ГОСТ Р ИСО/МЭК ТО 13335-3—2007
тентные суждения от носительно данных, определять ценность и чувствительность данных, находя щ
ихся в использовании или подлежащ их хранению или обработке с обеспечением дост упа к ним. Такие
интервью облегчают оценку ценности и чувствительности активов данных с учет ом самых небла
гоприят ных вариантов развит ия событий, которые можно ожидать, руководст вуясь разумными осно
ваниями, и которые могут оказать негативное воздействие на деловую деятельность вследствие
несанкционированных раскрыт ия информации, модификации, изменения смысла переданной информа
ции, недоступности информации в различные периоды времени и уничтожения информации.
Оценку проводят на основе рекомендаций по оценке активов данных, которые охват ывают :
- личную безопасность:
- персональные данные:
- обязанности соблюдать требования законов и подзаконных актов:
- правовое принуждение;
- коммерческие и экономические интересы;
- финансовые потери / нарушение нормального хода работ;
- общ ественный порядок;
- полит ику ведения бизнеса и деловых операций;
- потерю репутации.
Рекомендации облегчают определение значений на числовой шкале (например от 1 до 4), которая
предусмотрена для матрицы, используемой в качестве примера (см. таблицу 1), позволяя, таким обра
зом, использовать там. где возможно, количественные, а там, где невозможно.
—
логические и каче
ственные оценки, например при оценивании степени угрозы для жизни людей.
Важным являет ся также составление пар вопросников по каждому т ипу угрозы для каждой груп
пы активов, к которым относится данный тип угрозы, что обеспечит возможност ь оценки уровней
угроз (вероятности возникновения угроз) и уровней уязвимост и (легкости реализации угроз
в
уязвимых
местах с оказанием нежелательного воздействия). За ответ на каждый вопрос начисляют очки. Очки
накапливают с использованием базы знаний и сравнивают с рангами, что позволяет определить уровни
угроз (например по шкале с диапазоном уровней от «высокого» до «низкого») и соответст венно уровни
уязвимост и (см. приведенную ниже матрицу), применительно к различным уровням воздействия. Отве
т ы на вопросы, содержащиеся в вопросниках, получают в результате интервьюирования технических
специалистов, персонала организации и специалистов по эксплуат ации помещений, а также на основе
физического обследования мест размещ ения аппаратуры и проверки сост ояния документации.
Типы учит ываемых угроз распределяют по следующ им группам: намеренные несанкционирован
ные действия людей, действия сил природы, ошибки лю дей и сбои в оборудовании, программном обеспе
чении илилинии связи.
Ценности активов, а также уровни угроз и уязвимост и, соответст вующ ие каждому т ипу воздей
ствия вводят в мат рицу для определения каждого сочетания соответст вующ их мер риска по шкале от
1 до 8. Значения величин размещают в матрице в структурированной форме в соответствии с т
аблицей 1.
Т а б л и ц а 1
Ц е н н о с т ь
а к т и е а
У р о в е н ь у г р о з ы
Н и з к и й
С р е д н и й
В ы с о к и й
У р о в е н ь у я з в и м о с т и
У р о в е н ь у я з в и м о с т и
У р о в е н ь у я з в и м о с т и
НСВН
С
ВНСВ
00121
2
3234
112323434
5
2234345456
3345456
5
67
4456567678
Обозначение: Н— низкий, С— средний. В— высокий.
Д ля каждого актива рассматривают уязвимые места и соответст вующ ие им угрозы. Если име
ют ся уязвимые места без соот вет ст вующ ей угрозы или угрозы без соответст вующ его уязвимого
места, т о считают, что в данное время риск от сутствует (необходимо проявлят ь ост орожность на
случай возможного изменения ситуации!). Затем идентифицируют соответст вующ ий ряд матрицы по
ценности актива, а соот вет ст вующ ую колонку
—
по степени угрозы и уязвимост и. Например, если
ценность актива равна 3, угрозу характеризуют как «высокую», а уязвимост ь
—
как «низкую», мера
42