Основні етапи управління ризиками

Етапи, попередні аналізу загроз, можна вважати підготовчими, оскільки, строго кажучи, вони напряму з ризиками не пов'язані. Ризик з'являється там, де є загрози.

Короткий перелік найбільш поширених загроз був розглянутий нами раніше. На жаль, на практиці загроз набагато більше, причому далеко не всі з них носять комп'ютерний характер. Так, цілком реальною загрозою є наявність мишей і тарганів у займаних організацією приміщеннях. Перші можуть пошкодити кабелі, друге викликати коротке замикання. Як правило, наявність тієї чи іншої загрози є наслідком прогалин у захисті інформаційної системи, які, у свою чергу, пояснюються відсутністю деяких сервісів безпеки або недоліками в реалізують їх захисних механізмах. Небезпека прогризання кабелів виникає не просто там, де є миші, вона пов'язана з відсутністю або недостатньою міцністю захисної оболонки.

Перший крок в аналізі загроз - їх ідентифікація. Розглянуті види загроз варто вибирати виходячи з міркувань здорового глузду (виключивши, наприклад, землетрусу, проте не забуваючи про можливість захоплення організації терористами), але в межах обраних видів провести максимально детальний аналіз.

Доцільно виявляти не тільки самі загрози, але й джерела їх виникнення - це допоможе у виборі додаткових засобів захисту. Наприклад, нелегальний вхід в систему може стати наслідком відтворення початкового діалогу, підбору пароля або підключення до мережі неавторизованого устаткування. Очевидно, для протидії кожному з перерахованих способів нелегального входу потрібні свої механізми безпеки.

Після ідентифікації загрози необхідно оцінити вірогідність її здійснення. Допустимо використовувати при цьому трибальною шкалою (низька (1), середня (2) і висока (3) ймовірність).

Крім імовірності здійснення, важливий розмір потенційного збитку. Наприклад, пожежі бувають нечасто, але збиток від кожного з них, як правило, великий. Тяжкість збитку також можна оцінити за трибальною шкалою.

Оцінюючи розмір шкоди, необхідно мати на увазі не тільки безпосередні витрати на заміну устаткування або відновлення інформації, але й більш віддалені, такі як підрив репутації, ослаблення позицій на ринку і т.п. Нехай, наприклад, в результаті дефектів в управлінні доступом до бухгалтерської інформації співробітники дістали можливість коректувати дані про власну заробітної плати. Наслідком такого стану справ може стати не тільки перевитрата бюджетних або корпоративних коштів, а й повне розкладання колективу, що загрожує розвалом організації.

Уразливі місця мають властивість притягати до себе не тільки зловмисників, а й порівняно чесних людей. Не всякий встоїть перед спокусою трохи збільшити свою зарплату, якщо є впевненість, що це зійде з рук. Тому, оцінюючи ймовірність здійснення загроз, доцільно виходити не тільки з середньостатистичних даних, але враховувати також специфіку конкретних інформаційних систем. Якщо в підвалі будинку, займаного організацією, розташовується сауна, а сам будинок має дерев'яні перекриття, то ймовірність пожежі, на жаль, виявляється істотно вище середньої.

Після того, як накопичені вихідні дані та оцінено ступінь невизначеності, можна переходити до обробки інформації, тобто власне до оцінки ризиків. Цілком допустимо застосувати такий простий метод, як множення вірогідності здійснення загрози на передбачуваний збиток. Якщо для вірогідності і збитку використовувати трибальною шкалою, то можливі творів буде шість: 1, 2, 3, 4, 6 і 9.Перші два результати можна віднести до низького ризику, третій і четвертий - до середнього, два останні - до високого, після чого з'являється можливість знову привести їх до трибальною шкалою. За цією шкалою і слід оцінювати прийнятність ризиків. Правда, граничні випадки, коли обчислена величина співпала з прийнятною, доцільно розглядати ретельніше через наближеного характеру результату.

Якщо будь-які ризики опинилися неприпустимо високими, необхідно їх нейтралізувати, реалізувавши додаткові заходи захисту. Як правило, для ліквідації або нейтралізації вразливого місця, яка зробила загрозу реальною, існує декілька механізмів безпеки, різних по ефективності і вартості. Наприклад, якщо велика ймовірність нелегального входу в систему, можна вимагати, щоб користувачі вибирали довгі паролі (скажімо, не менше восьми символів), задіяти програму генерації паролів або закупити інтегровану систему аутентифікації на основі інтелектуальних карт. Якщо є ймовірність умисного пошкодження сервера баз даних, що може мати серйозні наслідки, можна врізати замок у двері серверної кімнати або поставити біля кожного сервера по охоронцеві.

Оцінюючи вартість заходів захисту, доводиться, зрозуміло, враховувати не тільки прямі витрати на закупівлю обладнання та / або програм, а й витрати на впровадження новинки і, зокрема, навчання та перепідготовку персоналу. Цю вартість також можна оцінити за трибальною шкалою і потім порівняти її з різницею між обчисленим і допустимим ризиком. Якщо за цим показником новий засіб виявляється економічно вигідним, його можна взяти на замітку (відповідних коштів, ймовірно, буде декілька).Проте якщо засіб виявиться дорогим, його не слід відразу відкидати, пам'ятаючи про наближеності розрахунків.

Вибираючи відповідний спосіб захисту, доцільно враховувати можливість екранування одним механізмом забезпечення безпеки відразу декількох прикладних сервісів. Так вчинили в Массачусетському технологічному інституті, захистивши декілька тисяч комп'ютерів сервером аутентифікації Kerberos.

Важливою обставиною є сумісність нового засобу з ситуацією, організаційної та апаратно-програмної структурою, з традиціями організації. Заходи безпеки, як правило, носять недружній характер, що може негативно позначитися на ентузіазмі співробітників. Часом збереження духу відкритості важливіше мінімізації матеріальних втрат. Втім, такого роду орієнтири повинні бути розставлені в політиці безпеки верхнього рівня.

Можна уявити собі ситуацію, коли для нейтралізації ризику не існує ефективних і прийнятних за ціною заходів. Наприклад, компанія, що базується у сейсмічно небезпечній зоні, не завжди може дозволити собі будівництво захищеної штаб-квартири. У такому випадку доводиться піднімати планку прийнятного ризику і переносити центр ваги на пом'якшення наслідків і вироблення планів відновлення після аварій, стихійних лих та інших подій. Продовжуючи приклад з сейсмонебезпечній, можна рекомендувати регулярне тиражування даних в інше місто і оволодіння засобами відновлення первинної бази даних.

 Як і всяку іншу діяльність, реалізацію та перевірку нових регуляторів безпеки слід заздалегідь планувати. У плані необхідно врахувати наявність фінансових коштів і терміни навчання персоналу. Якщо мова йде про програмно-технічному механізмі захисту, потрібно скласти план тестування (автономного та комплексного).

Коли намічені міри прийняті, необхідно перевірити їх дієвість, тобто переконатися, що залишкові ризики стали прийнятними. Якщо це насправді так, значить, можна спокійно намічати дату найближчої переоцінки. В іншому випадку доведеться проаналізувати допущені помилки і провести повторний сеанс управління ризиками негайно.