Риски ИБ в рублях. Пример методики.

Для демонстрации методики придумаем некоторую фирму со своими активами и угрозами. 

Итак:

После бета-тестирования Буратино-1 Папа Карло решил открыть небольшой бизнес. Не мудрствуя лукаво, зарегистрировал ИП Карло и начал стругать «Буратино». Весь процесс выглядит следующим образом: При помощи топораи пилы, Папа Карло делает заготовку «Буратино», а затем с помощью оживителя деревьевэту заготовку наделяет ИИ, после чего к его офису подъезжает дистрибьютор в конце недели и забирает «Буратино».

name='more'>

Чистая прибыль от реализации одного «Буратино» составляет 10 000рублейи его производство уходит неделя. Будем считать, что месячная прибыль составляет 40 000 рублей.

Вот однажды Папа Карло задумался - вокруг коты и лисы подозрительной наружности шастают, банда Карабаса Барабаса недалеко обосновалась. Да еще и о лесных пожарах часто стал из новостей слышать. Естественно, Карло решил свой бизнес обезопасить и направился к продавцам средств защиты информации (далее - СЗИ). Те предложили ему на выбор три сейфа:

Отличия оказались следующими: сейф1 — несгораемый, сейф3 — большого размера (в сейфы 1 и 2 влезет только один из активов). Логично, что продавцы СЗИ будут пытаться продать самый дорогой продукт... но вот нужно ли это Карло, он понять не в состоянии (задача на самом деле не тривиальная) и потому обращается к экспертную контору по оценки рисков информационной безопасности «Мальвина».

1. В первую очередь, Мальвина и ее команда экспертов идентифицируют активы. Первичный актив — процесс «Производство «Буратино». Его обеспечивают ряд вторичных активов - топор (a₁), пила (a₂), оживитель деревьев (a₃). Кроме того, сам Папа Карло также является активом, но в рамках данной работы подобные активы (сотрудники) рассматриваться не будут.

2. Второй этап — оценка активов. Если один из вторичных активов ломается или теряется, то процесс «Производство «Буратино» приостанавливается, а значит мастерская теряет деньги, до тех пор, пока актив не будет восстановлен. Поэтому, чтобы оценить активы необходимо определить ряд показателей:

3. Третий этап — идентификация и оценка угроз. Допустим было выделено две угрозы - «кража со взломом» и «пожар» и для них были определены вероятности реализации:

За единицу времени взяты сутки, поэтому данные вероятности означают, что, по мнению экспертов, кражи со взломом происходят раз в 1000 суток, а пожары — раз в 2000 суток.

4. Оценка вероятности воздействияугрозы на актив (P_I). Допустим эксперты оценили данные показатели как указано в таблице ниже:

Значения P_Iпри угрозе T1означают, что если T1 (кража со взломом) произойдет, то в одном случае из 10грабители украдут топор, с той же вероятностью они возьмут пилу, а вот оживитель деревьев они забирут в 9 случаях из 10. Аналогично для угрозы T2.

5. Пятый этап — расчет рисков. На этом этапе будет наблюдаться наиболее яркое отличие от существующих в настоящий момент методик . Риски мы будем считать не по активам а по угрозам. Но прежде чем перейти к этому этапу, придется пояснить, чем вызвана эта необходимость.

Допустим для каждого из активов и для каждой из угроз по формуле R = P_T·P_I·Wмы рассчитали риски. Стоимость последствий — W– в свою очередь, логично представить как t(a)·C + C(a)– параметры из пункта 3. Рассчитаем Wдля наших активов:

Тогда получим следующие значения рисков:

Из формулы получаем, что R = P_T·P_I·W = P_T·P_I·(t(a)·C + C(a)). Но если угроза затронула один из активов, существует вероятность, что она затронет и другой, подверженный данной угрозе. И, если это так, и процесс простаивает по двум причинам, то получается, что мы это учитываем дважды. Ведь чтобы приостановить процесс достаточно выхода из строя хотя бы одного из вторичных активов. Для того, чтобы это учесть стоит воспользоваться формулой из теории вероятности для расчета вероятности суммы совместных событий (которая как раз и показывает вероятность того, что произошло хотя бы одно из событий).