ГОСТ Р ИСО/МЭК 27005—2010
Принципы облегчают определение значений ценности по числовой шкале, как. например, на шкале от 0
до 4. показанной в приведенном ниже примере (см. таблицу Е.1а). осуществляя таким образом присвоение коли
чественных значений, если это возможно и обоснованно, и качественных значений там. где количественные
значения невозможны, например в случав создания опасности для человеческой жизни.
Следующим важным этапом деятельности является заполнение ряда опросных листов для каждого вида
угрозы, каждой группы активов, с которой связан данный вид угрозы, чтобы сделать возможной оценку уровней
угроз (вероятности возникновения) и уровней уязвимостей (простоты использования угроз для создания небла
гоприятных последствий). Каждый ответ на вопрос дает баллы. Эти баллы складываются с использованием базы
знаний и сравниваются с диапазонами. Это идентифицирует уровни угроз, например, по шкале от высокого до
низкого и. аналогично, уровни уязвимостей, как показано в таблице Е.1а. с проведением различий между видами
последствий. Информация для заполнения опросных листов должна собираться из опросов технического персо
нала. представителей отдела кадров, из данных обследований фактического месторасположения и проверки
документации.
Ценность активов, уровни угроз и уязвимостей, относящиеся к каждому виду последствий, приводятся в
табличной форме (матрице), представленной в таблице Е.1э. чтобы для каждой комбинации идентифицировать
соответствующую меру риска на основе шкалы от 0 до 8. Значения заносятся в матрицу структурированным обра
зом.
Т а б л и ц а Е.1э— Ценность активов, уровни угроз иуязвимостей
Степень вероятности
возникновения угрозы
НизиаяСредняя
Высокая
Про*:тота
использовамия
НСВNСВ
НСВ
Ценность
активов
0012123234
1123234345
2234345456
3345456567
4456567678
Для каждого актива рассматриваются уместные уязвимости и соответствующие им угрозы. Если существует
уязвимость без соответствующей угрозы или угроза без соответствующей уязвимости, то в настоящее время риск
отсутствует (но следует принимать меры в случав изменения этой ситуации). Соответствующая строка в таблице
устанавливается по значению ценности актива, а соответствующая колонка устанавливается постепени вероятно
сти возникновения угрозы и простоте использования. Например если актив имеет ценность 3. угроза является
«высокой», а уязвимость «низкой», то мера риска будет равна 5. Предположим, что актив имеет ценность 2 и.
например для модификации уровень угрозы является «низким», а простота использования «высокой», тогда
мера риска будет равна 4. Размер таблицы с точки зрения числа категорий вероятности угроз, категорий простоты
использования и числа категорий определения ценности активов может быть адаптирован к потребностям орга
низации. Для дополнительных мер риска потребуются дополнительные колонки и строки. Ценность данного под
хода заключается в ранжировании рисков, требующих рассмотрения.
Аналогичная матрица, как показано в таблице Е.1а. является результатом рассмотрения степени вероятно
сти сценария инцидента, отображенного на количественно оцененное влияние бизнеса. Вероятность сценария
инцидента дана посредством угрозы, использующей уязвимость с определенной вероятностью. Таблица отобра
жает эту вероятность влияния на бизнес, связанную со сценарием инцидента. Получаемый в результате
риск измеряется по шкале от 0 до 8. может быть оценен относительно критериев принятия риска. Данная шкала
рисков может также отображаться на простой общий рейтинг рисков, например следующим образом:
- низкий риск: 0—2;
- средний риск: 3—5;
- высокий риск: 6—8.
41