ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Затем по таблице 4 определяют оценки по активам/угрозам, находя пересечение колонки ценнос
ти актива и строки частоты. Оценки по активам/угрозам суммируют и определяют общ ую оценку
актива. Эта оценка может быт ь использована для определения различий между активами, образующ и
ми часть системы.
Т а б л и ц а 4
Ценность актива
Частота
0
1234
00
123
4
11
2345
22
3456
33
4567
44
5678
Последний шаг состоит в вычислении суммы оценок всех активов сист емы для определения оцен
ки системы. Эта оценка может быт ь использована для определения различий между системами, а так
же для определения средст в защиты системы, которые следует использовать
в
первую очередь.
В приведенных ниже примерах все значения величин выбраны случайным образом.
Предположим, что в системе S имеется т ри актива: А1, А2 и АЗ. Предположим также, что данная
система может подвергаться двум угрозам: Т1 и
72.
Пусть ценность актива А1 будет равна 3, цен
ност ь актива А2
—
2 и ценность актива АЗ
—
4.
Если для сочетания актива А1 и угрозы Т1 вероятность возникновения угрозы мала, а легкост ь
возникновения угрозы в уязвимы х местах имеет среднее значение, то частота будет равна 1 (см. таб
лицу 3).
Оценка сочетания актива А1 и угрозы Т1 может быт ь взята по таблице 4 на пересечении колонки
«ценность актива», равной 3. и строки «частота», равной 1. В данном случае эта оценка будет равна 4.
Аналогично принимают для оценки сочетания актива А1 и угрозы Т2 среднюю вероятность возникнове
ния угрозы и вы сокую легкост ь возникновения угрозы в уязвимы х местах. Тогда оценка сочетания ак
тива А1 и угрозы Т2 будет равна 6.
Затем вычисляют значение общей оценки А1Т, которая будет равна 10. Общ ую оценку активов
рассчит ывают для каждого актива и применимой угрозы. Общую оценку сист емы ST определяют по
сумме А1Т * А2Т * АЗТ.
Теперь можно сопоставить различные сист емы и различные акт ивы внут ри одной сист емы и
установить приоритеты.
4 Разграничение между допуст имыми и недопуст имыми рисками
Д ругой способ измерения рисков сост оит т олько
в
разграничении допуст имых и недопустимых
рисков. Предпосылка заключается в том, что меры рисков используют лиш ь для ранжирования облас
тей по срочности принят ия необходимых мер, что может быть дост игнут о с затратой меньших уси
лий.
В соответст вии с таким подходом применяемая матрица уже не содержит числовых значений, а
т олько буквы Т (для допуст имых рисков) и N (для недопустимых рисков). Так, например, матрица, ис
пользуемая для метода 3, может быть преобразована в мат рицу по таблице 5.
Т а б л и ц а 5
Ценность актива
Частота
0
1234
0Т
т
ТТN
тт
NN
т
N NN
NNNN
1
т
2
т
3
т
4N
NNNN
Эта матрица, как и предыдущие, приведена только в качестве примера. Обозначение границы
между допустимыми и недопустимыми рисками
—
на усмотрение пользователя.
44