Таблица для заполнения уровней риска

Лабораторная работа № 12

Методика определения
информационных рисков

Цель работы: освоить технологию качественной оценки информационного риска по трехфакторной модели.

Введение

Под информационным риском понимают средние ожидаемые потери объекта защиты от реализации угрозы при существовании и использовании уязвимости в системе защиты информации. Таким образом, информационный риск оценивает средний размер ущерба, который может быть нанесен в результате некоторого негативного события.

Методика определения информационных рисков базируется на трехфакторной модели:

R = P_уг*P_уз*С_п, (1.1)

где R — значение (уровень) информационного риска; Р_уг — вероятность появления угрозы; Р_уз — вероятность использования уязвимости системы защиты информации; С_п—потери от свершившегося происшествия.

При управлении рисками определяются угрозы, уязвимости, оценивается возможный ущерб и вырабатываются контрмеры.

Оценка рисков осуществляется до и после внедрения контрмер.

Если рассматриваемые факторы оцениваются количественно, то говорят о значении риска (количественное измерение размера ущерба). Если эти факторы оцениваются качественно на основании информации экспертов, то речь идет об уровне информационного риска. В лабораторной работе рассматривается второй подход.

Лабораторная работа состоит из двух частей.

В первой части работы экспертно создается таблица для определения уровня информационного риска от выделенных трех факторов.

Во второй части работы определяется уровень информационного риска конкретной анализируемой ситуации.

Создание таблицы для определения уровня

информационного риска от трех факторов

Рассмотрим первую часть лабораторной работы (моделирует работу экспертов). Все три фактора, входящие в формулу (1.1), оцениваются специалистами, ответственными за информационную безопасность в организации. При этом они используют шкалы, которые подготавливают эксперты по всем трем факторам и по информационному риску. В общем случае шкала характеризуется числом уровней, наименованием уровней, а также экспертным описанием каждого уровня или специальной таблицей.

В лабораторной работе для вероятностей Р_уг и Р_уз используются три шкалы (наименования уровней заглавные русские буквы):

— ШРЗ (3 уровня): низкий (Н), средний (С), высокий (В);

— ШР4 (4 уровня): низкий (Н), средний (С), высокий (В), очень высокий (ОВ);

— ШР5 (5 уровней): очень низкий (ОН), низкий (Н), средний (С), высокий (В), очень высокий (ОВ).

Для информационного риска используются три шкалы (наименования уровней — заглавные русские буквы):

— ШR3 (3 уровня): низкий риск (НР), средний риск (СР), высокий риск (ВР);

— ШR4 (4 уровня): низкий риск (НР), средний риск (СР), высокий риск (ВР), очень высокий риск (ОВР);

— ШR5 (5 уровней): очень низкий риск (ОНР), низкий риск (НР), средний риск (СР), высокий риск (ВР), очень высокий риск (ОВР).

Необходимо построить таблицу для определения уровня информационного риска от трех факторов. Таких таблиц получается четыре в зависимости от уровней вероятностей (Руг, Руз): (3, 3), (3,4), (4,4), (4, 5). Число строк в этой таблице зависит от числа уровней вероятностей (Руг, Руз): а) (3,3) — 9 строк; (3,4) —12 строк; (4,4) —16 строк; (4,5) — 20 строк.

Число столбцов этой таблицы зависит от числа уровней шкалы потерь (ШС5), в нашем случае 5 столбцов. Для примера приведена таблица для уровней (3,3) (табл. 1.1). Заполнение таблицы 1.1 зависит от числа уровней риска. Это заполнение выполняет студент, исходя из своего варианта. Приведем пример ее заполнения для 3-уровневого риска (табл. 1.2).

Таблица 1.1

Таблица для заполнения уровней риска

12 Следующая ⇒