Нормативная база по управлению рисками информационной безопасности. Лекция 6

П Р О Б Л Е М А
Извечный вопрос: сколько тратить на безопасность?
Теория ИБ → абстрактные методы анализа, оценки и управление рисками
Принципы и рекомендации общего плана:
BS 7799-3:2006 “Information security management systems – Part 3: Guidelines for information security risk management”
от 17 марта 2006 г.

НОРМАТИВНАЯ БАЗА УПРАВЛЕНИЯ РИСКАМИ
I. Потребность в национальном стандарте
II. Содержание британского стандарта
Оценка риска
Обработка риска
Непрерывная деятельность по управлению
III. Международные стандарты
IV. Развитие

I. ПОТРЕБНОСТЬ В СТАНДАРТЕ
1. Апробация организационных стандартов по ИБ (ГОСТ 17799, ГОСТ 27001, СТО БР ИББС-1.0) в России
Работа секции ПК 27 СТК 1 ИСО/МЭК (ЕВРААС)
Работа ТК 362 «Защита информации»

Организационные стандарты по ИБ в РФ

Три источника, три составных части: историческая справка
BS 7799-1: 2005. Information security management.
Code of practice for information security management
(Практические правила управления информационной безопасностью)
- BS 7799-2: 2005. Information security management. Specification for information security management systems (Требования к системам управления информационной безопасности)
- BS 7799-3: 2006. Information security management systems. Guidelines for information security risk management (Руководство по управлению рисками ИБ)

Взаимосвязь организационных стандартов

Потребность в национальном стандарте
Требования ГОСТ 27001 к СУИБ
Требования к документации при аудите и сертификации
- Потребности в методической и нормативной базах ИБ

СУИБ - часть общей системы управления, основанной на оценке бизнес рисков, которая предназначена для создания, внедрения, эксплуатации, мониторинга, анализа, сопровождения и совершенствования ИБ
Нормативные требования к СУИБ в соответствии с ГОСТ 27001

Нормативные требования к СУИБ в соответствии с ГОСТ 27001 (продолжение)

Гармонизация российских стандартов
Требования ГОСТ 27001:2005 к СУИБ в части управления рисками
BS 7799-3:2006: принципы и рекомендации по реализации требований, относящихся к процессам управления рисками и связанным с ними мероприятиям
ГОСТ 17799:2005: примеры по политике ИБ, активам, угрозам, уязвимостям, целям и механизмам контроля
ГОСТ 9001:2001: требования к документам
ГОСТ 13335-3:2007: примеры стратегий оценки рисков

Международные стандарты 27000-серии

Международные стандарты 27000-серии

II. СОДЕРЖАНИЕ BS 7799-3
0-4. Вводная часть
5. Оценка рисков
6. Обработка риска и принятие решения руководством
7. Непрерывные действия по управлению рисками
Приложения. Примеры активов, угроз, уязвимостей, методов оценки рисков

Термины и определения
Риск - комбинация вероятности события и его последствий
Управление риском (Risk Management) - скоординированные действия по управлению и контролю организации в отношении риска. Обычно включает в себя оценку риска, обработку риска, принятие риска и сообщение о риске
Оценка риска (Risk Assessment) - общий процесс анализа и оценивания риска
Анализ риска (Risk Analysis) - систематическое использование информации для идентификации источников и оценки величины риска
Оценивание риска (Risk Evaluation) - процесс сравнения оценочной величины риска с установленным критерием риска с целью определения уровня значимости риска
Обработка риска (Risk Treatment) - процесс выбора и реализации мер по модификации риска. Меры по обработке риска могут включать в себя избежание, оптимизацию, передачу или сохранение риска

Процессный подход (ISO 27001)
Процессная 4-х фазная модель менеджмента систем (Plan-Do-Check-Act) применительно к СУИБ

Фазы управления рисками
1) Оценка рисков, включающая анализ и оценивание рисков
2) Обработка риска – выбор и реализация мер и средств безопасности
3) Контроль рисков путем мониторинга, тестирования, анализа механизмов безопасности, а также аудита системы
4) Оптимизация рисков путем модификации и обновления правил, мер и средств безопасности

