Анализ и управление рисками в области защиты информации

• Автор: Немиткина, Виктория Викторовна
• Шифр специальности: 08.00.13
• Научная степень: Кандидатская
• Год защиты: 2009
• Место защиты: Москва
• Количество страниц: 230 с. : ил.

СОДЕРЖАНИЕ
ВВЕДЕНИЕ.
ГЛАВА 1. МЕТОДОЛОГИЧЕСКИЕ ПОДХОДЫ К АНАЛИЗУ И УПРАВЛЕНИЮ РИСКАМИ В ОБЛАСТИ ЗАЩИТЫ ИНФОРМАЦИИ

1.1. Информация и особенности ее защиты.

1.2. Классификация организаций по уровню требований, преъявлясмых ими к информационной безопасности.

1.3. Процесс анализа и управления информационными рисками.

1.4. Методики оценки рисков.

1.5. Средства анализа и управления информационными рисками

1.5.1. Обзор основных стандартов в области защиты информации и управления рисками.

1.5.2. Обзор инструментальных средств анализа и управления информационными рисками

Выводы по первой главе

ГЛАВА 2. РАЗРАБОТКА МЕТОДИКИ АНАЛИЗА РИСКОВ ДЛЯ ИНФОРМАЦИОННОЙ СИСТЕМЫ ОРГАНИЗАЦИИ
2.1. Постановка задачи анализа рисков.
2.2. Инвентаризация и классификация информационных ресурсов.
2.3. Определение перечня угроз
2.4. Определение понятия информационного риска и подходы к его оценке
2.5. Методика оценки интегрального уровня риска для информационной системы в целом.
2.6. Управление информационными рисками.
2.6.1. Задача оптимального распределения денежных средств между отдельными направлениями защиты информации.
2.6.2. Задача определения оптимального объема денежных средств, необходимого для обеспечения информационной безопасности.
Выводы по второй главе
ГЛАВА 3. АНАЛИЗ ЗАЩИЩЕННОСТИ ИНФОРМАЦИОННОЙ СИСТЕМЫ ВУЗА
3.1. Актуальность вопросов защиты информации в современном ВУЗе
3.2. Информационная система ВУЗа
3.3. Определение угроз.
3.4. Оценка уровня риска.
3.5. Определение оптимального объема денежных средств, необходимого
для обеспечения безопасности исследуемой информационной системы
Выводы по третьей главе
ЗАКЛЮЧЕНИЕ.
СПИСОК ЛИТЕРАТУРЫ


Однако в большинстве случаев эти методики относятся к НОУХАУ компании и обычно не публикуются, поэтому, в силу закрытости данных методик, судить об их качестве проблематично. Методики анализа информационных рисков различаются между собой шкалами и критериями, по которым измеряются риски и оцениваются вероятности событий, а также технологиями измерения рисков. Так, показатели ценности ресурсов и потери от угроз потенциальное негативное воздействие на деятельность организации можно определять следующими способами количественными например, стоимостными, качественными например, используя понятия умеренный или опасный, а также их комбинацией. В результате этого можно разделить все методики анализа рисков в зависимости от использования качественных или количественных величин при оценке риска на две группы. Большинство таких методик разработано на основе требований международного стандарта I 9 . Как правило, такие методики используют при базовом подходе анализа рисков. Вторую группу составляют количественные методики, которые позволяют получать существенно болсс точные результаты и в дальнейшем использовать полученные данные для решения задач оптимизации. Не менее актуальным получение объективных количественных оценок рисков является и для страховых агентств, занимающихся страхованием информационных рисков . Рассмотрим несколько примеров методов оценки рисков, основанных на использовании как качественных, так и количественных шкал. Наибольшее распространение среди методик оценки рисков получила методика матрицы рисков. В силу своей относительной простоты она позволяет быстро и корректно проводить оценку информационных рисков . Одна из таких разновидностей этой методики используется корпорацией i. В данной методике риск определяется как возможность понести убытки изза нарушения безопасности сети изнутри или извне. В процессе оценки для каждого выявленного риска требуется определить вероятность его возникновения и размер потерь т. Таблица 1. Высокий риск красная область. Предполагается, что без снижения таких рисков использование информационной системы предприятия может нанести существенный урон бизнесу. Существенный риск желтая область. Здесь требуется эффективная стратегия управления рисками, которая позволит уменьшить или полностью исключить отрицательные последствия реализации угрозы. Умеренный риск синяя область. В отношении рисков, попавших в эту область, достаточно использовать стандартные процедуры управления рисками. Незначительный риск зеленая область. Усилия по управлению рисками в данном случае не будут играть важной роли. На основании уровня допустимых рисков, размера потенциальных потерь и вероятности их возникновения рискам назначаются приоритеты. Их используют, чтобы выделить те риски, на снижении которых необходимо в первую очередь сосредоточить усилия, после чего составляется план по управлению рисками . В рассмотренном примере вероятность риска и стоимость ресурса определялись по субъективной шкале из трех значений высокий, средний и низкий. Аналогично можно определять риск, используя шкалу с большим числом градаций. Таблица 1. Событие практически никогда не происходит. Событие случается редко. Вероятность события за рассматриваемый промежуток времени около 0,5. Скорее всего событие произойдет. Событие почти обязательно произойдет. Таблица 1. Игнорируемые Воздействием можно пренебречь. Незначительные Незначительное происшествие последствия легко устранимы, затраты на ликвидацию последствий не велики, воздействие на информационную технологию незначительно. Умеренные Происшествие с умеренными результатами ликвидация последствий не связана с крупными затратами, воздействие на информационную технологию не велико и не затрагивает критически важные задачи. Существенные Происшествие с серьезными последствиями ликвидация последствий связана со значительными затратами, воздействие на информационные технологии ощутимо, воздействует на выполнение критически важных задач. Критические Происшествие приводит к невозможности решения критически важных задач.