Программные продукты по управлению рисками. Программа оценки риска
Будущее в вашей
электронной таблице
Хотели бы вы узнать, какие у вас шансы на получение прибыли (или понесение потерь) в новом начинании? Или вероятность того, что ваш проект будет выполнен вовремя и в рамках бюджета? Как насчет вероятности нахождения нефти и газа, и какими могли бы быть объемы?
Несомненно, каждый хотел бы получить ответы на подобные вопросы. Обладание такой информацией позволило бы вам исключить необходимость строить предположения при принятии важных решений и вместо этого разрабатывать стратегии с полной уверенностью. @RISK поможет вам найти ответы на эти и другие вопросы с помощью обычных электронных таблиц Excel.
@RISK (произносится как “эт риск”) выполняет анализ рисков с использованием , чтобы продемонстрировать вам как можно больше результатов в модели на базе электронной таблицы, показывая вероятность каждого из них. Программа с полной объективностью вычисляет и отслеживает множество возможных будущих сценариев и выдает связанные с ними вероятности и риски. Таким образом, вы сможете оценить, на какие риски вы готовы пойти и каких лучше избежать, и принять лучшее решение в условиях неопределенности.
@RISK также позволяет вам планировать наилучшие стратегии управления рисками. Это возможно благодаря интеграции модуля RISKOptimizer , который объединяет моделирование по методу Монте-Карло с последними технологиями поиска решений для оптимизации любых электронных таблиц с неопределенными значениями. Используя генетические алгоритмы или механизм OptQuest вместе с функциями @RISK, модуль RISKOptimizer поможет вам определить лучшее распределение ресурсов, оптимальное распределение активов, самое эффективное расписание и многое другое.
Новые версии 7.5
» Обновить
|
Отрасли и сферы применения @RISK @RISK используется для анализа рисков и неопределенности в разных отраслях: от финансов до научных исследований. Каждый, кому при проведении количественного анализа приходится учитывать неопределенность, может использовать @RISK. ПРИМЕР ПРИМЕНЕНИЯ Пенсионное планирование Оценка потери резервов Разведка и добыча Контроль качества на производстве Методика «Шесть сигм» и анализ качества Анализ нового продукта Сохранение исчезающих видов Распределение ресурсов Оценка затрат |
Как работает @RISK
Выполнение анализа в @RISK состоит из трех простых шагов:
Теперь выберите результат расчета - итоговые ячейки, значения которых вас интересуют. Это может быть потенциальная прибыль, прибыль на инвестиции, выплаты по страховым требованиям, показатели излечения заболеваний или любой другой параметр.
Выявить неопределенность очень просто
@RISK поставляется с 65 функциями распределения, которые соответствуют функциям Excel и ведут себя так же, как встроенные функции приложения, обеспечивая абсолютную гибкость моделирования. Выбрать функцию распределения @RISK просто: галерея изображений распределения @RISK позволяет сначала просмотреть и сравнить различные виды распределения. Вы даже можете создавать собственные распределения, применяя в качестве стандартных параметров процентили, а также накладывать различные графики распределений для сопоставления. Вы можете использовать данные за прошлые периоды или данные по отрасли и с помощью встроенного инструмента аппроксимации данных @RISK выбрать наилучшую функцию распределения и правильные параметры. Вы можете выбрать тип данных для аппроксимации (например, непрерывные, дискретные или кумулятивные), провести фильтрацию данных, определить типы распределения для аппроксимации и выполнить группировку по хи-квадрату для дальнейшего использования. Аппроксимированные распределения оцениваются на основе трех статистических тестов; кроме того, у вас есть возможность проводить их графическое сопоставление и даже накладывать графики распределений с множеством вариантов аппроксимации. Результаты аппроксимации могут связываться с функциями @RISK, так что при изменении исходных данных функции будут автоматически обновляться.
Исходные распределения могут коррелировать друг с другом по отдельности или в виде временных рядов. Корреляции быстро устанавливаются по матрицам, которые выводятся в Excel, а коррелированный временной ряд добавляется всего одним нажатием мыши. Коррелированный временной ряд формируется из многопериодного диапазона, который содержит набор аналогичных распределений для каждого временного периода.
