sec101-lec02-pub презентация

Содержание лекции
Управление рисками
Основные понятия
Оценка рисков
Уменьшение рисков
Остаточный риск
Аудит информационной безопасности
Механизмы и сервисы защиты

Основные понятия
Ресурсы (assets) — это то, что организация ценит и хочет защитить. Ресурсы включают в себя информацию и поддерживающие средства, которые требуются организации для ведения бизнеса.
Угроза (threat) — потенциальная причина нежелательного события, которое может нанести ущерб организации и ее объектам.
Уязвимости (vulnerability) — слабости, ассоциированные с ресурсами организации.
Риск безопасности — возможность данной угрозы реализовать уязвимости для того, чтобы вызвать ущерб или разрушение ресурса или группы ресурсов, что прямо или косвенно воздействует на организацию.
Контроль безопасности — практика, процедуры и механизмы, которые могут защитить объекты от угроз, уменьшить уязвимости или уменьшить влияние нежелательных событий.

Оценка риска
Оценка риска — основной процесс в методологии управления риском. Риск является функцией вероятности того, что данный источник угроз осуществит частную потенциальную уязвимость, и результирующего влияния нежелательного события на организацию.

Что включает в себя оценка риска?
характеристика системы
идентификация угроз
идентификация уязвимостей
анализ средств защиты
определение вероятностей
анализ влияния
определение риска
рекомендации по средствам защиты
результирующая документация

Характеристика системы
Включает в себя:
описание системы, системных компонентов, элементов системы, пользователей и т. п.
расположение частей (подразделений) организации
основные информационные потоки
классификация информации

Идентификация угроз

Идентификация уязвимостей
Документированные источники:
результаты предыдущих оценок риска
отчеты аудита ИТ системы, отчеты о системных аномалиях, отчеты с обзорами безопасности, отчеты системных тестах и оценках
списки уязвимостей
информационные бюллетени по безопасности
информационные бюллетени изготовителей
коммерческие компании, выполняющие функции информационного аудита безопасности
анализ безопасности системного ПО
тестирование системной безопасности
Методы тестирования:
средства автоматического сканирования уязвимостей
тесты и оценка безопасности
тесты на проникновение

Анализ средств защиты
Анализ применяемых или планируемых к применению средств защиты (контроля) в организации для минимизации или устранения вероятности уязвимости, реализуемой источником угроз.

Определение вероятностей
Факторы:
движущая сила (мотивация) и способность источника угроз
природа уязвимости
существование и эффективность текущего контроля
Значения уровней вероятностей

Анализ влияния
Цель состоит в определении нежелательного влияния успешной реализации уязвимостей угрозами.
Оценка степени влияния

Определение риска
Цель – оценить уровень риска ИТ системы.
Определение риска для частной пары угроза-уязвимость может быть выражена как функция:
от вероятности того, что данный источник угроз пытается реализовать данную уязвимость;
величины влияния при удачной реализации источником уг­роз уязвимости;
достаточности планируемого или существующего контроля для уменьшения или устранения риска
Матрица уровней (классов) рисков

Рекомендации по средствам защиты
Целью рекомендаций является уменьшение уровня риска ИТ системе и ее данным до допустимого уровня.
Рекомендации по сред­ствам защиты (контроля) являются результатом процесса оценки риска и дают исходные данные для процесса уменьшения риска, во время которого оценивается рекомендуемый процедурный и тех­нический контроль безопасности, назначаются приоритеты и вы­полняются планы покупки и внедрения различных средств.

Результирующая документация
Результаты должны быть представлены в виде официального отчета.
Соответствующий отчет по оценке риска описывает:
угрозы
Уязвимости
измерения риска
дает рекомендации по применению средств защиты

Уменьшение рисков
Опера­ций уменьшения риска:
принятие риска
уклонение от риска
ограничение риска
планирование риска
исследования и подтверждения
передача риска

Уменьшение рисков

Остаточный риск
Процедуры уменьшения уровня риска

Аудит информационной безопасности
Аудит информационной системы – это системный процесс получения и оценки объективных данных о текущем состоянии системы (техноло­гий), действиях и событиях, происходящих в ней, который уста­навливает уровень их соответствия определенному критерию и предоставляет результаты заказчику.
Виды аудита информационной безопасности:
внешний
внутренний