Процессный подход (BS 7799-3)
Процессная модель применительно к управлению рисками

Методики оценки и анализа рисков
Не содержит требований к использованию конкретных методик!
Общие требования к методике:
Возможность определения критериев для принятия риска
Возможность идентификации приемлемых уровней риска
Возможность проведения и идентификации и оценки рисков
Покрытие всех аспектов СУИБ

2.1. ОЦЕНКА РИСКА
• Инвентаризация и категорирование ресурсов
• Идентификация требований (нормативных, договорных, технических) к ресурсам
• Оценивание идентифицированных ресурсов с учетом идентифицированных требований законодательства и бизнеса, а также последствий нарушения конфиденциальности, целостности и доступности
• Идентификация значимых угроз и уязвимостей для идентифицированных ресурсов
• Вычисление вероятности реализации угроз и уязвимостей
• Вычисление рисков
• Сопоставление рисков с заранее определенной шкалой риска
АНАЛИЗ РИСКА
ОЦЕНИВАНИЕ РИСКА

Величина риска может быть определена на основе стоимости ресурса, вероятности осуществления угрозы и величины уязвимости по следующей формуле :
где уязвимость – слабость в средствах защиты, вызванная ошибками или слабостями в процедурах, проекте, реализации, внутреннем контроле системы, которая может быть использована для проникновения в систему.

Пример метода оценки рисков
(приложение С.5). Шкала оценивания
Шкала оценивания уровня стоимости ресурсов:
{ «незначительный», «низкий», «средний», «высокий», «очень высокий»}
Шкала оценивания уровня вероятности угроз:
{«низкий», «средний», «высокий»}
Шкала оценивания уровня вероятности уязвимостей:
{«низкий», «средний», «высокий»}

Примеры методов оценки рисков
(приложение С.5). Таблица расчета уровня риска
Таблица, использующая стоимость ресурсов и величины угроз и уязвимостей (R=F(A,T,V))

Примеры методов оценки рисков
(приложение С.5). Ранжирование инцидентов по величине риска
Таблица категорирования инцидентов по величине уровня риска

План управления рисками
1. Ограничения и зависимости между механизмами контроля
2. Приоритеты
3. Сроки и ключевые промежуточные этапы реализации
4. Требуемые ресурсы
5. Ссылки на разрешения использования требуемых ресурсов
6. Критические маршруты выполнения плана

2.2. ОБРАБОТКА РИСКА
1. Уменьшение риска
2. Осознанное и обоснованное принятие риска
3. Передача риска
4. Избежание (отказ) риска

2.3. НЕПРЕРЫВНЫЕ ДЕЙСТВИЯ ПО УПРАВЛЕНИЮ РИСКАМИ
Сопровождение и мониторинг
Анализ со стороны руководства
Пересмотр и переоценка риска
Аудиты
Механизмы контроля документации
Корректирующие и превентивные
меры
Отчеты и коммуникации
Менеджер рисков безопасности

Сопровождение и мониторинг: примеры
Анализ файлов системных журналов
Модификация параметров, связанных с произошедшими в системе изменениями
Повторный анализ корректности использования механизмов контроля
Обновление механизмов контроля, политик и процедур

Пересмотр и переоценка риска
Результаты первоначальной оценки рисков должны регулярно пересматриваться
Результаты повторного анализа рисков, проводимого с учётом возникших изменений, должны накапливаться в специальной базе данных, позволяющей отследить динамику происходящих изменений

Факторы возникновения изменений
Изменения в бизнес-модели организации
Появление новых данных относительно корректности и эффективности используемых сервисов безопасности
Изменения, связанные с политической обстановкой, социальными факторами или окружающей средой
Возникновение новых, ранее неизвестных угроз и уязвимостей

2.4. ПРИНЦИП ОСВЕДОМЛЕННОСТИ
Информирование на каждом этапе
Документирование событий
Обязанности персонала

Требования к документам
план обеспечения непрерывности бизнеса
описание методологии оценки рисков
отчет об оценке рисков
план обработки рисков
план управления рисками
рабочая документация: реестры ресурсов, реестры рисков, декларации применимости, списки проверок, протоколы процедур и тестов, журналы безопасности, аудиторские отчеты, планы коммуникаций, инструкции, регламенты и др.

