Гриф
Комплексная система анализа и управления рисками информационной системы компании
ГРИФ - комплексная система анализа и управления рисками информационной системы компании. ГРИФ дает Вам полную картину защищенности информационных ресурсов в Вашей системе и позволяет выбрать оптимальную стратегию защиты информации Вашей компании.
Если Вы - ИТ-менеджер или офицер безопасности компании, и Вы хотите иметь полную картину слабых и сильных мест в Вашей информационной системе, а также иметь возможность выбора наиболее оптимальной стратегии защиты, версия ГРИФ Специалист 2.0 - мощный и удобный инструмент для Вас.
Возможности системы ГРИФ для удобной и эффективной работы:Полная картина Вашей информационной системы
• Анализирует защищенность ценной информации на каждом ресурсе защищенности
• Определяет реально возможный ущерб для Вашей компании, что позволяет Вам сформировать адекватный бюджет и избежать ненужных расходов
• Отражает уровень риска по каждому ресурсу Вашей информационной системы, что дает возможность расставить приоритеты при планировании стратегии защиты
Комплексный подход
• Строит полную модель Вашей информационной системы и таким образом учитывает все нюансы ее архитектуры
• Учитывает как технологические, так и организационные аспекты защищенности Вашей информационной системы
Легкость и удобство в работе
• Не требует от Вас специальных знаний в области защиты информации
• Снабжен подробными комментариями по каждому этапу работы
• Имеет удобный и приятный интерфейс
• Позволяет Вам получать отчеты в различных конфигурациях, предназначенных как для технических специалистов, так и для высшего руководства.
Версия 2.0 - качественно новый уровень системы ГРИФ, достигнутый благодаря следующим показателям:
• Значительно улучшен интерфейс с возможностью пользоваться мастером для максимально удобной и легкой работы
• Появилась возможность анализа рисков бизнес-процессов Вашей компании
• В отчет добавлен пункт “Контрмеры”, в котором содержатся рекомендации по устранению недостатков, выявленных в процессе анализа Вашей информационной системы
• В отчете добавлен пункт “Инвентаризация”, в котором наглядно отражаются все ресурсы Вашей информационной системы
Решаемые задачиОценка защищенности информационной системы
Одной из задач, которую ставит сегодня современный бизнес перед CIO и СISO, является оценка защищенности информационных ресурсов компании. Руководством большинства компаний сегодня выносится на первый план проблема адекватной информационной защиты и как первый шаг - определение существующего уровня защищенности. Зачастую, самостоятельное решение этой проблемы силами отдела ИТ оказывается достаточно непростым делом в силу целого ряда объективных причин. Одной из задач, решаемых системой ГРИФ, является анализ и получение адекватных оценок защищенности информационной системы, которые ИТ-менеджер может получить самостоятельно без привлечения сторонних экспертов, применяя ГРИФ.
Формирование бюджета на информационную безопасность
Другой актуальной проблемой, которую ставит бизнес перед отделом ИТ, является проблема формирования адекватного бюджета на информационную безопасность. Сколько денег компании необходимо тратить на защиту своих информационных ресурсов - как оценить затраты на ИБ? Как оптимизировать и минимизировать эти затраты? Как доказать и добиться максимальной эффективности затрат? Весь этот комплекс задач ИТ менеджеру чрезвычайно сложно решить без привлечения сторонних специалистов, так как для ответов на них необходимо провести полноценный анализ рисков. Все эти актуальные на сегодняшний день для ИТ менеджеров задачи решает система ГРИФ, позволяя оптимизировать расходы на информационную безопасность и сформировать требуемый бюджет.
Обоснование необходимости инвестиций в информационную безопасность компании
По статистике самым большим препятствием на пути принятия каких-либо мер по обеспечению информационной безопасности в компании являются две причины:
• Ограничение бюджета
• Отсутствие поддержки со стороны руководства
Обе причины возникают из-за непонимания руководством серьезности вопроса и сложности задачи для ИТ-менеджера обосновать, зачем необходимо вкладывать деньги в информационную безопасность. Часто считается, что основная проблема заключается в том, что ИТ-менеджеры и руководители разговаривают на разных языках - техническом и финансовом, но ведь и самим ИТ-специалистам часто трудно оценить, на что потратить деньги и сколько их требуется для обеспечения большей защищенности системы компании, чтобы эти расходы не оказались напрасными или чрезмерными
Если ИТ-менеджер четко представляет, сколько компания может потерять денег в случае реализации угроз, какие места в системе наиболее уязвимы, какие меры можно предпринять для повышения уровня защищенности и при этом не потратить лишних денег, и все это подтверждено документально, то решение задачи убедить руководство обратить внимание и выделить средства на обеспечение информационной безопасности становится значительно более реальным. Для решения данной задачи компанией Digital Security был разработан программный комплекс управления рисками ГРИФ.
