ГОСТР ИСО/МЭКТО 13335-3—2007
вдокументах по базовой безопасности {см. ИСО/МЭКТ013335-4): более подробное описание этого вари
анта подхода см. в 9.2.
Существует ряд преимуществ использования этого варианта подхода, в том числе:
- возможность обойтись минимальным количеством ресурсов при проведении анализа и контроля
риска для каждого случая принятия защитных мер и. соответственно, потратить меньше времени и усилий
на выбор этих мер:
- при применении базовых защитных мер безопасности можно принять экономически эффективное
решение, поскольку те же или схожие базовые защитные меры безопасности могут быть без особых про
блем применены во многих системах, если большое число систем в рамках организации функционирует в
одних и тех же условиях и предъявляемые к обеспечению безопасности требования соизмеримы.
В то же время этот вариант подхода имеет следующие недостатки:
- если принимается слишком высокий базовый уровень, то для ряда систем информационных техно
логий уровень обеспечения безопасности будет завышен;
- если базовый уровень будет принят слишком низким, тодля ряда систем информационныхтехноло
гий уровеньобеспечения безопасности будет недостаточен, что увеличит рискее нарушения и
- могут возникнуть трудности при внесении изменений, затрагивающих вопросы обеспечения безо
пасности. Так. если была проведена модернизация системы, то могут возникнуть сложности при оценке
способностей первоначально примененныхбазовых защитных мер безопасности и далееоставаться дос
таточноэффективными.
Если все используемые в организации системы информационных технологий характеризуются низ
ким уровнем требований к обеспечению безопасности, то первый вариант стратегии анализа риска может
оказаться экономически эффективным. В этом случае базовый уровень безопасностидолжен выбираться
так, чтобы он соответствовал уровню защиты, необходимому для большинства систем информационных
технологий. Для большинства организаций всегда существует необходимость использовать некоторые
минимальные стандартные уровнидля обеспечения защиты важнейшей информации с целью отвечать
требованиям правовых и нормативныхактов — напримертребованиям закона о безопасности информации.
Однако в случаях, если отдельные системы организации характеризуются различной степенью чувстви
тельности. разнымиобъемами и сложностьюделовой информации, использование общих стандартов при
менительно ко всем системам будет ложчески неверным, экономически неоправданным.
8.2 Неформальный подход
Второй вариант подхода предусматривает проведение неформального анализа риска, основанного
на практическом опыте конкретногоэксперта. Неформальный подход предполагает использование знаний
и практическогоопыта специалистов, а не структурных методов.
Этот подход обладает следующими достоинствами:
- не требует использования значительных средств или времени. При его использовании эксперт не
должен приобретатьдополнительные знания по своей специальности, а затраты времени наанализ риска
при этом меньше, чем при проведениидетального анализа риска.
Однакоданный подход имеет и свои недостатки:
- при отсутствии хотя бы одногоэлемента базового подхода (первый вариант стратегии анализа рис
ка) или комплексного перечня контрольных операций увеличивается вероятность пропуска ряда важных
деталей у всех систем информационных технологий, действующих в организации:
- могут возникнуть трудности при обосновании необходимости реализации защитных мер. определен
ных по результатам анализа риска, проведенного подобным подходом;
- для экспертов, не обладающих значительным опытом работы в области анализа риска, не суще
ствует готовых рекомендаций, которые могли бы облегчить их работу:
- подходы организации к анализу риска в прошлом были продиктованы исключительнооценкой уязви
мости систем, т. е. потребность в мерахобеспечения безопасности основывалась на наличии уэтихсистем
уязвимостей без анализа того, существуют ли угрозы, способные реализовать наличие этих уязвимостей
(без обоснования реальной необходимости в использовании защитных мер);
- результаты проведения анализа могут в какой-то мере зависеть от субъективного подхода, личных
предубеждений эксперта и. кроме того, могут возникнуть проблемы в случае, если специалист, который
проводил неформальный анализ, покидает организацию.
С учетом приведенных выше недостатков второй вариант подхода к анализу риска для многих орга
низаций будет неэффективным.
8