« poprzedni punkt |
Osiągnięcie wymaganego poziomu bezpieczeństwa można osiągnąć postępując wg następującego schematu:
Wstępem do projektowania Polityki Bezpieczeństwa Informacji jest audyt bezpieczeństwa:
Pojęcie ryzyka jest wieloznaczne. W różnych opracowaniach (słownikach, normach) występują różne jego definicje. Wg normy IEC 61508 pod pojęciem ryzyka należy rozumieć miarę stopnia zagrożenia dla tajności, integralności i dostępności informacji wyrażona jako iloczyn prawdopodobieństwa wystąpienia sytuacji stwarzającej takie zagrożenie i stopnia szkodliwości jej skutków.
Analiza ryzyka jest procesem składającym się z następujących etapów:
Szacowanie ryzyka odgrywa bardzo ważną rolę podczas opracowywania strategii zapewnienia bezpieczeństwa. Do szacowania ryzyka czasami wykorzystuje się specjalne programy, lub zatrudnia firmę konsultingową. Można również przeprowadzić w firmie szereg zajęć warsztatowych. Wspólnie tworzona jest wówczas lista zasobów i zagrożeń. Dodatkowym efektem jest wtedy wzrost świadomości zagrożeń wśród uczestników warsztatów. Można powiedzieć, że szacowanie ryzyka polega na ocenie wszystkich negatywnych skutków zagrożeń i określeniu prawdopodobieństw ich wystąpienia.
Lista chronionych zasobów powinna być oparta na odpowiednim planie biznesowym i zdrowym rozsądku. Lista powinna zawierać wszystko co przedstawia pewną wartość z punktu widzenia ewentualnych strat wynikających z nieosiągniętych zysków, straconego czasu, wartości napraw i wymiany uszkodzonych elementów. Przy tworzeniu może okazać się niezbędna:
Po zdefiniowaniu listy zagrożeń należy wyznaczyć wymiar zagrożeń. Należy ocenić prawdopodobieństwo wystąpienia każdego ze zdarzeń (np. w układzie rocznym). Zwykle jest to zadanie bardzo trudne. Wykonane szacunki trzeba okresowo weryfikować. Trzeba to również robić przy każdej zmianie organizacyjnej (zmiana w działaniu lub strukturze organizacji). Szacowanie ryzyka dotyczy zwykle zdarzeń, dla których częstości występowania nie są określone ani bezpośrednio wyznaczalne na odpowiednim poziomie ufności. Dlatego przy szacowaniu ryzyka używa się metod modelowania przystosowanych do szacowania małych prawdopodobieństw - drzew zdarzeń i drzew błędów. W każdej z tych metod, zadanie złożone dekomponuje się na mniejsze części, które po starannej analizie łączy się ponownie. Uzyskujemy w ten sposób lepsze zrozumienie całego zadania oraz możliwość określania występujących w nim prawdopodobieństw zdarzeń składowych.
Drzewo zdarzeń jest modelem zależności przyczynowo-skutkowych występujących w rozpatrywanym problemie. Zakłada się, że skutek jest wynikiem wystąpienia ciągu zdarzeń. Drzewo zdarzeń rozpoczyna się wobec tego pewnym zdarzeniem inicjującym i przedstawia wszystkie możliwe ciągi zdarzeń będące następstwami zdarzenia inicjującego. W różnych miejscach drzewa zdarzeń znajdują się punkty rozgałęzień ilustrujące fakt, że po pewnych zdarzeniach istnieje możliwość wystąpienia różnych innych ciągów zdarzeń. Prawdopodobieństwo wystąpienia określonego skutku otrzymuje się mnożąc przez siebie prawdopodobieństwo wystąpienia wszystkich zdarzeń występujących na ścieżce od zdarzenia inicjującego do rozważanego skutku.
Drzewo błędów budowane jest w kierunku przeciwnym niż drzewo zdarzeń. Rozpoczyna się od określonego skutku i rozwija w kierunku zdarzeń poprzedzających, pokazując wszystkie możliwe kombinacje zdarzeń niepożądanych.
Po oszacowaniu ryzyka, do każdego zagrożenia należy przypisać odpowiedni koszt i zestawić to wyliczenie z kosztami ochrony. Takie postępowanie nazywamy analizą kosztów i zysków lub oceną akceptowalności ryzyka. W większości przypadków nie ma potrzeby przypisywania dokładnych wartości kosztów do poszczególnych zagrożeń. Czasami wystarczy przedział. Należy również wyliczyć koszty działań prewencyjnych, które odpowiadają poszczególnym pozycjom strat. Np. działaniem prewencyjnym, zapobiegającym stratom wynikłym z zaniku zasilania jest zakup i instalacja UPS'a. Należy pamiętać o amortyzacji kosztów w określonym czasie.
Akceptowalność ryzyka napotyka na poważne trudności gdy w grę wchodzi ludzkie życie. Taka sytuacja będzie miała miejsce w systemach wspomagających intensywną terapię, nawigację w samolotach, nadzorowanie pracy reaktorów jądrowych. Wynika to z braku powszechnie akceptowanych metod oceniania ludzkiego życia.
Ostatnim krokiem jest sporządzenie wielowymiarowej tablicy określającej zasoby, koszty i ewentualne straty. Dla każdej straty określa się prawdopodobieństwo jej wystąpienia, przewidywaną wartość straty i koszt prewencji. Określenie, czy zastosowana forma prewencji jest adekwatna -polega na pomnożeniu wartości straty przez prawdopodobieństwo wystąpienia, posortowaniu wyników malejąco i porównaniu kosztów wystąpienia strat z kosztami prewencji.
Taka tabela może dostarczyć również listy zadań priorytetowych. Czasami wyniki są zaskakujące. Celem powinno być unikanie dużych strat. Zwykle pożar i utrata kluczowych osób z personelu są bardziej prawdopodobne i brzemienne w skutkach niż wirusy i włamania poprzez sieć. Natomiast uwagę przykuwają zwykle te ostatnie.
Bezpieczeństwa nie uzyskuje się za darmo. Im bardziej zaawansowane metody jego uzyskania, tym droższe. Zwykle systemy bezpieczniejsze są również trudniejsze w eksploatacji.
Szacowanie ryzyka pomaga w umotywowaniu potrzeby przeznaczenia określonych środków finansowych na zapewnienie bezpieczeństwa. Większość kadry menedżerskiej niewiele wie na temat komputerów, ale rozumie analizę kosztów i zysków.
Chyba jedną z najlepszych metodyk opracowywania polityki bezpieczeństwa jest TISM (Total Information Security Management ) zaproponowana przez Europejski Instytut Bezpieczeństwa Sieciowego.
Wg metodologii TISM przyjmuje się trzy podstawowe poziomy w hierarchii polityki bezpieczeństwa:
Poziom głównego dokumentu Polityki Bezpieczeństwa Informacji jest poziomem, na którym ustala się podstawowe zasady ochrony informacji w organizacji. Na poziomie grupy informacji ustala się specyficzne wymagania ochrony dla danej grupy informacji. Poziom systemu przetwarzania jest natomiast poziomem, na którym określa się spełnienie wymagań wyższych poziomów przez system przetwarzania, w którym informacje z danej grupy się znajdą. Schemat TISM przedstawiono na rys. 1.
« poprzedni punkt |