Модель и метод структурированной оценки риска при анализе информационной безопасности

• Автор: Сидоров, Алексей Олегович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2008
• Место защиты: Санкт-Петербург
• Количество страниц: 134 с. : ил.

ОГЛАВЛЕНИЕ

СПИСОК УСЛОВНЫХ СОКРАЩЕНИЙ.

ВВЕДЕНИЕ

ГЛАВА 1. МЕТОДЫ И СРЕДСТВА ОЦЕНКИ ТЕКУЩЕГО

УРОВНЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

1.1. Обзор методик управления информационными рисками

1.2. Стандарты в области информационной безопасности.

1.3. Методы оценки затрат и инвестиций в информационную безопасность

ГЛАВА 2. МОДЕЛЬ СТРУКТУРИРОВАННОЙ ОЦЕНКИ РИСКА ПРИ ПОСТРОЕНИИ СИСТЕМЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
2.1. Методы и средства оценки текущего уровня и информационной безопасности в том числе на соответствие стандартам.

2.2. Аудит информационной безопасности

2.3. Модель системы информационной безопасности.
2.4. Проектирование системы обеспечения информационной безопасности
2.5. Применение механизма нечеткого вывода для структурированной оценки риска
ГЛАВА 3. МЕТОД ВЫПОЛНЕНИЯ АНАЛИТИЧЕСКИХ РАБОТ ПО
СТРУКТУРИРОВАННОЙ ОЦЕНКЕ РИСКОВ
3.1. Этап 1 Сбор сведений и описание системы.
3.2. Этап 2 Идентификация источников угроз
3.3. Этап 3 Идентификация уязвимостей.
3.4. Этап 4 Анализ контроля безопасности
3.5. Этап 5 Определение вероятности.
3.6. Этап 6 Анализ воздействия
3.7. Этап 7 Определение риска.
3.8. Этап 8 Рекомендации по контролю
3.9. Этап 9 Оформление итоговых документов
ЗАКЛЮЧЕНИЕ
ЛИТЕРАТУРА


По существу, он представлен в виде таблицы, отражающей «жесткую» зависимость риска от двух входных переменных, которыми являются потенциальный ущерба и вероятность возможного инцидента. При этом каждая переменная, включая риск, оценивается по трехуровневой шкале и может принимать одно из трех фиксированных значений. Известны методики получения оценок риска с предварительным оцениванием трех параметров. Такая методика используется, например, в методе CRAMM (the UK Goverment Risk Analysis and Managment Method), который разработан Службой Безопасности Великобритании. Здесь, кроме потенциального ущерба и вероятности реализации угрозы, предварительно оценивается степень уязвимости информационной системы. Механизм получения оценок риска также представлен в виде таблицы, отражающей зависимость риска, уже, от трех параметров. Параметры и риск оцениваются по более мощным шкалам. Для представления ущерба используется шкала из 5 уровней, а прогнозируемая величина риска представляется с помощью многоуровневой шкалой целых чисел от 0 до 8 []. Можно говорить, что механизм получения оценок риска в методе CRAMM получил развитие в направлении увеличении числа входных переменных и числа уровней используемых шкал []. Однако, по существу, механизма вывода остался прежним, т. Это приводит к необходимости создания громоздких таблиц вывода. Трудно представить подобную таблицу вывода при четырех и более переменных. Самый же главный недостаток заключается в том, что табличный механизм вывода не позволяет адекватно учитывать имеющиеся нечеткие исходные данные и логические взаимосвязи в исследуемой системе. В настоящей методике предлагается принципиально новый подход к оценке риска на основе продукционных правил нечеткой логики, который но сравнению с рассмотренными выше методами обладает большими возможностями по учету исходной информации. России. Поэтому вопрос «как оценить уровень безопасности корпоративной информационной системы» — обязательно влечет за собой следующие: в соответствии с какими критериями производить оценку эффективности защиты, как оценивать и переоценивать информационные риски предприятия? Вследствие этого, в дополнение к требованиям, рекомендациям и руководящим документам Гостехкомисии России и ФСБ приходится адаптировать к нашим условиям и применять методики международных стандартов (ISO 9, , 8, BS1 и пр. В последнее время в разных странах появилось новое поколение стандартов информационной безопасности компьютерных информационных систем, посвященных практическим вопросам обеспечения и аудита информационной безопасности[]. Это прежде всего международные и национальные стандарты оценки управления информационной безопасностью ISO 8, линейка стандартов ISO 0; стандарты аудита информационных систем и информационной безопасности COBIT, SAC, COSO, SAS / и некоторые другие, аналогичные им. Новое поколение стандартов отличается как от предыдущего, гак и от Руководящих документов Гостехкомиссии России - годов, большей формализацией аудиторской деятельности и более детальным комплексным учетом качественно и количественно проверяемых показателей информационной безопасности компании. Комплексный учет показателей предполагает комплексный подход к аудиту, когда на соответствие определенным правилам проверяется не только программно-техническая составляющая информационной безопасности компьютерной системы, но и организационно-административные меры по ее обеспечению. Рассмотрим некоторые стандарты, затрагивающие вопросы аудита информационной безопасности, несколько подробнее. ЕС 0 — серия международных стандартов, включающая стандарты по информационной безопасности опубликованные совместно Международно! Организацией по Стандартизации (0) и Международной Электротехнической Комиссии (1ЕС). Серия содержит рекомендации в области информационной безопасности для создания, развития и поддержания Системы Менеджмента Информационной Безопасности[]. ЕС 1: «Информационные технологии. Методы обеспечения безопасности. Системы управления информационной безопасностью.