ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Приложение В
(справочное)
Оценка активов
Оценка активов организации является важным этапом в общем процессе анализа риска. Ценность, опре
деленная для каждого актива, должна выражаться способом, наилучшим образом соответствующим данному
активу и юридическому лицу, ведущему деловую деятельность. Чтобы выполнить оценку активов, организация
сначала должна провести инвентаризацию своих активов. Для обеспечения полного учета активов часто полезно
сгруппировать их по типам, например информационные активы, активы программного обеспечения, физические
активы и услуги. Целесообразно также назначить «владельцев» активов, которые будут нести ответственность за
определение их ценности.
Следующий этап — согласование масштабов оценки, которая должна быть произведена, и критериев опре
деления конкретной стоимости активов. Из-за разнообразия активов большинства организаций весьма вероят но.
что некоторые активы из тех. что могут быть оценены в денежных единицах, будут оцениваться в местной валюте,
в то время как другие активы могут оцениваться по качественной шкале вдиапазоне от «очень низкой» до «очень
высокой» цены. Решение использовать количественную или качественную оценку принимает конкретная
организация, но при этом выбранный тип оценки должен соответствовать подлежащим оценке активам. Для
одного и того же актива могут быть использованы также оба типа оценки.
Типичными терминами, используемыми для качественной оценки ценности активов, являются: «пренебре
жимо малая», «очень малая», «малая», «средняя», «высокая», «очень высокая», «имеющая критическое значе
ние». Выбор и диапазон терминов, являющихся подходящими для данной организации, в значительной степени
зависят от потребностей организации в безопасности, величины этой организации, а также других, специфичных
для данной организации факторов.
Критерии, используемые в качестве основы для оценки ценности каждого актива, должны выражаться в
однозначных (недвусмысленных) терминах. С этим часто бывают связаны наиболее сложные аспекты оценки
активов, поскольку ценность некоторых из них приходится определять субъективно. Поэтому для определения
ценности активов целесообразно привлекать достаточно большое число разных людей. Возможны следующие
критерии определения ценности активов: первоначальная стоимость актива, стоимость его обновления или
воссоздания. Ценность актива может также носить нематериальный характер, например цена доброго имени
или репутации компании.
Другой подход коценке активов основывается на затратах, понесенных по причине утраты конфиденциаль
ности. целостности или доступности вследствие происшедшего инцидента. Применение подобных оценок предо
ставляет три важных фактора ценности актива в дополнение к стоимости воссоздания актива, основанной на
оценках потенциального ущерба или неблагоприятного воздействия на деловую деятельность в результате про
исшедшего инцидента нарушения безопасности с предполагаемым набором обстоятельств. Следует подчерк
нуть. чтоэтот подходучитывает ущерб и другие затраты, связанные с воздействием, которые являются необходи
мыми для введения соответствующих факторов при оценке риска.
Многие активы могут в процессе оценки иметь несколько присвоенных им ценностей. Например бизнес-
план может быть оценен на основе трудозатрат на его разработку или на введение данных, или ценности для
конкурента. Весьма велика вероятность того, что значения этих ценностей будут значительно отличаться друг от
друга. Присвоенная ценность актива может быть максимальной из всех возможных ценностей или суммой
неко торых или всех возможных ценностей. При окончательном анализе необходимо тщательно определить
итоговую ценность актива, поскольку от нее зависит объем ресурсов, необходимых для обеспечения защиты
данного актива.
В конечном счете все оценки активов должны проводиться на основе общего подхода. Это может быть
сделано при помощи следующих критериев, которые могут использоваться для оценки возможного ущерба от
потери конфиденциальности, целостности или доступности активов:
- нарушение законов и/или подзаконных актов:
- снижение эффективности бизнеса;
- потеря престижа/негативное воздействие на репутацию:
- нарушение конфиденциальности личных данных;
- необеспеченность личной безопасности;
- негативный эффект с точки зрения обеспечения правопорядка:
- нарушение конфиденциальности коммерческой информации:
- нарушение общественного порядка;
- финансовые потери.
- нарушение деловых операций;
- угроза охране окружающей среды.
36