Тема 10. 6. Использование методов анализа рисков

Если для проведения аудита безопасности выбран подход, базирующийся на анализе рисков, то на этапе анализа данных аудита обычно выполняются следующие группы задач:
• Анализ ресурсов ИС, включая информационные ресурсы, программные и технические средства, а также людские ресурсы
• Анализ групп задач, решаемых системой, и бизнес процессов
• Построение (неформальной) модели ресурсов ИС, определяющей взаимосвязи между информационными, программными, техническими и людскими ресурсами, их взаимное расположение и способы взаимодействия
• Оценка критичности информационных ресурсов, а также программных и технических средств
• Определение критичности ресурсов с учетом их взаимозависимостей
• Определение наиболее вероятных угроз безопасности в отношении ресурсов ИС и уязвимостей защиты, делающих возможным осуществление этих угроз
• Оценка вероятности осуществления угроз, величины уязвимостей и ущерба, наносимого организации в случае успешного осуществления угроз
• Определение величины рисков для каждой тройки: угроза – группа ресурсов – уязвимость

Перечисленный набор задач, является достаточно общим. Для их решения могут использоваться различные формальные и неформальные, количественные и качественные, ручные и автоматизированные методики анализа рисков. Суть подхода от этого не меняется.

Тема 10.7. Оценка соответствия требованиям стандарта

В случае проведения аудита безопасности на соответствие требованиям стандарта, аудитор, полагаясь на свой опыт, оценивает применимость требований стандарта к обследуемой системе защиты информации и ее соответствие этим требованиям. Данные о соответствии различных областей функционирования СЗИ требованиям стандарта, обычно, представляются в табличной форме. Из таблицы видно, какие требования безопасности в системе не реализованы. Исходя из этого, делаются выводы о соответствии обследуемой ИС требованиям стандарта и даются рекомендации по реализации в системе механизмов безопасности, позволяющих обеспечить такое соответствие.

Тема 10.8. Выработка рекомендаций

Рекомендации, выдаваемые аудитором по результатам анализа состояния ИС, определяются используемым подходом, особенностями обследуемой ИС, состоянием дел с информационной безопасностью и степенью детализации, используемой при проведении аудита.

В любом случае, рекомендации аудитора должны быть конкретными и применимыми к данной ИС, экономически обоснованными, аргументированными (подкрепленными результатами анализа) и отсортированными по степени важности. При этом мероприятия по обеспечению защиты организационного уровня практически всегда имеют приоритет над конкретными программно-техническими методами защиты.

В то же время, наивно ожидать от аудитора, в качестве результата проведения аудита, выдачи технического проекта подсистемы информационной безопасности, либо детальных рекомендаций по внедрению конкретных программно технических средств защиты информации. Это требует более детальной проработки конкретных вопросов организации защиты, хотя, внутренние аудиторы могут принимать в этих работах самое активное участие. Целью проведения аудита обычно является рения вопроса о необходимости реинжиниринга работающей системы защиты информации и целесообразности капиталовложений.

Тема 10.9. Подготовка отчетных документов

Аудиторский отчет является основным результатом проведения аудита. Его качество характеризует качество работы аудитора. Структура отчета может существенно различаться в зависимости от характера и целей проводимого аудита. Однако определенные разделы должны обязательно присутствовать в аудиторском отчете. Он должен, по крайней мере, содержать описание целей проведения аудита, характеристику обследуемой ИС, указание границ проведения аудита и используемых методов, результаты анализа данных аудита, выводы, обобщающие эти результаты и содержащие оценку уровня защищенности АС или соответствие ее требованиям стандартов, и, конечно, рекомендации аудитора по устранению существующих недостатков и совершенствованию системы защиты.
Для примера, приведем образец структуры аудиторского отчета по результатам анализа рисков, связанных с осуществлением угроз безопасности в отношении обследуемой информационной системы.
Структура отчета по результатам аудита безопасности ИС и анализу рисков
1. Вводная часть
1.1 Введение
1.2 Цели и задачи проведения аудита
1.3 Описание ИС
1.3.1 Назначение и основные функции системы
1.3.2 Группы задач, решаемых в системе
1.3.3 Классификация пользователей ИС
1.3.4 Организационная структура обслуживающего персонала ИС
1.3.5 Структура и состав комплекса программно-технических средств ИС
1.3.6 Виды информационных ресурсов, хранимых и обрабатываемых в системе
1.3.7 Структура информационных потоков
1.3.8 Характеристика каналов взаимодействия с другими системами и точек входа
1.4 Границы проведения аудита
1.4.1 Компоненты и подсистемы ИС, попадающие в границы проведения аудита
1.4.2 Размещение комплекса программно-технических средств ИС по площадкам (помещениям)
1.4.3 Основные классы угроз безопасности, рассматриваемых в ходе проведения аудита
1.5 Методика проведения аудита
1.5.1 Методика анализа рисков
1.5.2 Исходные данные
1.5.3 Этапность работ
1.6 Структура документ
2. Оценка критичности ресурсов ИС
2.1 Критерии оценки величины возможного ущерба, связанного с осуществлением угроз безопасности
2.2 Оценка критичности информационных ресурсов
2.2.1 Классификация информационных ресурсов
2.2.2 Оценка критичности по группам информационных ресурсов
2.3 Оценка критичности технических средств
2.4 Оценка критичности программных средств
2.5 Модель ресурсов ИС, описывающая распределение ресурсов по группам задач
3. Анализ рисков, связанных с осуществлением угроз безопасности в отношении ресурсов ИС
3.1 Модель нарушителя информационной безопасности
3.1.1 Модель внутреннего нарушителя
3.1.2 Модель внешнего нарушителя
3.2 Модель угроз безопасности и уязвимостей информационных ресурсов
3.2.1 Угрозы безопасности, направленные против информационных ресурсов
3.2.1.1 Угрозы несанкционированного доступа к информации при помощи программных средств
3.2.1.2 Угрозы, осуществляемые с использованием штатных технических средств
3.2.1.3 Угрозы, связанные с утечкой информации по техническим каналам
3.2.2 Угрозы безопасности, направленные против программных средств
3.2.3 Угрозы безопасности направленные против технических средств
3.3 Оценка серьезности угроз безопасности и величины уязвимостей
3.3.1 Критерии оценки серьезности угроз безопасности и величины уязвимостей
3.3.2 Оценка серьезности угроз
3.3.3 Оценка величины уязвимостей
3.4 Оценка рисков для каждого класса угроз и группы ресурсов
4. Выводы по результатам обследования
5. Рекомендации
5.1 Рекомендуемые контрмеры организационного уровня
5.2 Рекомендуемые контрмеры программно-технического уровня

Как видим отчет, фактически дублирует основные пункты политики безопасности и фактически составляет ее ядро. К сожалению, довольно часто путаю аудит информационной системы или системы информационной безопасности с предпроектным исследованием. Данные процесс весьма схожи по используемым методам и инструментам. В то же время они принципиально отличаются по своим целям.

Целью аудита является, как было сказано выше, создание базы для обоснованного решения о дальнейших действиях, в то время как предпроектное исследование ставит целью создание технического задания на разработку и внедрение комплексной системы информационной безопасности.