ГРИФ - простой и понятный инструмент для ИТ-менеджера
На сегодняшний день представленные на рынке западные аналоги громоздки, сложны в использовании и часто не предполагают самостоятельного применения ИТ-менеджерами и системными администраторами, ответственными за обеспечение безопасности информационных систем компаний. Учитывая недостатки существующих систем, система ГРИФ - гибкое и, не смотря на скрытый от пользователя сложнейший алгоритм, учитывающий более ста параметров, максимально простое в использовании программное решение, основная задача которого - дать возможность ИТ менеджеру самостоятельно (без привлечения сторонних экспертов) оценить уровень рисков в информационной системе, оценить эффективность существующей практики по обеспечению безопасности компании и иметь возможность доказательно (в цифрах) убедить ТОП-менеджмент компании в необходимости инвестиций в сферу информационной безопасности компании.
Механизм работы алгоритма анализа рисков системы ГРИФОсновные термины и определения
Угроза безопасности - это потенциально возможное происшествие, которое может оказать воздействие на информацию в системе
Уязвимость - это некая неудачная характеристика системы, которая делает возможным возникновение угрозы
Атака - это действие по использованию уязвимости; атака - это реализация угрозы
Угроза конфиденциальности - угроза раскрытия информации
Угроза целостности - угроза изменения информации
Угроза доступности - угроза нарушения работоспособности системы при доступе к информации
Ущерб - это стоимость потерь, которые понесет компания в случае реализации угроз конфиденциальности, целостности, доступности по каждому виду ценной информации. Ущерб зависит только от стоимости информации, которая обрабатывается в автоматизированной системе. Ущерб является характеристикой информационной системы и не зависит от ее защищенности.
Риск - это вероятный ущерб, который зависит от защищенности системы. По определению риск всегда измеряется в деньгах.
Существующие виды систем анализа информационных рисков
Ни для кого не секрет, что анализ информационных рисков является на сегодняшний день актуальной задачей для современного бизнеса - последние годы на каждой конференции по информационной безопасности в России можно услышать серьезные доклады на данную тему. При этом часто ускользают сами основы: что именно представляет собой задача анализа рисков, какие существуют способы ее решения, а также, какие проблемы возникают при выборе метода решения.
Анализ информационных рисков - это процесс комплексной оценки защищенности информационной системы с переходом к количественным или качественным показателям рисков. При этом риск - это вероятный ущерб, который зависит от защищенности системы. Итак, из определения следует, что на выходе алгоритма анализа риска можно получить либо количественную оценку рисков (риск измеряется в деньгах), либо - качественную (уровни риска; обычно: высокий, средний, низкий).
Кроме того, анализ рисков также отличается по используемому подходу; обычно условно выделяется анализ рисков базового и полного уровня. Для анализа рисков базового уровня достаточно проверить риск невыполнения требований общепринятого стандарта безопасности (обычно ISO 17799) с получением на выходе качественной оценки уровня рисков (высокий, средний, низкий). Система КОНДОР является ярким примером реализации подобного подхода к анализу рисков базового уровня.
О полном анализе информационных рисков мы поговорим подробно. Собственно, именно на нем скрещиваются копья большинства специалистов, так как с анализом рисков базового уровня больших вопросов обычно не возникает. Почему же полный анализ рисков вызывает столь много вопросов и настолько неоднозначен в плане применяющихся подходов? Почему в мире существует так мало систем анализа и управления информационными рисками полного уровня? Попробуем найти ответы на данные вопросы. Итак, основное отличие полного анализа рисков от базового состоит в необходимости построения полной модели анализируемой информационной системы. Модель должна включать: виды ценной информации, объекты ее хранения; группы пользователей и виды доступа к информации; средства защиты (включая политику безопасности), виды угроз.
Обратим внимание, что данное системное моделирование представляет существенную алгоритмическую сложность для разработчиков.
Далее после моделирования необходимо перейти к этапу анализа защищенности построенной полной модели информационной системы. И здесь мы попадаем в целый пласт теоретических и практических проблем, с которыми сталкиваются разработчики алгоритмов анализа риска полного уровня. Прежде всего, как алгоритмически (без эксперта) оценить защищенность информационной системы (заметим, что речь не идет о сканировании конкретных уязвимостей в конкретном применяемом программном обеспечении - таких систем анализа риска не существует)? Следующая проблема - как алгоритмически определить все классы уязвимостей в системе защиты анализируемой системы? Как оценить ущерб от всех существующих в системе угроз безопасности и как добиться адекватной оценки совокупного ущерба по всем классам угроз (необходимо избежать избыточного суммирования ущербов)? И самая сложная проблема: риск категория сугубо вероятностная - как оценить вероятность реализации множества угроз информационной системы?
Весь вышеуказанный комплекс проблем необходимо решать при создании алгоритма современного анализа рисков.
Особенности алгоритма анализа информационных рисков ГРИФ
При разработке алгоритма ГРИФ стояла задача учесть недостатки существующих систем и сделать сам алгоритм удобным при работе пользователя в системе.
