Комплексні системи захисту інформації. Проектування, впровадження, супровід

Критерii впливу повиннi розроблятися, виходячи з мiри збитку, враховуючи наступне:

– цiннiсть iнформацiйного активу, на який виявлений вплив;

– порушення властивостi iнформацii (втрата конфiденцiйностi, цiлiсностi або доступностi);

– погiршення бiзнес-операцii;

– втрата цiнностi бiзнесу та фiнансовоi цiнностi;

– порушення планiв i кiнцевих термiнiв;

– збиток для репутацii;

– порушення нормативно-правових вимог або договiрних зобов'язань.

Критерii прийняття ризику повиннi встановлюватися з урахуванням:

– критерiiв якостi бiзнес-процесiв;

– нормативно-правових i договiрних аспектiв;

– операцiй;

– технологiй;

– фiнансiв;

– соцiальних i гуманiтарних чинникiв.

При розробцi критерiiв прийняття ризику слiд враховувати, що вони можуть:

– включати багато порогових значень з бажаним рiвнем ризику, але за умови, що при певних обставинах керiвництво прийматиме риски, що знаходяться вище вказаного рiвня;

– визначатися як кiлькiсне спiввiдношення оцiненоi вигоди до оцiненого ризику для бiзнесу;

– включати вимоги для майбутньоi додатковоi обробки, наприклад, ризик може бути прийнятий, якщо е згода на дii щодо його зниження до прийнятного рiвня у рамках певного перiоду часу.

2.2. Аналiз ризикiв складаеться з таких заходiв:

– iдентифiкацiя ризикiв;

– вимiрювання ризикiв;

– оцiнювання ризикiв.

Ідентифiкацiя ризикiв

Метою iдентифiкацii ризику е визначення випадкiв нанесення потенцiйноi шкоди та отримання уявлень про те, як, де i чому могла статися ця шкода.

Для цього необхiдно виконати iдентифiкацiю наявних засобiв захисту, вразливостей системи i можливих наслiдкiв реалiзацii загроз.

Ідентифiкацiя наявних засобiв захисту

Ідентифiкацiя усiх наявних засобiв захисту мае бути зроблена для того, щоб уникнути iх дублювання або непотрiбноi роботи. Одночасно слiд провести перевiрку справностi i правильностi функцiонування засобiв захисту.

Будь-який дефект засобiв захисту може стати причиною вразливостi.

Одним iз способiв кiлькiсно оцiнити дii засобу захисту – подивитися, як вiн зменшуе вiрогiднiсть загрози та використання вразливостi.

Наявний або запланований засiб захисту можна iдентифiкувати як неефективний, недостатнiй або необгрунтований. Якщо його визнали необгрунтованим або недостатнiм, необхiдно визначити, чи потрiбно засiб захисту вилучити, замiнити ефективнiшим або залишити без змiн, наприклад, iз-за нестачi грошей на новий.