Управление рисками: обзор употребительных подходов

Информационный бюллетень JET INFO
Обзор подготовлен по материалам учебного курса "Основы информационной безопасности" доктора физ.-мат. наук, заведующего сектором в отделе информационной безопасности НИИ системных исследований РАН В.А. Галатенко

Назад Оглавление Вперёд

Возможный формат отчета об оценке рисков

Отчет об оценке рисков может иметь следующий формат.

• Краткое содержание.
• Введение.
  • Цель.
  • Область охвата оценки рисков. Описываются компоненты информационной системы, ее пользователи, расположение удаленных производственных площадок (при наличии таковых) и т.п.
  • Подход к оценке рисков. Кратко описывается выбранный подход к оценке рисков, в том числе:
  • состав группы, оценивающей риски;
  • методы сбора информации (вопросники, инструментальные средства и т.п.);
  • описание применяемой шкалы рисков.
• Характеристика системы. Описывается система, включая аппаратуру (серверы, активное сетевое оборудование и т.д.), программное обеспечение (приложения, базовое ПО, протоколы), системные интерфейсы (коммуникационные каналы), данные, пользователи. Приводится диаграмма связности, входные и выходные потоки данных.
• Перечень уязвимостей. Составляется список потенциальных уязвимостей, возможно, присутствующих в оцениваемой системе.
• Перечень источников угроз. Составляется список потенциальных источников угроз, актуальных для оцениваемой системы.
• Результаты оценки рисков. Приводится перечень выявленных рисков (пар уязвимость/угроза). Каждый элемент данного перечня должен включать:
  • номер и краткое описание (например: 1. Пользовательские пароли могут быть угаданы или подобраны);
  • обсуждение пары уязвимость/угроза;
  • набор существующих регуляторов безопасности, уменьшающих риск;
  • обсуждение вероятности реализации угрозы и ее оценка (высокая, умеренная, низкая);
  • анализ воздействия, его оценка (высокое, умеренное, низкое);
  • оценка (рейтинг) рисков (высокий, умеренный, низкий);
  • рекомендуемые регуляторы безопасности или иные способы снижения рисков.
• Выводы. Приводится сводка рисков и их уровней, рекомендации и комментарии, разъясняющие реализацию рекомендованных контрмер в процессе нейтрализации рисков.

Назад Оглавление Вперёд