Для поиска решений задачи анализа информационных рисков ОАО КБ «СОЦГОРБАНК» было выполнено сравнение уже существующих средств анализа информационных рисков, с целью определения возможности их применения в банке. Результаты сравнения методик, используемых в средствах анализа рисков, представлены ниже в таблице 2.2.
Таблица 2.2. Характеристики методик анализа рисков ОАО КБ «СОЦГОРБАНК»
RA2 art of risk Risk Advisor RiskWatch CRAMM АванГард-Анализ Гриф
Простота использования + + + + / - + / - +
Метод получения данных
Прямая оценка вероятн. Прямая оценка вероятн. Прямая оценка вероятн. Прямая оценка вероятн. Прямая оценка вероятн. Прямая оценка вероятн. по 3-м критериям
Возможность подстройки методики - - - Есть профили работы Может выполнять эксперт -
Использ. стандарт по ИБ ISO 17799 AS/NZS 4360:2004 и ISO 17799 Стандарты США и ISO 17799 ISO 17799 ГОСТ Р ИСО/МЭК 15408-2002 ISO 17799
Учет угроз для ресурсов + + + + + +
Учет угроз для служб + - + + + +
На основании сравнения методик анализа рисков можно сделать вывод, что ни одна из рассмотренных методик не может быть применена для решения задачи анализа информационных рисков в ОАО КБ «СОЦГОРБАНК». Это обусловлено тем, что все рассмотренные методики анализа рисков используют методы прямой оценки значений угроз, которые не предоставляет способов проверки точности ответов экспертов. Поэтому принято решение разработать методику анализа рисков, учитывающую ключевые особенности процесса анализа рисков.
Изучив существующие методики анализа рисков, было выделено 4 этапа, на которые необходимо разделить процесс анализа рисков. Этапы алгоритма методики анализа информационных рисков ОАО КБ «СОЦГОРБАНК» заключаются в следующем:
Нулевой этап (вводный). Начальный этап оценки рисков, здесь учитывается, что для более точной оценки рисков необходимо получать данные оценки от большего количества экспертов. И для определения «вклада» ответов конкретного эксперта необходимо определить «вес» каждого эксперта.
На данном этапе эксперт, выполняющий оценку рисков, должен заполнить данные о себе, чтобы сформировать вес (степень доверия к эксперту). Расчет веса s-го эксперта производится по следующей формуле:
, (1)
где – значение компонент веса, для всех компонентов используется шкала (от 0,1 до 1). Предполагается следующий набор компонент: – учет опыта работы в области ИБ; – учет повышений квалификации в области ИБ; – учет связи работы эксперта с управлением инфраструктурой информационных систем; – учет валидности оценок экспертов региональных отделений субъективно экспертами из центрального отдела.
Первый этап (ввод данных об инфраструктуре). Эксперт, выполняющий оценку рисков, указывает существующие классы компонентов, присутствующих в инфраструктуре организации.
В соответствии с классификацией перечисляются все существующие ресурсы в организации, и эксперт указывает оценки стоимости C, D, K. В соответствии с этими характеристиками рассчитывается стоимость ресурсов по следующей формуле:
, (2)
где , , – значения весовых коэффициентов, подстраиваемых для каждой организации (от 0,1 до 1); C – оценка стоимости ущерба для организации при разрушении ресурса; D – оценка стоимости ущерба для организации при не доступности ресурса в течение, например, месяца; K – оценка стоимости ущерба для организации при НСД к ресурсу. Все значения стоимостей эксперт оценивает в рублях.
Для оценки стоимости служб, эксперту необходимо сравнить на сколько, значение стоимости данной службы (например, электронной почты) больше или меньше, чем стоимость уже учтенных им ресурсов. Таким образом, значение стоимости для каждой службы будет:
, (3)
где g – значение коэффициента на сколько, стоимость службы больше (меньше) стоимости ресурса.
Второй этап (оценка угроз экспертами). Для всех ресурсов и служб, заданных на предыдущем этапе эксперты оценивают вероятность и ущерб от реализации каждой угрозы. Ущерб – это стоимость потерь, которые понесет компания в случае осуществления угрозы информационной безопасности. Вероятность угрозы – возможность осуществления данной угрозы, указанная в процентах.
С учетом целей разработки методики получение данных о вероятностях и ущербе мы будем производить не прямыми методами оценки вероятности, а используя метод анализа иерархий, для определения суждений эксперта о значении вероятности одной угрозы относительно другой.
