БЕЗОПАСНОСТЬ ПРЕДПРИНИМАТЕЛЬСКОЙ ДЕЯТЕЛЬНОСТИ

Определение значений возможных потерь и ущерба

Определение значений возможных потерь (возможного ущерба) должно быть количественно. Для оценки потерь могут быть использованы как точные методы современной математики, так и методы экспертных оценок, которые весьма широко используются при решении подобных задач.

Оценивая тяжесть ущерба, необходимо иметь в виду: непосредственные расходы на замену оборудования, анализ и исследование причин и величины ущерба, восстановление информации и функций АС по ее обработке; косвенные потери, связанные со снижением банковского доверия, потерей клиентуры, подрывом репутации, ослаблением позиций на рынке.

Естественно, информационные потери требуют расходов на их восстановление, что приводит к временным задержкам, вызывающим соответствующие претензии пользователей, потерю интересов, а иногда и финансовые санкции.

Для оценки потерь необходимо описать сценарий действий трех сторон: нарушителя - по использованию добытой информации, службы информационной безопасности - по предотвращению последствий и восстановлению нормального функционирования системы и третьей стороны.

Оценив потери по каждой из вероятных угроз, необходимо определить стратегию управления рисками. При этом возможно несколько подходов:

□         уменьшение риска (многие риски могут быть существенно уменьшены путем использования весьма простых и дешевых контрмер);

□         уклонение от риска (от некоторых классов рисков можно уклониться; например, вынесение Web-сервера организации за пределы локальной сети позволяет избежать риска несанкционированного доступа в локальную сеть со стороны Web-клиентов);

□         изменение характера риска (можно принять некоторые меры, например страхование отдельных рисков);

□         принятие риска (не все риски могут быть уменьшены до пренебрежимо малой величины). Возможна ситуация, когда для уменьшения риска не существует эффективных и приемлемых по цене мер. В этом случае приходится поднимать планку приемлемого риска и переносить центр тяжести на смягчение последствий и выработку планов восстановления после аварий, стихийных бедствий и иных происшествий.

На практике, после принятия стандартного набора контрмер, ряд рисков уменьшается, но остается все еще значимым. Необходимо знать остаточную величину риска. Если какие-либо риски оказались недопустимо высокими, необходимо реализовать дополнительные защитные меры.

Проведение анализа рисков и оценки потерь требует глубоких системных знаний и аналитического мышления во многих смежных областях зашиты информации. Без таких знаний невозможно будет впоследствии построить надежную систему информационной безопасности на выделенные средства и в заданные сроки.

По результатам работ на этапе анализа уязвимости должно быть подготовлено экспертное заключение о защищенности информационных ресурсов на объекте, включающее в себя:

□         модели каналов утечки информации и несанкционированного доступа;

□         методики определения вероятностей установления информационного контакта для внешних нарушителей;

□         сценарии возможных действий нарушителя по каждому из видов угроз, учитывающие модель нарушителя, возможности системы защиты информации и технических средств разведки, а также действия нарушителя после ознакомления с информацией, ее искажения или уничтожения.

Руководство предприятия или организации, как правило, ожидает точной количественной оценки защищенности информационных ресурсов на объекте. Не всегда удается получить такие оценки, однако можно вычленить наиболее уязвимые участки и сделать прогноз о возможных проявлениях описанных в отчете угроз.