3.3.4 Метод octave

Достаточно хорошо себя зарекомендовал и широко используется метод оценки и управления рисками OCTAVE, разработанный в университете Карнеги-Мелон для внутреннего применения в организации. OCTAVE – Оценка критичных угроз, активов и уязвимостей (Operationally Critical Threat, Asset, and Vulnerability Evaluation) – имеет ряд модификаций, рассчитанных на организации разного размера и области деятельности. Сущность этого метода заключается в том, что для оценки рисков используется последовательность соответствующим образом организованных внутренних семинаров. Оценка рисков осуществляется в три этапа, которым предшествует набор подготовительных мероприятий, включающих в себя согласования графика семинаров, назначения ролей, планирование, координация действий участников проектной группы.

Для принятия сбалансированного решения по обработке рисков, сотрудник, занимающийся этим вопросом, должен иметь всеобъемлющую информацию о проблеме.

На первом этапе, в ходе практических семинаров, осуществляется разработка профилей угроз, включающих в себя инвентаризацию и оценку ценности активов, идентификация применимых требований законодательства и нормативной базы, осмысление угроз и оценку их вероятности, а также определение системы организационных мер по поддержанию режима ИБ. Затем производится технический анализ уязвимостей информационных систем организации в отношении угроз, профили которых были разработаны на предыдущем этапе. Он включает в себя идентификацию имеющихся уязвимостей информационных систем организации и оценку их величины.

На третьей стадии производится оценка и обработка рисков ИБ. Здесь производится определение величины и вероятности причинения ущерба в результате осуществления угроз безопасности с использованием уязвимостей, которые были идентифицированы на предыдущих этапах, определение стратегии защиты, а также выбор вариантов и принятие решений по обработке рисков. Величина риска определяется как усредненная величина годовых потерь организации в результате реализации угроз безопасности [36].

3.3.5 Метод mitre

Организацией MITRE была предложена концепция управления рисками при построении различных систем (не только информационных). В целом эта концепция близка к рассмотренной выше. MITRE бесплатно распространяет простейший инструментарий на базе электронной таблицы, предназначенный для использования на этапе идентификации и оценки рисков, выбора возможных контрмер в соответствии с этой концепцией — "Risk Matrix".

В данной концепции риск не разделяется на составляющие части (угрозы и уязвимости), что в некоторых случаях может оказаться более удобным с точки зрения владельцев информационных ресурсов. Например, в России в настоящее время на этапе анализа рисков (если он вообще выполняется) весьма распространено построение модели нарушителя с прямой экспертной оценкой рисков. По этой причине простейшие методики и инструменты типа "Risk Matrix" наиболее востребованы в настоящее время на Российском рынке [18].

3.4 Применение основных методов управления рисками на примере конкретной испДн

Рассмотрим применение основных методов управления рисками на примере, рассмотренном в разделе 2.2.3.

а) Предупреждение

Исключить источник риска (внутреннего по отношению к организации нарушителя – оператору ПДн) значит создать не автоматизированную ИСПДн, а полностью автоматическую ИСПДн. В этом случае угроза несанкционированного копирования информации о наличии и характере судимости у сотрудников организации не возникнет вовсе. Однако в нашем случае обязательно присутствует оператор ПДн, поэтому исключить источник риска не предоставляется возможным.

б) Снижение

Так как риск является функцией двух переменных – вероятности реализации угрозы и ущерба от ее реализации, то для снижения риска необходимо либо уменьшить вероятность, либо уменьшить ущерб, либо и то и другое.

Рассмотрим возможность снижения вероятности реализации угрозы несанкционированного копирования информации о наличии и характере судимости у сотрудников организации внутренним нарушителем – оператором ПДн. Напомним, что вероятность вычислялась по результатам опроса эксперта (таблица 2.7).

Ниже приводится сравнение обеспечения защиты от несанкционированного копирования (нарушения конфиденциальности ПДн) исходной ИСПДн и ИСПДн после принятия целенаправленных мер.

