ГОСТ Р ИСО/МЭК ТО 13335-3—2007
трудно определить уровень необходимой защиты и объем средств, которые организации следует израсхо
довать на принятие мер защиты. Примером шкалы оценок может быть определение уровня ценности как
«низкий», «средний» или «высокий» или. с большей степеньюдетализации, «пренебрежимо малый», «низ
кий». «средний», «высокий», «очень высокий».
Более подробно о возможных уровнях и шкалах оценки, которые могут быть использованы при оцен
ке ценности активов, основываясь на оценке возможного ущерба, см. приложение В. Независимо от ис
пользуемой шкалы оценок, в ходе проведения оценки необходимо рассмотреть проблемы, связанные с
уровнем возможного ущерба, причиной которого может быть:
- нарушение законодательства и/или технических норм;
- снижение уровня деловой активности;
- потеря/ухудшение репутации;
- нарушение конфиденциальности личной информации;
- возникновение угрозы личной безопасности;
- неблагоприятные последствиядеятельности правоохранительныхорганов;
- нарушение конфиденциальности в коммерческих вопросах;
- нарушение общественного порядка;
- финансовые потери;
- перебои в выполнении деловых операций;
- угроза экологического ущерба.
Каждая организация может выдвинуть также собственные критерии оценки, исходя из важности кон
кретных проблем для своейделовойдеятельности; эти критерии следуетдополнить критериями, приведен
ными в приложении В. Кроме того, организация должна установить собственные границы для ущербов,
определяемых как «низкие» и «высокие». Так например, финансовыйущерб, катастрофически высокий для
небольшой компании, может быть низким или пренебрежимо малым для крупной компании.
На этой стадии процесса оценки следует подчеркнуть, что методоценки должен обеспечивать полу
чение не только количественных, но и качественных оценок — там. где получение количественных оценок
невозможно {например возможность оценки стоимости потери жизни или деловой репутации). Используе
мая шкала оценокдолжна быть снабжена соответствующими пояснениями.
Следует также выявить виды зависимости одних активов от других, поскольку наличие таких видов
зависимостей может оказать влияние на оценку активов. Например конфиденциальностьданныхдолжна
бытьобеспечена на протяжении всего процесса их обработки, т.е. необходимость обеспечения безопасно
сти программ обработки данных следует напрямую соотнести с уровнем ценности конфиденциальности
обрабатываемыхданных. Кроме того,если деловаядеятельность зависит от целостности вырабатываемых
программой данных, то входные данные для этой программы должны иметь соответствующую степень
надежности. Более того, целостность информации будет определяться качеством аппаратных средств и
программного обеспечения, используемыхдля ее хранения и обработки. Функционирование аппаратных
средств будет также зависеть от качества энергоснабжения и, возможно, от работы систем кондициониро
вания воздуха. Таким образом, данные о зависимостях, существующих между отдельными активами,
будут способствовать идентификации некоторых видов угроз и определению конкретных уязвимостей, а
использование данных о зависимостяхдаст уверенность в том, что активы оценены в соответствии с их
реальной ценностью (с учетом существующих взаимозависимостей) и уровень безопасности выбран обо
снованно.
Уровни ценности активов, от которых зависят другие активы, могут быть изменены в следующих
случаях:
- если уровни ценности зависимых активов (например данных) ниже или равны уровню ценности
рассматриваемого актива (например программногообеспечения), то этот уровень останется прежним;
- если уровни ценности зависимых активов (например данных) выше, то уровень ценности рассматри
ваемого актива (например программного обеспечения) необходимо повыситьс учетом:
уровня соответствующей зависимости,
уровней ценностидругих активов.
Организация может иметь в своем распоряжении некоторые многократно используемые активы, на
пример копии программ систем программного обеспечения или персональные компьютеры, подобные ис
пользующимся вбольшинстве учреждений. Это необходимо учитывать при проведении оценки активов. С
одной стороны, копии программ и т. д. в ходе оценки легко упустить из виду, и поэтому следует позабо
титься о том. чтобы учесть их все; сдругой стороны, их наличие может снизить остроту проблемы доступ
ности информации.
14