Требования и обязанности персонала
эксперты по оценке рисков
менеджеры безопасности
менеджеры рисков безопасности
владельцы ресурсов
руководство организации

III. СООТНОШЕНИЕ С МЕЖДУНАРОДНЫМИ СТАНДАРТАМИ
1. Гармонизация BS 7799-3 с ISO 27001:2005 (ГОСТ 27001) и ISO 27002:2007 (ГОСТ 17799)
2. Преемственность с рекомендациями NIST SP 800-30:2002 Risk Management Guide for Information Technology Systems (Руководство по управлению рисками в системах информационных технологий)
3. Рекомендации ISO 13335-3 Information technology – Guidelines for the management of IT Security – Part 3: Techniques for the management of IT security (Руководство по управлению информационной безопасностью – Часть 3: Технологии управления информационной безопасностью)
4. Проект ISO 27005

Гармонизация российских стандартов
Требования ГОСТ 27001:2005 к СУИБ в части управления рисками
BS 7799-3:2006: принципы и рекомендации по реализации требований, относящихся к процессам управления рисками и связанным с ними мероприятиям
ГОСТ 17799:2005: примеры по политике ИБ, активам, угрозам, уязвимостям, целям и механизмам контроля
ГОСТ 9001:2001: требования к документам
ГОСТ 13335-3:2007: примеры стратегий оценки рисков

Рекомендации NIST SP 800-30:2002

Подход к анализу рисков ISO 13335-3

Проект ISO 27005
Сходство с BS 7799-3
Процессная 4-фазная модель риск-менеджмента
Доминирует логико-вероятностный подход к анализу и оцениванию уровня риска, допускаются качественные и количественные методики, конкретные методы и методики не навязываются
Этапы носят итерационный характер, правила и рекомендации – общего плана
Все процессы управления связаны с информированием о рисках
Развитие
Порядок каждого этапа детально описан
Большую половину стандарта составляют примеры и рекомендации

Порядок управления рисками по ISO 27005

ВЫВОДЫ (1)
BS 7799-3 и ISO 27005 отражают один и тот же сложившийся в международной практике процессный подход к организации системы управления рисками.
Управление рисками представляется как базовая часть системы менеджмента качества организации

ВЫВОДЫ (2)
II. Стандарты носят откровенно концептуальный характер, что позволяет экспертам по ИБ реализовать любые средства и технологии оценки, отработки и управления рисками. С другой стороны, стандарты не содержат рекомендаций по выбору какого-либо аппарата оценки риска, а также синтезу мер, средств и сервисов безопасности, используемых для минимизации рисков, что снижает полезность стандартов как технологических документов.

ВЫВОДЫ (3)
III. Потребность в национальном стандарте по управлению рисками определяется не только популяризацией экономически оправданных подходов к ИБ, но и требованиями и рекомендациями, заданными ГОСТ 27001:2005 и ГОСТ 17799:2005, а также вытекает из требований к организации бизнес-процессов, определенных в актуальных стандартах серии 9000.

ВЫВОДЫ (4,5)
IV. Можно предположить, развитие нормативной базы в стране пойдет по пути принятия ГОСТ, аутентичного ISO 27005 или BS 7799-3.
V. Недостатки стандарта (отсутствие конкретных методик) возможно исправить путем выпуска руководящего документа ФСТЭК России.

ВЫВОДЫ (6)
Реальные стимулы в развитии данного нормативного направления, как и всех организационных стандартов ИБ:
- становление национальной сертификации СУИБ;
- развитие системы сертификации систем менеджмента качества в направлении выполнения требований по ИБ;
- широкое внедрение практики аудита систем ИБ