Все функции и корреляции @RISK в вашей модели объединяются (с созданием пиктограмм) в окне @RISK Model, стилизованном под приборную панель, что позволяет отслеживать появление графиков распределения по мере перемещения по ячейкам электронной таблицы.
Совместное использование модели
Функции @RISK могут храниться в библиотеке @RISK Library, которая представляет собой базу данных SQL для совместной работы пользователей @RISK. Вы также можете выгружать функции @RISK при помощи Function Swap и таким образом делиться своими моделями с коллегами, у которых не установлен @RISK. @RISK будет отслеживать любые изменения, происходящие в электронных таблицах в процессе выгрузки функций @RISK. После того как программа найдет изменения в модели, вы сможете проконтролировать процесс обновления формул @RISK. Кроме того, вам предоставляется возможность задать автоматическую выгрузку функций @RISK при сохранении рабочей книги и закрытии программы, а также - если это необходимо - автоматическую загрузку при открытии рабочей книги.
2. Процесс моделирования.
Нажмите кнопку пуска моделирования и наблюдайте за ходом выполнения. Инструмент @RISK пересчитывает таблицу модели тысячи раз. Каждый раз @RISK генерирует случайные значения на основе определенных вами @RISK-функций, вносит эти значения в модель и сохраняет полученн
ый результат. Введите необходимые пояснения для других пользователей,
запустив процесс моделирования в режиме Demo Mode с возможностью обновления графиков и составления отчетов в реальном времени.
3. Анализ рисков. Результат моделирования представляет собой целый спектр возможных последствий, включая вероятность их наступления. Отобразите результаты в гистограммах, на диаграммах разброса, интегральных кривых, диаграммах размаха и пр. Определите критические факторы с помощью диаграмм торнадо и анализа чувствительности. Скопируйте результаты в Excel, Word или PowerPoint либо разместите их в библиотеке @RISK Library для других пользователей @RISK. Кроме того, вы можете сохранить результаты и графики непосредственно в рабочей книге Excel.
Точные, простые для понимания результаты
@RISK предусматривает широкий набор графиков для интерпретации и представления полученных результатов другим пользователям. Гистограммы и кумулятивные кривые показывают вероятность наступления различных событий. Оверлейные диаграммы позволяют сопоставлять несколько результатов, а сводные графики и диаграммы размаха отображают риски и тенденции во времени или в разных диапазонах. Меню, активируемые нажатием правой кнопки мыши, и удобные панели инструментов упрощают навигацию. Все графики могут настраиваться по любым параметрам, включая заголовки, оси, масштабирование, цвета и пр., и экспортироваться в Excel, Word или PowerPoint. По мере просмотра ячеек в электронной таблице вы можете отслеживать появление всплывающих окон с графиками.
@RISK позволяет проводить анализ чувствительности и анализ сценариев и таким образом определять критические факторы в ваших моделях. Проведите анализ чувствительности, чтобы определить приоритет функций распределения в модели в соответствии с влиянием, которое они оказывают на ваши результаты. Результаты наглядно отображаются в простой для интерпретации диаграмме торнадо, а взаимосвязи можно посмотреть в диаграмме разброса. Анализ чувствительности включает функцию предварительного просмотра исходных данных, используемых в формулах для расчета результатов по моделям. Это позволяет сократить объем несущественных данных. Кроме того, вы можете использовать функцию @RISK MakeInput, чтобы выбрать формулу, значения которой будут рассматриваться как исходные данные @RISK для анализа чувствительности. Таким образом, множество распределений может быть преобразовано в единые входные данные, что позволит стандартизировать отчеты по анализу чувствительности.
Все результаты моделирования для выходных и входных данных объединяются (в виде пиктограмм) в окне @RISK Results Summary, стилизованном под приборную панель. Результаты моделирования могут сохраняться непосредственно в вашей рабочей книге Excel, а также помещаться в библиотеку @RISK Library, в которой их смогут видеть другие пользователи @RISK.
