Оценка ожидаемых размеров потерь

Определение потерь в результате реализации любой из угроз безопасности - следующий этап анализа риска. Как и оценка частоты реализации различных угроз, определение потерь также трудно поддастся расчету. Например, стоимость замены аппаратного или программного обеспечения АСОИ оценивается достаточно просто. Однако существует много случаев (восстановление данных или программ), когда это сопряжено с большими трудностями.

122

Многие данные нуждаются в защите по вполне объяснимым причинам. Защищать необходимо личные данные (страховые полисы, счета, медицинская информация), коммерческую информацию (технологические, финансовые и другие секреты). Однако при этом трудно оценить величину потерь при искажении, потере этих данных, либо при невозможности получить данные в требуемое время.

Ответы на приведенные ниже вопросы полезно использовать при оценке величины ожидаемых потерь, при анализе различных способов реализации угроз. Они, конечно, не дадут полной картину, но могут облегчить оценку возможного ущерба.

  • 1. Каковы ваши обязательства по сохранению конфиденциальности и целостности тех или иных данных?
  • 2. Может ли компрометация этих данных привести к несчастному случаю? Существует ли реальная возможность такого события?
  • 3. Может ли несанкционированный доступ к этим данным послужить причиной потерь в будущем (упущенная возможность в бизнесе)? Может ли этот случай послужить вашим соперникам (конкурентам)? Каковы возможные потери от этого?
  • 4. Каков может быть психологический эффект потери? Возможные затруднения? Кредитоспособность? Потеря клиентуры?
  • 5. Каково значение доступа к этим данным? Может ли обработка этих данных быть отложена? Могут ли эти вычисления быть выполнены где-нибудь еще? Сколько вы можете заплатить за обработку этих данных в другом месте?
  • 6. Каково для Вас значение несанкционированного доступа конкурентов к вашим данным? Насколько заинтересованы ваши соперники (конкуренты) в этих данных?
  • 7. Какие проблемы могут возникнуть при утере ваших данных? Могут ли они быть восстановлены? Каков объем работ по восстановлению? Сколько это будет стоить?

Как уже отмечалось выше, оценка потерь достаточно сложна. Более того, уязвимость вычислительных систем часто оказывается выше ожидаемой. Поэтому реалистичные оценки потенциального ущерба могут послужить основой для разработки системы защиты и определить область наиболее пристального внимания.

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ     След >