Таблица 3.1 – Сравнение обеспечения защиты от несанкционированного копирования (нарушения конфиденциальности ПДн) исходной ИСПДн и ИСПДн после принятия целенаправленных мер

№	ИСПДн до принятия целенаправленных мер	ИСПДн после принятия целенаправленных мер
1	Роли персонала организации (оператора ПДн) не установлены во внутренних нормативных документах организации, однако выполняются в полном объеме.	Роли персонала организации (оператора ПДн) частично установлены во внутренних нормативных документах организации, однако выполняются в полном объеме.

Продолжение таблицы 3.1

№	ИСПДн до принятия целенаправленных мер	ИСПДн после принятия целенаправленных мер
2	Требования по персонификации ролей в организации не установлены во внутренних нормативных документах организации и не выполняются.	Требования по персонификации ролей в организации полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.
3	Ответственность за исполнение ролей, зафиксированная в должностных инструкциях персонала, не установлена во внутренних нормативных документах организации, однако выполняется в полном объеме.	Ответственность за исполнение ролей, зафиксированная в должностных инструкциях персонала, частично установлена во внутренних нормативных документах организации, но выполняется в полном объеме.
4	Требования о ролях, концентрирующих в себе все или большинство наиболее важных функций, необходимых для реализации одной из целей организации, не установлены во внутренних нормативных документах организации и не выполняются.	Требования о ролях, концентрирующих в себе все или большинство наиболее важных функций, необходимых для реализации одной из целей организации, полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.
5	Требования о совмещении в одном лице ролей исполнителя и администратора, администратора и контролера, исполнителя и контролера и подобн. не установлены во внутренних нормативных документах организации и не выполняются.	Требования о совмещении в одном лице ролей исполнителя и администратора, администратора и контролера, исполнителя и контролера и подобн. не установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.
6	Требования об обеспечении ресурсами, необходимыми и достаточными для выполнения всех ролей в организации, полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.	Требования об обеспечении ресурсами, необходимыми и достаточными для выполнения всех ролей в организации, полностью установлены во внутренних нормативных документах организации и выполняются в полном объеме.

Продолжение таблицы 3.1

№	ИСПДн до принятия целенаправленных мер	ИСПДн после принятия целенаправленных мер
7	Требования об обязанности руководства (уполномоченного менеджера, высшего менеджера и т.п.) координации своевременности и качества выполнения сотрудниками своих ролей не установлены во внутренних нормативных документах организации, однако выполняются в полном объеме.	Требования об обязанности руководства (уполномоченного менеджера, высшего менеджера и т.п.) координации своевременности и качества выполнения сотрудниками своих ролей частично установлены во внутренних нормативных документах организации, однако выполняются в полном объеме.
8	Требования о выделенных ролях для контроля за качеством выполнения требований ИБ частично установлены во внутренних нормативных документах организации, но выполняются в полном объеме.	Требования о выделенных ролях для контроля за качеством выполнения требований ИБ частично установлены во внутренних нормативных документах организации, но выполняются в полном объеме.
9	Требования о выполнении проверки идентичности личности при приеме на работу, точности и полноты биографических фактов и заявляемой квалификации частично установлены во внутренних нормативных документах организации, но выполняются в полном объеме.	Требования о выполнении проверки идентичности личности при приеме на работу, точности и полноты биографических фактов и заявляемой квалификации частично установлены во внутренних нормативных документах организации, но выполняются в полном объеме.
10	Требования о проведении проверки профессиональных навыков и оценки профессиональной пригодности кандидатов при приеме на работу, связанную с защищаемыми данными, установлены частично во внутренних нормативных документах организации, выполняются не в полном объеме.	Требования о проведении проверки профессиональных навыков и оценки профессиональной пригодности кандидатов при приеме на работу, связанную с защищаемыми данными, полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.

