Оценка рисков нарушения ИБ (MSAT)

Обнаружил довольно интересный софт по оценки рисков информационной безопасности - Microsoft Security Assessment Tool.

Как пишется в разделе "о программе" - программа использует современный подход и лучшую практику в области обеспечения информационной безопасности.

Что за лучшие практики - мне не понятно, так как и основную методологию я не смог найти, но есть предположение, что вот это именно она.

Найдя немного времени, хочу описать данный программный продукт в виде черного ящика.

Этап 1: Создаем профиль компании (описываем компанию, в частности всю инфраструктуру, приложения, операции, персонал и среду).

Этап 2: Создаем профиль оценки риска (описываем функции по ИБ, которые выполняются в организации по направлению приложений, операций, персонала и т.д.)

Описание системы и создание профиля риска происходит путем ответов на вопросы (аналогичная система есть в составе Office Digital Security). Своего рода, большая анкета, которую нужно заполнить и получить результат.

Этап 3: Отчеты

- Сводный отчет. Профиль риска и индекс эшелонированной защиты.

- Отчет о сравнении с индустрией (сравнение вашего уровня защищенности с средним уровнем защищенности по организациям вашей сферы, только не совсем понятно - организации российские или зарубежные, но тем не менее интересно посмотреть такого рода статистику).

- Полный отчет.

Ключевыми показателями в разработанном программном продукте являются: профиль риска для бизнеса (величина изменения риска в зависимости от бизнес-среды, действительно, важный параметр, который не всегда учитывается при оценки уровня защищенности системы в организациях из разных сфер деятельности) и индекс эшелонированной защиты (сводная величина уровня защищенности).

PS: Лично мне программный продукт понравился и в части интерфейса, и в части общей методологии, и в части генерируемых отчетов, и в части возможности сравнения текущего уровня ИБ со среднем уровнем ИБ по отрасли. Использование этого продукта в российских условиях практически не возможно (такое вот жесткое регулирование государством направления ИБ), а вот для желающих проверить свой уровень ИБ на соответствие "лучшим практикам" можно им воспользоваться. 

Оценка рисков нарушения ИБ (Digital Security)

На российском рынке существует не так много автоматизированных систем оценки рисков нарушения ИБ. Именно таким системам я хочу посвятить следующую серию постов.

Российская компания Digital Security в 2005 году выпустила в свет экспертно-аналитическую систему Digital Security Office, которая состоит из двух компонентов: ГРИФ и КОНДОР. ГРИФ - это система оценки рисков ИБ, а КОНДОР - это система оценки соответствия ИБ организации требованиям различных стандартов.

Меня больше всего интересует методика оценки рисков, заложенная в компоненту ГРИФ. Так как полное описание методики приведено тут, то я озвучу только отличительные особенности этой системы и свое мнение.

1. Оценка рисков по модели информационных потоков

Плюсы:

- в оценке учитывается исходный уровень защищенности информационной системы по различным направлениям (коэффициент защищенности локального доступа, удаленного доступа и защищенность АРМ);

- оценка рисков по угрозе отказа в обслуживание учитывает не параметры вероятность и ценность, а параметры "среднего времени простоя" и ценности, что является вполне адекватным решением;

- на выходе получается шесть различных параметров риска (по трем базовым угрозам для ресурса, по одной угрозе (сумма трех базовых) для ресурса, по трем для ИС, по всем угрозам для ИС и т.д.).

Минусы:

- сомнения в объективности оценок экспертов при расчете коэффициентов защищенности и базовой вероятности реализации угрозы, без оценки компетентности самого эксперта;

- отсутствие детализации степени влияния конкретной угрозы на значение риска, ведь угроза нарушения конфиденциальности может быть осуществлена разными способами, например взлом системы идентификации или изменение таблицы маршрутизации. Какой из этих двух способов будет оказывать наибольшее влияние на значение риска, а какой нет. Я это к тому, что хотелось бы увидеть на выходе риски по связке, например ресурс-способ НСД (атака)-угроза. 

2. Оценка рисков по модели анализа угроз и уязвимостей

Плюсы:

- в ходе оценки получается полная карта ресурсов (инвентаризация);

- существует собственный каталог угроз и уязвимостей (классификацию угроз можно посмотреть тут);

- вероятность угроз рассматривается в контексте их реализации через конкретную уязвимость;

- два режима оценки критичности ресурсов (ценности): в деньгах и в процентах, как следствие, два разных подхода к расчету рисков;

- отдельный расчет по угрозе нарушения доступности, с учетом максимального критического времени простоя ресурса в год.
Минусы:

- все минусы оценки рисков по модели информационных потоков справедливы и для настоящего подхода.

PS: Главное преимущество методики - ее реализация в виде экспертно-аналитической системы, полная капитализация и непрерывный процесс развития, например, Digital Security LCM System.