ГОСТ Р ИСО/МЭК ТО 13335-3—2007
8.3 Детальный анализ риска
Третий вариант подхода предполагает проведениедетального анализа риска с получением результа
тов для всехсистем информационных технологий, действующих в организации. Детальный анализ риска
включает в себя подробную идентификацию и оценку активов, оценку возможных угроз, которым могут
подвергнуться эти активы, а также оценку уровня их уязвимости. Результаты этих операций затем исполь
зуютдля оценки рисков и последующей идентификации обоснованных защитных мер. Третий вариант под
хода подробно представлен в 9.3.
Этот вариант подхода имеет следующие преимущества;
- весьма вероятно, что в результате этого подхода для каждой из систем будут определены соответ
ствующие ей защитные меры обеспечения безопасности;
- результаты проведения детального анализа могут быть использованы при управлении изменениями
в системе обеспечения безопасности.
В то же время такой вариант подхода характеризуется следующими недостатками;
- для его реализации и получения нужного результата требуется затратить значительное количество
средств, времени и квалифицированного труда;
- существует вероятность того, что определение необходимых защитных мердля какой-либо крити
ческой системы произойдетслишком поздно, поскольку анализ будет проводиться одинаково тщательно
для систем информационныхтехнологий и для проведения анализа всех систем потребуется значительное
время.
Таким образом, использованиедетального анализа риска применительно ко всем системам информа
ционных технологий не рекомендуется. Если принято решение прибегнуть к такому варианту подхода, то
возможны следующие дополнительные разновидности его использования;
- стандартный подход, отвечающий критериям настоящего стандарта (например подход по 9.3);
- стандартный подход в разных вариантах, отвечающий потребностям организации; для ряда органи
заций предпочтительным можетбыть использование «детального анализа риска» (см. 9.3).
8.4 Комбинированный подход
В соответствии с четвертым вариантом подхода предполагается проводить предварительный анализ
высокого уровня риска для всех систем информационных технологий, обращая особое внимание надело
вую значимость системы и уровень риска, которому она подвергается. Для систем информационных техно
логий. которые имеют важное значениедля деловойдеятельности организации и/или подвержены высоко
му уровню риска, в первую очередь проводятдетальныйанализ риска. Для остальных систем информаци
онных технологий следует ограничиться базовым вариантом подхода. Таким образом, комбинированный
вариант, сочетающий лучшие свойства подходов, описанных в 8.1 и 8.3. позволяет при сведении к мини
муму времени и усилий, затраченных на идентификацию должных защитных мер. обеспечить необходи
мую защиту систем с высоким уровнем риска.
Кроме того, комбинированный вариант подхода имеет следующие преимущества:
- использование быстрого и простого предварительногоанализа риска позволитобеспечить принятие
программы анализа риска;
- существует возможность быстро оценить оперативное состояние программы обеспечения безопас
ности организации, т.е. использование такого подхода будет в значительной мере способствовать успеш
ному планированию;
- ресурсы и средства могут быть вложены туда, где они принесут максимальный эффект, так как они
в первую очередь будут направлены всистемы, в наибольшей степени нуждающиеся в обеспечении безо
пасности;
- проведение последующих мероприятий будет более успешным.
Единственный потенциальный недостатокданного варианта подхода состоит в следующем; посколь
ку предварительный анализ риска проводят исходя из предположения о его возможном высоком уровне,
отдельные системы могут быть ошибочно отнесены к системам, не требующим проведения детального
анализа риска. Кэтим системам в дальнейшем будут применены базовые методы обеспечения безопасно
сти. При необходимости можнобудет вернуться к рассмотрению этих систем с тем. чтобы удостовериться,
не требуют ли они более тщательного по сравнению с базовым подходом рассмотрения.
Использование данного варианта подхода с анализом высокого уровня риска всочетании с базовым
подходом и (если необходимо)детальным анализом риска обеспечивает большинствуорганизаций наибо
лее эффективное решение проблем. Таким образом, подобный псдход является наиболее предпочтитель
ным и будет более подробно рассмотрен в разделе 9.
3"9