Оценка рисков нарушения ИБ (Digital Security)

На российском рынке существует не так много автоматизированных систем оценки рисков нарушения ИБ. Именно таким системам я хочу посвятить следующую серию постов.

Российская компания Digital Security в 2005 году выпустила в свет экспертно-аналитическую систему Digital Security Office, которая состоит из двух компонентов: ГРИФ и КОНДОР. ГРИФ - это система оценки рисков ИБ, а КОНДОР - это система оценки соответствия ИБ организации требованиям различных стандартов.

Меня больше всего интересует методика оценки рисков, заложенная в компоненту ГРИФ. Так как полное описание методики приведено тут, то я озвучу только отличительные особенности этой системы и свое мнение.

1. Оценка рисков по модели информационных потоков

Плюсы:

- в оценке учитывается исходный уровень защищенности информационной системы по различным направлениям (коэффициент защищенности локального доступа, удаленного доступа и защищенность АРМ);

- оценка рисков по угрозе отказа в обслуживание учитывает не параметры вероятность и ценность, а параметры "среднего времени простоя" и ценности, что является вполне адекватным решением;

- на выходе получается шесть различных параметров риска (по трем базовым угрозам для ресурса, по одной угрозе (сумма трех базовых) для ресурса, по трем для ИС, по всем угрозам для ИС и т.д.).

Минусы:

- сомнения в объективности оценок экспертов при расчете коэффициентов защищенности и базовой вероятности реализации угрозы, без оценки компетентности самого эксперта;

- отсутствие детализации степени влияния конкретной угрозы на значение риска, ведь угроза нарушения конфиденциальности может быть осуществлена разными способами, например взлом системы идентификации или изменение таблицы маршрутизации. Какой из этих двух способов будет оказывать наибольшее влияние на значение риска, а какой нет. Я это к тому, что хотелось бы увидеть на выходе риски по связке, например ресурс-способ НСД (атака)-угроза. 

2. Оценка рисков по модели анализа угроз и уязвимостей

Плюсы:

- в ходе оценки получается полная карта ресурсов (инвентаризация);

- существует собственный каталог угроз и уязвимостей (классификацию угроз можно посмотреть тут);

- вероятность угроз рассматривается в контексте их реализации через конкретную уязвимость;

- два режима оценки критичности ресурсов (ценности): в деньгах и в процентах, как следствие, два разных подхода к расчету рисков;

- отдельный расчет по угрозе нарушения доступности, с учетом максимального критического времени простоя ресурса в год.
Минусы:

- все минусы оценки рисков по модели информационных потоков справедливы и для настоящего подхода.

PS: Главное преимущество методики - ее реализация в виде экспертно-аналитической системы, полная капитализация и непрерывный процесс развития, например, Digital Security LCM System.