Организация предпринимательской деятельности. Асаул А.Н - 411 стр.

UptoLike

ВУЗ: 

СПбГАСУ | Санкт-Петербург

Составители: 

Рубрика: 

422
бенностей конкретной предметной области и технологии обработки информа-
ции, может быть представлена перечислением нескольких вариантов его обли-
ка.
Совокупность моделей действий нарушителя может быть полезной с точки
зрения прогнозирования возможных событий во всем разнообразии склады-
вающихся ситуаций, для предотвращения действий нарушителя, построения
надежной системы защиты информации, использования современных средств
интеллектуальной
поддержки для управления системой защиты.
Теперь в руках исследователя есть все исходные данные для оценки потерь
(возможного ущерба). Желательно, чтобы эта оценка была количественной. Для
оценки потерь могут быть использованы как точные методы современной ма-
тематики, так и методы экспертных оценок, которые весьма широко использу-
ются при решении подобных задач
.
Оценивая тяжесть ущерба, необходимо иметь в виду: непосредственные
расходы на замену оборудования, анализ и исследование причин и величины
ущерба, восстановление информации и функций АС по ее обработке; косвен-
ные потери, связанные со снижением банковского доверия, потерей клиентуры,
подрывом репутации, ослаблением позиций на рынке.
Естественно, информационные потери требуют расходов на
их восстанов-
ление, что приводит к временным задержкам, вызывающим соответствующие
претензии пользователей, потерю интересов, а иногда и финансовые санкции.
Для оценки потерь необходимо описать сценарий действий трех сторон: на-
рушителя по использованию добытой информации, службы информационной
безопасности по предотвращению последствий и восстановлению нормального
функционирования системы и третьей стороны.
Оценив потери
по каждой из вероятных угроз, необходимо определить
стратегию управления рисками. При этом возможно несколько подходов:
уменьшение риска (многие риски могут быть существенно уменьшены пу-
тем использования весьма простых и дешевых контрмер);
уклонение от риска (от некоторых классов рисков можно уклониться; на-
пример, вынесение Web-сервера организации за пределы локальной сети по-
зволяет избежать риска несанкционированного доступа в локальную сеть со
стороны Web-клиентов);
изменение характера риска (можно принять некоторые меры, например
страхование отдельных рисков);
принятие риска (не все риски могут быть уменьшены до пренебрежимо ма-
лой величины). Возможна ситуация, когда для уменьшения риска не существу-
ет эффективных и приемлемых по цене мер. В
этом случае приходится подни-
мать планку приемлемого риска и переносить центр тяжести на смягчение по-
следствий и выработку планов восстановления после аварий, стихийных бедст-
вий и иных происшествий.
На практике, после принятия стандартного набора контрмер, ряд рисков
уменьшается, но остается все еще значимым. Необходимо знать остаточную
величину риска. Если какие
-либо риски оказались недопустимо высокими, не-
обходимо реализовать дополнительные защитные меры.

Страницы