Отправляет email-рассылки с помощью сервиса Sendsay

Тестирование информационной безопасности

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Создание сайта и его продвижение" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Апрель 2004   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
Автор
Полаженко Сергей

Статистика

2.596 подписчиков
-2 за неделю
←   Все выпуски   →

Выпуск No9. Методика анализа и управления рисками CRAMM


Информационный Канал Subscribe.Ru
Тестирование информационной безопасности.
Анализ защищённости информационных ресурсов предприятия.

Выпуск No9. Методика анализа и управления рисками CRAMM

Сегодняшний обзор приведён из публикации Астахов А. Анализ защищенности корпоративных автоматизированных систем

Среди известных методов анализа рисков можно выделить следующие:

  • метод анализа и управления рисками OCTAVE;
  • метод анализа и управления рисками RiskWatch;
  • методика анализа и управления рисками CRAMM;

OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) - метод анализа и управления рисками, ориентированный на использование внутри организации при проведении внутреннего аудита. Сайт Octave, посвященный данному методу, содержит много полезной информации, включая описание метода, модели угроз, требования к проведению мероприятий по анализу рисков.
Американская компания RiskWatch, Inc. разрабатывает специализированное ПО для анализа и управления рисками. Отчет GartnerGroup, содержит подробное описание метода RiskWatch и его возможностей.

 

Методика анализа и управления рисками CRAMM

Метод CRAMM (the UK Government Risk Analysis and Management Method) используется начиная с 1985 г. правительственными и коммерческими организациями Великобритании. За это время он приобрел популярность во всем мире. Ниже излагается сущность метода CRAMM и основные этапы его использования.
CRAMM предполагает разделение всей процедуры на три последовательных этапа. Задачей первого этапа является ответ на вопрос: "Достаточно ли для защиты системы применения средств базового уровня, реализующих традиционные функции безопасности, или необходимо проведение более детального анализа защищенности. На втором этапе производится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер.
Методика CRAMM для каждого этапа определяет набор исходных данных, последовательность мероприятий, анкеты для проведения опросов, списки проверки и набор выходных документов (отчетов).

Первый этап
Список задач для первого этапа:

  • Подготовка функциональной спецификации системы и согласование границ проведения обзора безопасности.
  • Идентификация информационных, программных и физических ресурсов и создание модели ресурсов.
  • Оценка критичности информационных ресурсов с точки зрения величины возможного ущерба от их несанкционированного раскрытия, модификации, уничтожения или их временной недоступности. С этой целью проводятся опросы пользователей и владельцев ресурсов. Предлагаются соответствующие формы, помогающие структурировать опрос и инструкции для анализа результатов опросов.
  • Оценка физических ресурсов с точки зрения стоимости их замены или ремонта.
  • Оценка программных ресурсов с точки зрения стоимости их замены или восстановления, а также величины ущерба от их недоступности, раскрытия или модификации.

Если уровень критичности ресурсов является очень низким, то к системе предъявляются только требования безопасности базового уровня. В этом случае большая часть мероприятий второго этапа не выполняется, а осуществляется переход к третьему этапу, на котором генерируется список адекватных контрмер базового уровня.

Второй этап
На втором этапе производится анализ угроз безопасности и уязвимостей. Список задач:

  • идентификация угроз конкретным ресурсам, требующих проведение детального анализа;
  • оценка уровня угроз (вероятности их осуществления);
  • оценка уязвимости системы по отношению к конкретным угрозам (вероятности причинения ущерба и величины ущерба);
  • вычисление рисков, вызванных угрозами безопасности, на основе оценки стоимости ресурсов, оценки уровня угроз и оценки уязвимостей.

Для оценки уровня угроз и уязвимостей используются специально разработанные опросники. Опросники содержат формулировки вопросов и варианты ответов. При проведении анализа рисков существующие контрмеры игнорируются с целью избежать неверных предположений относительно их эффективности.


Третий этап
На третьем этапе решается задача управления рисками, состоящая в выборе адекватных контрмер. Список задач

  • Идентификация контрмер для рисков, выявленных на втором этапе.
  • В случае наличия в системе средств защиты, осуществляется их сравнение с полученным списком контрмер.
  • Разработка рекомендаций по использованию адекватных контрмер.

Решение о внедрении в систему новых механизмов безопасности и модификация старых принимает руководство организации, учитывая связанные с этим денежные и трудозатраты, их приемлемость и конечную выгоду для бизнеса. Для этого требуется подготовить обоснование рекомендуемых контрмер.
В случае принятия решения о внедрении новых контрмер и модификации старых, необходимо подготовить план внедрения и произвести оценку эффективности использования этих контрмер в данном окружении. Решение этих задач выходит за рамки метода CRAMM.

Выходные документы

Результаты анализа и управления рисками для каждого из рассмотренных этапов представляются в виде промежуточных и окончательных отчетов.

Отчеты на первом этапе

  • Модель ресурсов: описание ресурсов, попадающих в границы исследования, и взаимосвязей между ними.
  • Оценка критичности ресурсов.
  • Результирующий отчет о первом этапе анализа рисков: суммируются результаты, полученные на первом этапе исследования.

Отчеты на втором этапе

  • Результаты оценивания уровня угроз и уязвимостей.
  • Результаты оценивания величины рисков.
  • Результирующий отчет о втором этапе анализа рисков.

Отчеты на третьем этапе

  • Рекомендуемые контрмеры.
  • Детальная спецификация безопасности.
  • Оценка стоимости рекомендуемых контрмер.
  • Список контрмер, отсортированный в соответствии с их приоритетами.
  • Результирующий отчет о третьем этапе исследования.
  • Политика безопасности: включает описание требований безопасности, стратегий и принципов защиты АС.
  • Список мероприятий по обеспечению безопасности.

Завершающие мероприятия
После получения результатов анализа рисков, на их основе необходимо принять следующие решения:

  • Какие контрмеры будут реализованы.
  • Какие из существующих контрмер не являются адекватными и их необходимо удалить.
  • Когда (в каких случаях) необходимо проводить повторный анализ рисков.
  • Архивирование результатов анализа рисков.

Более подробно о методе CRAMM можно прочитать по следующим ссылкам:

  1. Компания разработчик программного продукта CRAMM
  2. CRAMM. Достоинства и недостатки метода, ограничения по его применению.
  3. Сайт пользователей метода CRAMM
  4. Сергей Симонов. Анализ рисков, управление рисками.

Вопрос для обсуждения:

Использовали ли вы названные методики или специализированное ПО для оценки рисков? Каковы основные проблемы, каковы результаты?

обсудить в форуме | обсудить в дискуссионном листе | задать вопрос автору
Для новых участинков - зарегистрироваться в дискуссионном листе (письмом, Web).
Рассылка "Тестирование информационной безопасности." (с) 2004
Автор выпуска: Полаженко Сергей
Сайт рассылки: "Тестирование информационной безопасности"
Информационная поддержка: "ТЕСТЕР — сервер тестировщиков"

http://subscribe.ru/
E-mail: ask@subscribe.ru 		Отписаться
Убрать рекламу

В избранное