Значения вероятностей и ущерба от реализации угроз для данного ресурса могут быть представлены векторами для вероятности и для ущерба. При наличии M угроз для данного ресурса эксперту необходимо оценить отношения для вероятностей угроз, по шкале значимости от 1 до 9 (1 – вероятность событий и одинаковы; 9 – вероятность угрозы i «намного выше», чем вероятность угрозы j), где i, j – меняются от 1 до M. После оценки всех пар отношений для данного ресурса можно сформировать матрицу парных сравнений , для значений отношений вероятностей угроз.
Для матрицы парных сравнений А, вектор значений вероятностей можно найти решив следующее векторное уравнении:
, (4)
где – наибольшее собственное значение матрицы, – собственный вектор матрицы.
Для вычисления значений вектора , сначала необходимо найти наибольшее собственное значение матрицы А. Для этого необходимо получить ненулевое решение уравнения: , где Е – диагональная единичная матрица. А для этого должен быть равен нулю. Так как определитель матрицы равен нулю, то для нахождения необходимо решить характеристическое уравнение данной матрицы. Это может быть сделано с использованием численных методов.
Далее при известном значении вектор вероятностей следует искать, решая векторное уравнение (4). Для обеспечения единственности решения надо учитывать, что часто необходимо иметь нормализованное решение, и поэтому следует заменить одно из уравнений системы (4) на уравнение .
При необходимости расчета значений вектора и наибольшего собственного значение без использования численных методов возможно определение приблизительных значений. Расчет приблизительных значений собственного вектора матрицы парных сравнений и наибольшего собственного значение может быть произведен методами предложенными Т. Саати.
Для проверки согласованности полученных результатов, необходимо использовать индекс согласованности (ИС). ИС будет выражать «близость к согласованности», т.е. степень отклонения суждений эксперта друг от друга. Индекс согласованности рассчитывается по следующей формуле:
, (5)
где M – количество угроз для данного ресурса. Малое значение индекса согласованности (меньшее или равное 0,1), свидетельствует о приемлемой степени согласованности суждений эксперта. Значение ИС больше 0,1 служит основанием для пересмотра суждений эксперта. Для более точной оценки согласованности суждений экспертов, автором метода анализа иерархий рекомендуется значение ИС делить на случайный индекс (СИ), определенный экспериментально и зависящий от порядка матрицы парных сравнений.
Аналогичным образом происходит вычисление значений ущерба для всех ресурсов, служб и организации в целом.
Третий этап (генерация отчетов и рекомендаций). На данном этапе подсчитываются результаты оценки угроз и определяются необходимые меры защиты. Для вычисления величины значения риска Wi для i-го ресурса, службы или организации в целом (i=0) следует воспользоваться методом взвешенной суммы для агрегирования данных субъективных оценок разных экспертов:
, (6)
где S – количество экспертов принимавших участие в оценке; – вес эксперта, определяемый на нулевом этапе; значение стоимости данного ресурса, указанное s-ым экспертом; – значение риска для данного ресурса, определенное s-ым экспертом, рассчитываемое по следующей формуле:
, (7)
где M – общее количество учтенных угроз для данного ресурса, – величина ущерба, который может быть нанесен компоненту системы, при реализации угрозы j, – вероятность реализации угрозы j за месяц.
Значение риска возможного ущерба, рассчитанное по формуле (6), будет получено в рублях. Значения ущерба и вероятности осуществления угроз для каждого компонента системы эксперт определяет для периода времени (например, один месяц), таким образом, можно, говорить о риске – величине возможного денежного ущерба для организации в течение месяца.
После расчета значений рисков для компонентов (ресурсов и служб) системы выводиться информация об общем риске для компонента и рисках отдельных угроз и градация компонент по степени уязвимости в соответствии с этим значением.
И завершающий шаг на основании справочника стандарта BSI, определяется рекомендованный список мер уменьшения рисков угроз информационной безопасности, для каждого из компонентов система и для системы в целом.
Для оценки применимости разработанной методики анализа рисков выполнено экспериментальное сравнение методики с другими средствами анализа информационных рисков. По результатам сравнения было установлено, что разработанная методика дает: более высокий уровень точности оценок (среднеквадратичное отклонение как минимум в 2 раза меньше, чем у сравниваемой методики); меньший разброс значений рисков для разных групп экспертов, свидетельствует о возможности получения корректных результатов при использовании экспертами разной квалификацией. |
обратная связь
