ГОСТ Р ИСО/МЭК 15408-1-2002
За сохранность рассматриваемых активов отвечают их владельцы, для которых эти активы
имеют ценность. Существующие или предполагаемые нарушители также могут придавать значение
этим активам и стремиться использовать их вопреки интересам их владельца. Владельцы будут
воспринимать подобные угрозы как потенциал воздействия на активы, приводящего к понижению их
ценности для владельца. К специфическим нарушениям безопасности обычно относят (но не
обязательно ими ограничиваются): наносящее ущерб раскрытие актива несанкционированным
получателем (потеря конфиденциальности), ущерб активу вследствие несанкционированной моди
фикации (потеря целостности) или несанкционированное лишение доступа к активу (потеря до
ступности).
Владельцы активов будут анализировать возможные угрозы, чтобы решить, какие из них
действительно присущи их среде. В результате анализа определяются риски. Анализ может помочь
при выборе контрмер для противостояния угрозам и уменьшения рисков до приемлемого уровня.
Контрмеры предпринимают дтя уменьшения уязвимостей и выполнения политики безопас
ности владельцев активов (прямо или косвенно распределяя между этими составляющими). Но и
после введения этих контрмер могут сохраняться остаточные уязвимости. Такие уязвимости могут
использоваться нарушителями, представляя уровеньостаточного риска для активов. Владельцы будут
стремиться минимизировать этот риск, задавая дополнительные ограничения.
Прежде чем подвергнуть активы опасности воздействия выявленных угроз, их владельцам
необходимо убедиться, что предпринятые контрмеры обеспечат адекватное противостояние этим
угрозам. Сами владельцы активов не всегда в состоянии судить обо всех аспектах предпринимаемых
контрмер и поэтому могут потребовать их оценку. Результатом такой оценки является заключение
остепени доверия контрмерам по уменьшению рисковдля защищаемых активов. В этом заключении
устанавливается уровень доверия как результат применения контрмер. Доверие яатяется той харак
теристикой контрмер, которая дает основание для уверенности в их надлежащем действии. Заклю
чение о результатах оценки может быть использовано владельцем активов при принятии решения о
приемлемости риска для активов, создаваемого угрозами. Рисунок 4.2 иллюстрирует эту взаимо
связь.
9