Алгоритмический анализ технологических особенностей защищенности ИС
Первая задача, решаемая алгоритмом ГРИФ: на основе построенной полной модели информационной системы оценить ее защищенность. При решении этой задачи активно применялся опыт экспертов. Отметим ряд некоторых особенностей алгоритма ГРИФ, основанных на практических аспектах анализа защищенности ИС. Одним из основных принципов, которые используются в алгоритме ГРИФ, являются: принцип передачи свойств объекта другим объектам данного множества; принцип выбора уровня защищенности объектов одного множества по уровню наименее защищенного объекта множества; принцип оценки уровня защищенности взаимодействия между субъектом и объектом по наименее защищенному:
• при оценке уровня защищенности взаимодействия между субъектом (пользователем) и объектом (информация на объекте) выбирался наименее защищенный объект взаимодействия.
• при оценке защищенности видов информации (объекта взаимодействия), расположенных на одном из объектов информационной системы, итоговый уровень защищенности каждого вида информации выбирается по наименее защищенному
• при оценке защищенности объектов взаимодействия, находящихся физически в одном сегменте, итоговый уровень защищенности выбирался по наименее защищенному объекту
При этом на итоговую оценку защищенности информационной системы существенным образом влияют организационные аспекты: вопросы реализации требований политики безопасности согласно ISO 17799, что также учитывается алгоритмом ГРИФ.
Оценка ущерба от угроз безопасности
Одной из классических проблем алгоритмов анализа информационных рисков является выбор методики анализа и определения угроз безопасности информации.
Часть существующих алгоритмов (американский RiskWatch) использует следующий подход, когда пользователь указывает полный список угроз безопасности, специфичной для данной системы вместе с оценкой ущерба по каждому виду угроз. Данный подход является алгоритмически тупиковым путем, так как конечный элемент защиты - это информация и ущерб определяется именно по информации. Определение ущерба по конкретным, специфичным для данной системы угрозам приводит к тому, что данный ущерб будет в итоге выше, чем реальный ущерб по видам информации, что не верно. Дело в том, что на один и тот же вид информации может быть реально направлено сразу несколько угроз, что и приведет к тому, что суммарный ущерб, подсчитанный по угрозам, будет неадекватен реальному, подсчитанному по информации. И с учетом того, что как конечным элементом защиты, так и конечным элементом оценки ущерба является информация, алгоритм анализа рисков должен отталкиваться не от частных угроз и ущербов по ним, а от информации и от ущерба по информации, учитывая при этом и сами угрозы.
Для решения этого алгоритмического противоречия в алгоритме ГРИФ применяется новый метод классического непересекающегося поля угроз информации: угроз конфиденциальности, целостности и доступности. Алгоритм ГРИФ требует от пользователя внести ущерб по всем трем видам угроз по каждому виду ценной информации. Этот метод позволяет, во-первых, абстрагироваться на этапе моделирования системы от конкретных угроз безопасности (дело в том, что каждая конкретная угроза распадается на эти три классических непересекающихся вида угроз), во-вторых, избежать избыточного суммирования по ущербу, так как это поле непересекающихся угроз, и, в-третьих, это позволяет разбить процесс анализа защищенности информационной системы на множество элементарных ситуаций, когда алгоритм анализирует возможность реализации данных классических угроз безопасности по каждому виду информации на каждом ресурсе и не привязывается на этапе анализа к конкретным реализациям угроз.
Оценка вероятностей реализации обнаруженных угроз
Фундаментальной проблемой любого алгоритма анализа рисков является определение вероятности реализации специфичной для данной системы угрозы. В случае применения подхода аналогичного RiskWatch (условно, подхода от частных угроз), пользователю на этапе моделирования необходимо или ввести вероятность реализации данной угрозы (что превращает сам "алгоритм" в простую формулу: Вероятность*УЩЕРБ, тем самым, выхолащивая до нуля процесс анализа защищенности - его здесь просто нет) или оценить ее уровень. В алгоритме ГРИФ от пользователя не требуется вводить вероятности реализации угроз. В ГРИФ моделируются доступы всех групп пользователей ко всем видам информации и в зависимости от вида доступа и вида ресурса рассматриваются конечное множество очевидных элементарных ситуаций, где начальную вероятность реализации угрозы можно определить достаточно просто и точно. А далее анализируется множество опять же элементарных факторов (идет анализ комплексной защищенности объекта), которые так или иначе влияют на защищенность, и, затем - делается вывод об итоговых рисках. То есть, в алгоритме ГРИФ применяется типовой алгоритмический подход, когда решение большой сложной задачи разбивается на множество небольших простых задач.
Вывод
Итоговая оценка ГРИФ основывается на целом комплексе параметров, которые определяются, прежде всего, защищенностью анализируемого объекта: анализируются как технологические аспекты защищенности (включая учет требований стандартов Good Practice, ISO 15408 и др., и таких важных с точки зрения реального проникновения моментов, как нахождение в одном сегменте, действия хакера через наименее защищенный объект взаимодействия и т.д.,) так и вопросы комплексной безопасности согласно ISO 17799 (организация, управление, администрирование, физ. безопасность и т.д.). При этом подход ГРИФ обладает универсальностью, гибкостью и удобством для пользователя.