2.2.1 Общая постановка проблемы

Одной из самых важных причин выработки ПРД является необходимость гарантии того, что затраты на защиту принесут впоследствии прибыли (выгоду). Хотя это может показаться очевидным, но вы можете быть введены в заблуждение, где следует приложить усилия по организации защиты. Например, много говорят о злоумышленниках со стороны, проникающих в АС; но просмотр большинства обзоров по компьютерной безопасности показывает, что для большинства организаций потери от внутренних злоумышленников ("своих") гораздо больше.

Анализ риска включает определение того, что вам нужно защищать, от чего вы защищаетесь, и как защищаться. Для этого вам надо определить все, чем вы рискуете, и отранжировать их по уровню важности. Этот процесс включает принятие экономичных решений о том, что вы хотите защищать. Старый афоризм гласит, что вы не должны тратить больше денег для защиты чего-либо, чем оно на самом деле стоит.

Полное рассмотрение анализа риска находится за пределами этого документа. [3, FITES] и [16,PFLEEGER] являются вводными книгами в этой области. Тем не менее, существуют два элемента анализа риска, которые будут кратко рассмотрены в двух следующих разделах.

1. определение ценностей;
2. выявление угроз.

Для каждой ценности базовыми целями защиты являются доступность, конфиденциальность и целостность. Каждая угроза должна рассматриваться с точки зрения того, как она может затронуть эти три качества.

2.2.2 Определение ценностей

Одним из шагов при анализе риска является определение той собственности организации, которую нужно защищать. Некоторые вещи очевидны, такие, как различные СВТ, а некоторые упускаются, такие, как люди, которые реально используют эти СВТ. Необходим список всех вещей, которых затрагивает проблема защиты.

Вот один из возможных списков категорий вещей, составленный на основе списка, пpедложенного Пфлигеpом [16, PFLEEGER, стpаница 459] :

1. Оборудование: системные блоки, платы расширения, клавиатуры, терминалы, рабочие станции, отдельные персональные компьютеры, принтеры, дисковые накопители, коммуникационное оборудование, терминальные серверы, маршрутизаторы.
2. Программное обеспечение: исходные тексты программ, объектные модули, утилиты, диагностические программы, операционные системы, коммуникационные системы.
3. Данные: во время выполнения, сохраненные при оперативном использовании , архивированные, журналы действий, базы данных, при передаче по каналам связи.
4. Люди: пользователи, обслуживающий персонал, необходимый для работы АС.
5. Документация: по программам, по СВТ, по АС, по локальным административным мерам безопасности.
6. Расходные материалы: бумага, красящие ленты, магнитные ленты.

2.2.3 Выявление угроз

Как только ценности, требующие защиты, определены, необходимо выявить угрозы этим ценностям. Затем можно изучить угрозы, чтобы определить, каковы могут быть потенциальные потери. Это поможет выяснить, от каких угроз вы пытаетесь защищать ваши ценности.

Следующие разделы описывают несколько возможных угроз.

2.2.3.1 Несанкционированный доступ

Общей угрозой для большей части организаций является несанкционированный доступ к СВТ. Несанкционированный доступ имеет много форм. Одна из них - использование чужого пароля для получения доступа к АС. Использование любой АС без разрешения может считаться несанкционированным доступом к СВТ.

Опасность несанкционированного доступа неодинакова в различных организациях. В некоторых организациях сам факт предоставления доступа несанкционированному пользователю может привести к невосстанавливаемым повреждениям СВТ. В других несанкционированный доступ открывает двери другим угрозам защите. Кроме того, некоторые организации могут быть объектом более частых атак, чем другие; поэтому риск несанкционированного доступа меняется от организации к организации. Группа CERT (CERT - смотpи часть 3.9.7.3.1) заметила, что известные университеты, правительственные организации и военные части более привлекают злоумышленников.

2.2.3.2 Раскрытие информации

Другой распространенной угрозой является раскрытие информации. Оцените ценность или важность информации, хранящейся в ваших АС. Раскрытие файла паролей может стать причиной несанкционированного доступа в будущем. Обрывок предложения может дать вашему конкуренту большое преимущество. Технические заметки могут сохранить ему годы исследований.

2.2.3.3 Отказ в обслуживании

СВТ и сети предоставляют много ценных служб их пользователям. Многие люди полагаются на эти службы, так как они позволяют им эффективно решать свои задачи. Когда эти службы недоступны в нужный момент, производительность падает.

Отказ в обслуживании имеет много форм и может по-разному затрагивать пользователей. Сеть может стать неработоспособной из-за специального вредного пакета, искажений при передаче или неисправного компонента сети. Вирус может снизить производительность или остановить АС. Каждая организация должна определить, какие службы необходимы, и для каждой из этих служб оценить, к каким последствиям для организации приведет неработоспособность этого службы.