Продолжение таблицы 3.1

№	ИСПДн до принятия целенаправленных мер	ИСПДн после принятия целенаправленных мер
11	Требования о наличии письменных обязательств сотрудников о соблюдении конфиденциальности всей защищаемой информации, доверенной или ставшей им известной в процессе выполнения служебных обязанностей, частично установлены во внутренних нормативных документах организации, но выполняются в полном объеме.	Требования о наличии письменных обязательств сотрудников о соблюдении конфиденциальности всей защищаемой информации, доверенной или ставшей им известной в процессе выполнения служебных обязанностей, полностью установлены во внутренних нормативных документах организации, но выполняются в полном объеме.
12	Требования об обеспечении компетентности персонала в области ИБ с помощью процессов обучения, осведомленности персонала, а также периодической проверки его компетентности в области ИБ полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.	Требования об обеспечении компетентности персонала в области ИБ с помощью процессов обучения, осведомленности персонала, а также периодической проверки его компетентности в области ИБ полностью установлены во внутренних нормативных документах организации и выполняются в полном объеме.
13	Обязанности по выполнению требований ИБ полностью определены в трудовых контрактах всех сотрудников, но выполняются не в полном объеме.	Обязанности по выполнению требований ИБ полностью определены в трудовых контрактах всех сотрудников и выполняются в полном объеме.
14	Требования о применении в составе ИСПДн встроенных механизмов защиты информации и/или сертифицированных (или разрешенных к применению) средств защиты информации от НСД не установлены во внутренних нормативных документах организации, но выполняются в небольшом объеме.	Требования о применении в составе ИСПДн встроенных механизмов защиты информации и/или сертифицированных (или разрешенных к применению) средств защиты информации от НСД полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.

Продолжение таблицы 3.1

№	ИСПДн до принятия целенаправленных мер	ИСПДн после принятия целенаправленных мер
15	Требования о применении парольной защиты или других средств аутентификации для всех ЭВМ и ЛВС, задействованных в технологических процессах, не установлены во внутренних нормативных документах организации, но выполняются в небольшом объеме.	Требования о применении парольной защиты или других средств аутентификации для всех ЭВМ и ЛВС, задействованных в технологических процессах, установлены во внутренних нормативных документах организации и выполняются в полном объеме.
16	Требования о проведении назначений/лишений полномочий по доступу сотрудников к ресурсам ЭВМ и/или ЛВС только с санкции руководителя функционального подразделения организации полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.	Требования о проведении назначений/лишений полномочий по доступу сотрудников к ресурсам ЭВМ и/или ЛВС только с санкции руководителя функционального подразделения организации полностью установлены во внутренних нормативных документах организации и выполняются в полном объеме.
17	Требования о выполнении контроля доступа пользователей к ресурсам всех ЭВМ и/или ЛВС, задействованных в технологических процессах, полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.	Требования о выполнении контроля доступа пользователей к ресурсам всех ЭВМ и/или ЛВС, задействованных в технологических процессах, полностью установлены во внутренних нормативных документах организации и выполняются в полном объеме.
18	Требования о формировании уникальных идентификаторов для всех пользователей, задействованных в технологических процессах, полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.	Требования о формировании уникальных идентификаторов для всех пользователей, задействованных в технологических процессах, полностью установлены во внутренних нормативных документах организации и выполняются в полном объеме.

Продолжение таблицы 3.1

№		ИСПДн до принятия целенаправленных мер	ИСПДн после принятия целенаправленных мер
19	Требования о регистрации действий сотрудников и пользователей, влияющих на ИБ, в специальном электронном журнале либо о регистрации организационными и/или административными мерами не установлены во внутренних нормативных документах организации, выполняются в небольшом объеме.		Требования о регистрации действий сотрудников и пользователей, влияющих на ИБ, в специальном электронном журнале либо о регистрации организационными и/или административными мерами полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.
20	Требования о предоставлении доступа к электронному журналу регистрации действий пользователей и сотрудников только администратору ИБ и отсутствии возможности редактирования записей данного электронного журнала полностью установлены во внутренних нормативных документах организации, но выполняются не в полном объеме.		Требования о предоставлении доступа к электронному журналу регистрации действий пользователей и сотрудников только администратору ИБ и отсутствии возможности редактирования записей данного электронного журнала полностью установлены во внутренних нормативных документах организации и выполняются в полном объеме.

