематичность работы аудиторов в области ИБ
-соблюдение компанией международных стандартов в области ИБ
-минимизация инцидентов в области ИБ
-минимизация финансовых потерь в результате данных инцидентов
-выделение необходимых денежных средств на расходы связанные с ИБ
Подходы управления рисками ИБ:
-Уменьшение риска
-Уклонение риска
-Изменение характера риска
-Принятие риска
Наличие системы управления рисками является обязательным условием эффективного функционирования СОИБ компании.
Цели анализа рисков:
-определить цели управления ИБ;
-оценить основные критичные области, отрицательно влияющие на ключевые бизнес-процессы компании;
-выработать эффективные и обоснованные решения для контроля или минимизации выявленных рисков;
-определить баланс между возможным ущербом от утечки информации и размером затрат на ИБ;
-наглядно представить и обосновать структуру затрат на ИБ для руководства.
