Презентация, доклад на тему Обоснование затрат на информационную безопасность

правило "корень зла" заключается в отсутствии в компании
формализованных, зафиксированных и утвержденных процессов
обеспечения информационной безопасности. Эти процессы должны
определять единую техническую политику в части выбора средств
защиты, текущее состояние (уровень зрелости компании с точки
зрения обеспечения информационной безопасности) и планы
развития.

важности проблем ИБ;
• Финансирование отсутствует;
• ИБ реализуется штатными средствами операционных систем, СУБД и приложений (парольная защита, разграничение доступа к ресурсам и сервисам).
1 уровень:
• ИБ рассматривается руководством как чисто "техническая" проблема, отсутствует единая программа (концепция, политика) развития системы обеспечения информационной безопасности (СОИБ) компании;
• Финансирование ведется в рамках общего ИТ-бюджета;
• ИБ реализуется средствами нулевого уровня + средства резервного копирования, антивирусные средства, межсетевые экраны, средства организации VPN (традиционные средства защиты).

понимание важности ИБ для производственных процессов, есть утвержденная руководством программа развития СОИБ компании;
• Финансирование ведется в рамках отдельного бюджета;
• ИБ реализуется средствами первого уровня + средства усиленной аутентификации, средства анализа почтовых сообщений и web-контента, IDS (системы обнаружения вторжений), средства анализа защищенности, SSO (средства однократной аутентификации), PKI (инфраструктура открытых ключей) и организационные меры (внутренний и внешний аудит, анализ риска, политика информационной безопасности, положения, процедуры, регламенты и руководства).

рамках отдельного бюджета;
• ИБ реализуется средствами второго уровня + системы управления ИБ, группа реагирования на инциденты нарушения ИБ, соглашение об уровне сервиса.

2001 год
0 уровень - 30%,
1 уровень - 55%,
2 уровень - 10 %,
3 уровень - 5 %.

за 2005 год
0 уровень - 20%,
1 уровень - 35%,
2 уровень - 30 %,
3 уровень - 15 %.

внедрять в первую очередь, систему
обнаружения вторжений или PKI инфраструктуру? Что будет более
эффективно?

являются специализированные средства
(собственные или заказные разработки).

Ко второй категории относятся штатные средства защиты ОС, СУБД и
традиционные средства защиты (уровень 0 и 1).

Наиболее дорогими, но в тоже время наиболее эффективными
являются средства защиты 4 категории (уровень 2 и 3).
Для внедрения средств данной категории необходимо
использовать процедуру анализа риска. Анализ риска в данном
случае позволит гарантировать адекватность затрат на внедрение
существующим угрозам нарушения ИБ.

(внутренний и
внешний аудит, анализ риска, политика информационной
безопасности, план бесперебойной работы, положения, процедуры,
регламенты и руководства).

Внедрение дополнительных средств защиты (переход на уровни 2 и 3)
требует существенных финансовых вложений и соответственно
обоснования. Отсутствие единой программы развития СОИБ,
одобренной и подписанной руководством, обостряет проблему
обоснования вложений в безопасность.

накопленная по инцидентам. Механизмы
реализации анализа риска и накопления статистики должны быть
прописаны в политике ИБ компании. Процесс анализа риска состоит
из 6 последовательных этапов:

1. Идентификация и классификация объектов защиты (ресурсов компании, подлежащих защите);
2. Категорирование ресурсов;
3. Построение модели злоумышленника;
4. Идентификация, классификация и анализ угроз и уязвимостей;
5. Оценка риска;
6. Выбор организационных мер и технических средств защиты.

компании по
следующим направлениям:

• Информационные ресурсы (конфиденциальная и критичная информация компании);
• Программные ресурсы (ОС, СУБД, критичные приложения, например ERP);
• Физические ресурсы (сервера, рабочие станции, сетевое и телекоммуникационное оборудование);
• Сервисные ресурсы (электронная почта, www и т.д.).

понимается уровень секретности
сведений, которые хранятся, обрабатываются и передаются
ресурсом.
Под критичностью понимается степень влияния ресурса на
эффективность функционирования производственных процессов
компании (например, в случае простоя телекоммуникационных
ресурсов компания - провайдер может разориться).
Присвоив параметрам конфиденциальности и критичности
определенные качественные значения, можно определить уровень
значимости каждого ресурса, с точки зрения его участия в
производственных процессах компании.
Для определения значимости ресурсов компании с точки зрения
информационной безопасности можно получить следующую таблицу:

"строго конфиденциально" (параметр
конфиденциальности) и значение "незначительный" (параметр
критичности). Подставив эти значения в таблицу, можно получить
интегральный показатель значимости данного ресурса.

параметрам:

• Тип злоумышленника (конкурент, клиент, разработчик, сотрудник компании и т.д.);
• Положение злоумышленника по отношению к объектам защиты (внутренний, внешний);
• Уровень знаний об объектах защиты и окружении (высокий, средний, низкий);
• Уровень возможностей по доступу к объектам защиты (максимальные, средние, минимальные);
• Время действия (постоянно, в определенные временные интервалы);
• Место действия (предполагаемое месторасположение злоумышленника во время реализации атаки).
Присвоив перечисленным параметрам модели злоумышленника
качественные значения можно определить потенциал злоумышленника
(интегральную характеристику возможностей злоумышленника по реализации
угроз).

атак на объекты защиты.

Уязвимости - это свойства ресурса или его окружения, используемые
злоумышленником для реализации угроз. Перечень уязвимостей
программных ресурсов можно найти в сети интернет. Угрозы
классифицируются по следующим признакам:

• наименование угрозы;
• тип злоумышленника;
• средства реализации;
• используемые уязвимости;
• совершаемые действия;
• частота реализации.

злоумышленника" и
"защищенность ресурса". Значение параметра "защищенность
ресурса" определяется путем экспертных оценок. При определении
значения параметра принимается во внимание субъективные
параметры злоумышленника: мотивация для реализации угрозы и
статистика от попыток реализации угроз данного типа (в случае ее
наличия). Результатом этапа анализа угроз и уязвимостей является
оценка параметра "частота реализации" по каждой из угроз.

безопасности для каждого ресурса или
группы ресурсов. Качественный показатель ущерба зависит от двух
параметров:

• Значимость ресурса;
• Частота реализации угрозы на этот ресурс.

Исходя из полученных оценок ущерба, обоснованно выбираются
адекватные организационные меры и технические средства защиты.

необходимости внедрения новых
или изменения существующих технологий защиты является
определение параметра "частота реализации угрозы".

Единственный путь получения объективных значений этого параметра
- накопление статистики по инцидентам. Накопленная статистика,
например, за год позволит определить количество реализаций
угроз (определенного типа) на ресурс (определенного типа).
Работу по накоплению статистики целесообразно вести в рамках
процедуры обработки инцидентов.

обработке инцидента;
• регистрация инцидента;
• назначение исполнителей;
• сопровождение обработки инцидента;
• фиксация действий и результатов расследования;
• определение ущерба;
• закрытие процесса.

Накопление статистики по инцидентам помимо получения
объективных данных, необходимых для обоснования вложений в ИБ,
позволяет оценить эффективность функционирования СОИБ.
Накопленная за определенный временной интервал статистика
позволяет отследить общую тенденцию в сторону уменьшения или
увеличения количества инцидентов.

руководством, если:

• компания имеет утвержденную руководством программу развития СОИБ;
• применяется процедура анализ риска;
• существуют процедуры обработки и учета инцидентов нарушения ИБ.