Таблица с результатами опроса эксперта будет иметь следующий вид (таблица 3.2).

Таблица 3.2 – Результаты опроса эксперта

№	Вопрос	Исходная оценка	Новая оценка	Коэффициент значимости вопроса	Вычисленное значение вопроса
1	Определены ли роли персонала организации – оператора ПДн?	0,5	0,25	0,06	0,015
2	Персонифицированы ли роли в организации?	1	0,5	0,06	0,03
3	Установлена ли ответственность за исполнение ролей, зафиксированная в должностных инструкциях персонала?	0,5	0,25	0,06	0,015
4	Отсутствуют ли в организации роли, концентрирующие в себе все или большинство наиболее важных функций, необходимых для реализации одной из целей организации?	1	0,5	0,06	0,03
5	Отсутствует ли совмещение в одном лице ролей исполнителя и администратора, администратора и контролера, исполнителя и контролера и подобное?	1	0,5	0,06	0,03
6	Все ли роли в организации обеспечены ресурсами, необходимыми и достаточными для их выполнения?	0,5	0	0,06	0,03
7	Возложена ли на руководство (уполномоченного менеджера, высшего менеджера и т.п.) обязанность по координации своевременности и качества выполнения сотрудниками своих ролей?	0,5	0,25	0,05	0,0125
8	Существуют ли в организации выделенные роли для контроля за качеством выполнения требований ИБ?	0,25	0,25	0,05	0,0125

продолжение таблицы 3.2

№	Вопрос	Исходная оценка	Новая оценка	Коэффициент значимости вопроса	Вычисленное значение вопроса
9	Выполняются ли при приеме на работу проверки идентичности личности, точности и полноты биографических фактов и заявляемой квалификации?	0,25	0,25	0,04	0,01
10	Проводятся ли проверки профессиональных навыков и оценка профессиональной пригодности кандидатов при приеме на работу, связанную с защищаемыми данными?	0,75	0,5	0,04	0,02
11	Имеются ли письменные обязательства сотрудников о соблюдении конфиденциальности всей защищаемой информации, доверенной или ставшей им известной в процессе выполнения служебных обязанностей?	0,25	0	0,04	0
12	Обеспечивается ли компетентность персонала в области ИБ с помощью процессов обучения, осведомленности персонала, а также периодической проверки его компетентности в области ИБ?	0,5	0	0,03	0
13	Определены ли в трудовых контрактах всех сотрудников обязанности по выполнению требований ИБ?	0,5	0	0,03	0
14	Применяются ли в составе ИСПДн встроенные механизмы защиты информации и/или сертифицированные (или разрешенные к применению) средства защиты информации от НСД?	0,75	0,5	0,06	0,03

Таким образом, вероятность реализации угрозы оценена значением 0,26 балла, что в большей степени соответствует терму "низкая вероятность" и в меньшей степени – терму "средняя вероятность". В данном случае ущерб оценен значением 3,8 балла, что в большей степени соответствует терму "низкий" и в меньшей степени – терму "средний".

В рассматриваемом примере определены следующие вещественные значения, наиболее соответствующие термам лингвистической переменной "УРОВЕНЬ РИСКА":

- терм "Незначительный" – С₁=0;

- терм "Низкий" – С₂=0,2;

- терм "Ниже среднего" – С₃=0,4;

- терм "Средний" – С₄=0,5;

- терм "Выше среднего" – С₅=0,6;

- терм "Высокий" – С₆=0,8;

- терм "Очень высокий" – С₇=0,9;

- терм "Чрезвычайно высокий" – С₈=1.

Далее следует этап фаззификации оценок входных переменных.

