Please enable JavaScript.

Coggle requires JavaScript to display documents.

BS ISO/IEC 27005: 2011 «Інформаційна технологія - Методи і засоби…

- - - - 8.2.1.1 Введення в ідентифікацію ризиків Метою ідентифікації ризику є визначення того, що могло б статися, якщо нанести потенційну шкоду, для того щоб отримати уявлення про те, як, де і чому могла мати місце ця шкода. Етапи, описані нижче, повинні збирати вхідні дані для діяльності по кількісній оцінці ризику.
      - 8.2.1.2 Ідентифікація активів Ідентифікацію активів слід здійснювати на відповідному рівні деталізації, що забезпечує достатню інформацію для оцінки ризику. Рівень деталізації, який використовується при ідентифікації активів, впливає на загальний обсяг інформації, зібраної під час оцінки ризику. Цей рівень може бути більш деталізований при подальших ітераціях оцінки ризику.
      - 8.2.1.3 Ідентифікація загроз Загроза має потенціал заподіяння шкоди активів, таким як інформація, процеси і системи. Загрози можуть бути природного походження або від дій людей, вони можуть бути випадковими або навмисними.
      - 8.2.1.4 Ідентифікація існуючих засобів контролю Якщо засоби контролю не працюють, як очікувалося, це може стати причиною вразливості. Слід приділити увагу ситуації, коли обрані засоби контролю (або стратегія) відмовляються працювати і тому потрібні додаткові засоби контролю для ефективного розгляду ідентифікованого ризику.
      - 8.2.1.5 Ідентифікація уразливості Уразливості можуть бути ідентифіковані в наступних областях:
        
        • організація робіт;
        
        • процеси і процедури;
        
        • сталі норми управління;
        
        • персонал;
        
        • фізичне середовище;
        
        • конфігурація інформаційної системи;
        
        • апаратні засоби, програмне забезпечення та апаратура зв'язку;
        
        • залежність від зовнішніх сторін.
      - 8.2.1.6 Ідентифікація наслідків Ця діяльність ідентифікує шкоду для організації або наслідки для організації, які можуть бути обумовлені сценарієм інциденту, який надається загрозою, що використовує певну вразливість в інциденті ІБ
    - - 8.2.2.1 Методологія вимірювання ризику
        Якісна оцінка використовує шкалу кваліфікації атрибутів для опису величини можливих наслідків (наприклад, низький, середній і високий) і ймовірності виникнення цих наслідків. Перевага якісної оцінки полягає в простоті її розуміння всім відповідним персоналом, а недоліком є залежність від суб'єктивного вибору шкали.
      - 8.2.2.2 Оцінка наслідків Визначення цінності активів починається з класифікації активів у відповідності до їх критичності, з точки зору важливості активів для здійснення бізнес-цілей організації. Потім визначається цінність з використанням двох заходів відновної вартості активу:
        
        • вартості очищення з метою відновлення і заміни інформації (якщо це можливо);
        
        • наслідки для бізнесу від втрати або компрометації активу, наприклад, можливі несприятливі ділові та/або законодавчі наслідки розкриття, модифікації, недоступності і/або руйнування інформації та інших інформаційних активів.
      - 8.2.2.3 Оцінка ймовірності інциденту
        Після ідентифікації сценаріїв інцидентів необхідно оцінити ймовірність кожного сценарію і виникаючий вплив, використовуючи якісні або кількісні методи оцінки. Тут потрібно враховувати той факт, як часто виникають загрози і наскільки легко можуть бути використані уразливості, розглядаючи:
        
        • досвід і застосовну статистику ймовірності загроз;
        
        • для джерел умисних загроз: мотивацію і можливості, які будуть змінюватися з плином часу, і доступні для можливих порушників ресурсів, а також сприйняття привабливості і уразливості активів можливим порушником;
        
        • для джерел випадкових загроз: географічні чинники, наприклад, близькість до хімічного або нафтопереробному заводу, можливість екстремальних погодних умов і фактори, які можуть впливати на помилки персоналу і збої обладнання;
        
        • уразливості, в індивідуальному плані і в сукупності;
        
        • існуючі засоби контролю і те, наскільки ефективно вони знижують уразливості.
      - 8.2.2.4 Вимірювання рівня ризику
        Ці значення можуть бути якісними або кількісними. Вимірювання ризику ґрунтується на оцінених наслідки і ймовірності. Крім того, воно може також враховувати вартісні переваги, проблеми причетних сторін та інші змінні, що використовуються при оцінюванні ризику. Виміряний ризик є комбінацією ймовірності небажаного сценарію і його наслідків.