Управление рисками в IT безопасности

IT безопасность - состояние защищённости информационной среды организации, обеспечивающее её формирование, использование и развитие.

А зачем оно надо?
Кража интеллектуальной собственности
Информационные атаки
Месть сотрудников
Соответствие
стандартам ISO

Управление информационными рисками - это
системный процесс идентификации, контроля и уменьшения информационных рисков компании в соответствии с нормативно-правовой базой в области защиты информации и собственной корпоративной политикой безопасности.

Тематические понятия
Угроза
Уязвимость ИС
Риск

Для проектирования системы IT-безопасности в первую очередь необходимо:
Обобщенно описать процессы деятельности
Выделить риски
Определить порог риска

Цель:
Минимизация внешних и внутренних угроз при учете ограничений на ресурсы и время

Качественные методики
- методики, разработанные на основе ISO 17799 (международный стандарт в области ИБ, с 1993г)
Представители:
COBRA by Systems Security Ltd
RA Software Tool. By RA Software

COBRA by Systems Security Ltd
требования стандарта ISO 17799 в виде тематических вопросников (check list’s), на которые следует ответить в ходе оценки рисков информационных активов и электронных бизнес­транзакций компании.

RA Software Tool
Эта методика позволяет выполнять оценку информационных рисков в соответствии с требованиями ISO 17799

Количественные методики
Решение оптимизационных задач, которые часто возникают в реальной жизни. Суть этих задач сводится к поиску единственного оптимального решения, из множества существующих.
Представители:
CRAMM by CCTA
ГРИФ by Digital Security Office

CRAMM ((CCTA Risk Analysis and Management Method)
• Формализация и автоматизация процедур анализа и управления рисками;
• Оптимизация расходов на средства контроля и защиты;
• Комплексное планирование и управление рисками на всех стадиях жизненного цикла информационных систем;
• Сокращение времени на разработку и сопровождение корпоративной системы защиты информации;
• Обоснование эффективности предлагаемых мер защиты и средств контроля;
• Управление изменениями и инцидентами;
• Поддержка непрерывности бизнеса;
• Оперативное принятие решений по вопросам управления безопасностью

Этапы управления рисками по CRAMM
«Initiation» — определяются границы исследуемой информационной системы компании
«Identification and Valuation of Assets» — четко идентифицируются активы и определяется их стоимость.
«Threat and Vulnerability Assessment» — идентифицируются и оцениваются угрозы и уязвимости
«Risk Analysis» — позволяет получить качественные и количественные оценки рисков.
«Risk management» — предлагаются меры и средства уменьшения или уклонения от риска.

Недостатки CRAMM
метод требует специальной подготовки и высокой квалификации аудитора;
аудит по методу CRAMM - процесс достаточно трудоемкий и может потребовать месяцев непрерывной работы аудитора;
программный инструментарий CRAMM генерирует большое количество бумажной документации, которая не всегда оказывается полезной на практике;
CRAMM не позволяет создавать собственные шаблоны отчетов или модифицировать имеющиеся;
возможность внесения дополнений в базу знаний CRAMM недоступна пользователям, что вызывает определенные трудности при адаптации этого метода к потребностям конкретной организации;
ПО CRAMM не локализовано, существует только на английском языке;
высокая стоимость лицензии - от 2000 до 5000 долл.

ГРИФ 2005
Дает картину защищенности информационных ресурсов в системе и позволяет выбрать оптимальную модель защиты корпоративной информации.
Модель информационных
потоков
Модель угроз и уязвимостей

Модель информационных
потоков
1. Пользователь вносит все объекты своей информационной системы: отделы и ресурсы.
2. Пользователь проставляет связи.
3. Пользователь отвечает на список вопросов по политике безопасности, реализованной в системе.
4. Пользователь доволен.

Модель угроз и уязвимостей
1. Пользователь вносит в систему объекты своей ИС.
2. Пользователь вносит угрозы и уязвимости, относящиеся к его ИС.
3. Пользователь проставляет связи.
4. Пользователь счастлив.

В результате работы с системой ГРИФ строится подробный отчет об уровне риска каждого ценного ресурса информационной системы компании

Анализ и управление информационными рисками - ключевой фактор для построения эффективной защиты информационной системы.