Значения функций принадлежности для входных оценок x₀=0,26 и y₀=3,8 равны:

=0;

=0,8973;

=0,0308;

=0,0017;

=0;

=0,3566;

=0,1599;

=0;

=0.

Соответственно для каждого из 20 определенных в системе нечеткого вывода правил значения A_i(x₀), B_i(y₀) и C_i представлены в таблице 3.3.

Таблица 3.3 - Степени принадлежности для предпосылок каждого правила

Правило №	Ai(x0)	Bi(y0)	Ci
1	0,0000	0,0000	0
2	0,0000	0,3566	0
3	0,0000	0,1599	0,2
4	0,0000	0,0000	0,4
5	0,0000	0,0000	0,5
6	0,8973	0,0000	0
7	0,8973	0,3566	0,2
8	0,8973	0,1599	0,4
9	0,8973	0,0000	0,5
10	0,8973	0,0000	0,6
11	0,0308	0,0000	0,2
12	0,0308	0,3566	0,4
13	0,0308	0,1599	0,5
14	0,0308	0,0000	0,8
15	0,0308	0,0000	0,9
16	0,0017	0,0000	0,2
17	0,0017	0,3566	0,5
18	0,0017	0,1599	0,8
19	0,0017	0,0000	0,9
20	0,0017	0,0000	1

На следующем шаге находятся уровни "отсечения" для предпосылок каждого из правил (этап агрегирования):

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

На завершающем этапе проводится дефаззификация:

=0,284.

Итоговая оценка риска равна 0,284 балла, что соответствует терму "Низкий".

Таким образом, риск снизился с исходного 0,454 балла до 0,284 балла.

Предположим, что с помощью адекватных мер и средств ущерб от реализации угрозы несанкционированного копирования информации о наличии и характере судимости у сотрудников организации внутренним нарушителем снизился с исходных 3,8 до 1,4 балла, что в большей степени соответствует терму "низкий" и в меньшей степени – терму "незначительный", в то время как вероятность угрозы осталась на прежнем уровне (0,61 балла). Вычислим значение риска в этом случае.

Вещественные значения, наиболее соответствующие термам лингвистической переменной "УРОВЕНЬ РИСКА", следующие:

- терм "Незначительный" – С₁=0;

- терм "Низкий" – С₂=0,2;

- терм "Ниже среднего" – С₃=0,4;

- терм "Средний" – С₄=0,5;

- терм "Выше среднего" – С₅=0,6;

- терм "Высокий" – С₆=0,8;

- терм "Очень высокий" – С₇=0,9;

- терм "Чрезвычайно высокий" – С₈=1.

Далее следует этап фаззификации оценок входных переменных.

Значения функций принадлежности для входных оценок x₀=0,61 и y₀=1,4 равны:

= 0;

= 0,0063;

= 0,9896;

= 0,1696;

= 0,0204;

= 0,5602;

= 0;

= 0;

= 0.

Соответственно для каждого из 20 определенных в системе нечеткого вывода правил значения A_i(x₀), B_i(y₀) и C_i представлены в таблице 3.4.

Таблица 3.4 - Степени принадлежности для предпосылок каждого правила

Правило №	Ai(x0)	Bi(y0)	Ci
1	0,0000	0,0204	0
2	0,0000	0,5602	0
3	0,0000	0,0000	0,2
4	0,0000	0,0000	0,4
5	0,0000	0,0000	0,5
6	0,0063	0,0204	0
7	0,0063	0,5602	0,2
8	0,0063	0,0000	0,4
9	0,0063	0,0000	0,5
10	0,0063	0,0000	0,6
11	0,9896	0,0204	0,2
12	0,9896	0,5602	0,4
13	0,9896	0,0000	0,5
14	0,9896	0,0000	0,8
15	0,9896	0,0000	0,9
16	0,1696	0,0204	0,2
17	0,1696	0,5602	0,5
18	0,1696	0,0000	0,8
19	0,1696	0,0000	0,9
20	0,1696	0,0000	1

На следующем шаге находятся уровни "отсечения" для предпосылок каждого из правил (этап агрегирования):

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

На завершающем этапе проводится дефаззификация:

=0,406.

Таким образом, итоговая оценка риска равна 0,406 балла, что соответствует терму "Ниже среднего", то есть риск снизился с исходного 0,454 балла до 0,406 балла.

Рассмотрим случай, когда применяются как меры для снижения вероятности реализации угрозы несанкционированного копирования информации о наличии и характере судимости у сотрудников организации внутренним нарушителем, так и меры для минимизации ущерба от реализации этой угрозы. Вероятность реализации угрозы оценена значением 0,26 балла, а ущерб – 1,4 балла.

Вещественные значения, наиболее соответствующие термам лингвистической переменной "УРОВЕНЬ РИСКА", следующие:

- терм "Незначительный" – С₁=0;

- терм "Низкий" – С₂=0,2;

- терм "Ниже среднего" – С₃=0,4;

- терм "Средний" – С₄=0,5;

- терм "Выше среднего" – С₅=0,6;

- терм "Высокий" – С₆=0,8;

- терм "Очень высокий" – С₇=0,9;

- терм "Чрезвычайно высокий" – С₈=1.

Далее следует этап фаззификации оценок входных переменных.

Значения функций принадлежности для входных оценок x₀=0,26 и y₀=1,4 равны:

= 0;

= 0,8973;

= 0,0308;

= 0,0017;

= 0,0204;

= 0,5602;

= 0;

= 0;

= 0.

Соответственно для каждого из 20 определенных в системе нечеткого вывода правил значения A_i(x₀), B_i(y₀) и C_i представлены в таблице 3.5.

Таблица 3.5 - Степени принадлежности для предпосылок каждого правила

Правило №	Ai(x0)	Bi(y0)	Ci
1	0,0000	0,0204	0
2	0,0000	0,5602	0
3	0,0000	0,0000	0,2
4	0,0000	0,0000	0,4
5	0,0000	0,0000	0,5
6	0,8973	0,0204	0
7	0,8973	0,5602	0,2
8	0,8973	0,0000	0,4
9	0,8973	0,0000	0,5
10	0,8973	0,0000	0,6
11	0,0308	0,0204	0,2
12	0,0308	0,5602	0,4
13	0,0308	0,0000	0,5
14	0,0308	0,0000	0,8
15	0,0308	0,0000	0,9
16	0,0017	0,0204	0,2
17	0,0017	0,5602	0,5
18	0,0017	0,0000	0,8
19	0,0017	0,0000	0,9
20	0,0017	0,0000	1

На следующем шаге находятся уровни "отсечения" для предпосылок каждого из правил (этап агрегирования):

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

;

На завершающем этапе проводится дефаззификация:

=0,204.

Итоговая оценка риска равна 0,204 балла, что соответствует терму "Низкий". Таким образом, риск снизился с исходного значения 0,454 балла до 0,204 балла.

Анализируя выше изложенные методы управления рисками, можно сделать вывод о том, что наиболее эффективным является разумное сочетания мер и средств снижения как вероятности реализации угрозы, так и ущерба от ее реализации.

в) Компенсация ущерба

Для компенсации ущерба используется механизм страхования риска. По сути, само значение риска остается неизменным, но при наступлении страхового случая выплачивается компенсация, определенная в страховом договоре. Таким образом, ущерб от реализации угрозы в итоге уменьшится.

Однако система страхования для информационных рисков вообще, и рисков для ИСПДн в частности, находится в зачаточном состоянии.

г) Поглощение

В случаях, когда риск незначительный, или затраты на систему защиты от угрозы превосходят ущерб от данной угрозы, его можно принять. В нашем случае риск равен 0,454 балла, что может соответствовать термам "Ниже среднего" и "Средний". Затраты на систему безопасности не превосходят значение ущерба от реализации угрозы. Поэтому метод поглощения риска в нашем случае не применим.