Простота использования в Excel
@RISK представляет собой плагин для Microsoft Excel, который полностью интегрируется с электронными таблицами. Просмотр, определение, анализ - все это можно делать, не выходя из Excel. Все функции @RISK соответствуют функциям Excel и ведут себя так же, как «родные» функции программы. Окна @RISK напрямую связаны с ячейками в электронной таблице, поэтому изменения, внесенные в одном месте, переносятся на другие. Указатели ячеек в графиках @RISK приводятся в виде выносок. Простота перемещения объектов, контекстно-зависимые меню, активируемые нажатием правой кнопки мыши, и панель инструментов @RISK позволят вам в кратчайшие сроки научиться работать и управлять @RISK.
|
Два версии, разработанные с учетом ваших потребностей Усовершенствованная процедура моделирования Поддержка 2 центральных процессоров или двуядерного процессора Интегрированная галерея функций распределения Команда Insert Function Перекачка функций @RISK Функции Compound и функции методики «Шесть сигм» Разнообразные графики и диаграммы результатов Обновление в режиме реального времени в процессе моделирования Корреляция исходных данных Метод построения кривой распределения от руки Встроенный побор распределения Встроенный подбор данных Excel Developer Kit (XDK) Анализ стрессов Усовершенствованный анализ чувствительности Полная поддержка нескольких ЦП Оптимизация в условиях Интервалы для изменяемых ячеек и Шесть методов решения, включая RISKOptimizer Watcher Генетические алгоритмы Мониторинг сходимости и Обновление модели Original, Best, Last @RISK Industrial |
@RISK Professional
Версия @RISK Professional, разработанная для решения проблем профессионального уровня в любой отрасли, прекрасно подходит для большинства вариантов коммерческого применения. Это оптимальное сочетание передовых методов анализа и простоты использования. В число основных средств и функций входят:
- Встроенный подбор распределения определяет функции распределения на основании данных за прошлые периоды или данных по отрасли.
- @RISK Library база данных SQL для хранения и совместного использования функций распределения @RISK, компонентов моделей и результатов моделирования.
- Excel Developer Kit (XDK) автоматизация и настройка @RISK для работы с Excel за счет полной библиотеки команд и функций, которые позволяют контролировать все аспекты @RISK в электронной таблице. Добавьте @RISK для работы Excel к любому настраиваемому приложению.
- Анализ стрессов позволяет контролировать интервал значений, которые отбираются из функции распределения, и наблюдать, каким образом различные сценарии влияют на конечные результаты, без изменения модели.
- Усовершенствованный анализ чувствительности дает возможность увидеть, как изменения в любых исходных данных - распределениях или регулярных значениях - влияют на результаты моделирования.
- @RISK Goal Seek использует набор моделей для поиска вводимого значения, которое позволяет получить заданный вами целевой результат моделирования.
Промышленная версия @RISK
Созданная для самых больших и самых сложных моделей, Промышленная версия @RISK включает все функции Профессиональной версии @RISK, а также следующие:
- RISKOptimizer
:
Объединяет моделирования по методу Монте-Карло
и сложные методы оптимизации для поиска лучшей комбинации факторов, которые приведут к желаемому результату в условиях неопределенности. Применяйте RISKOptimizer для распределения ресурсов, построения расписаний, инвестирования, планирования маршрутов и решения других сложных проблем, в которых требуется определить наилучшую комбинацию вводов для максимизации дохода, минимизации расходов или достижения определенной цели. RISKOptimizer использует генетические алгоритмы и методы решения Optquest, предоставляя нужный механизм для любого типа проблем.
» - Моделирование прогнозов временных рядов: @RISK предлагает набор функций для моделирования временных рядов или значений, которые изменяются со временем. С любыми прогнозами значений временных рядов связана неопределенность, и @RISK позволяет учесть такую неопределенность, представляя полный диапазон возможных прогнозов временных рядов в модели. Это наиболее полезно при финансовом моделировании и моделировании портфеля. Разработаны функции для 17 различных моделей статистических временных рядов, включая ARMA, GBM, GARCH и другие. Эти функции вводятся как функции массивов в Excel. @RISK также предоставляет новые окна для подбора исторических данных временных рядов к этим новым функциям. Результаты могут быть анимированы для демонстрации поведения временных рядов в процессе моделирования. Все это встроено в существующий интерфейс @RISK.
- Полная поддержка нескольких ЦП: ускорьте моделирование за счет параллельной обработки с использованием многоядерных процессоров и доступных ЦП на одном компьютере.
|
Характеристики и преимущества @RISK ХАРАКТЕРИСТИКИ Моделирование по методу Монте-Карло Расчеты для моделирования 100% Excel ИНТЕРФЕЙС Прямая интеграция с Microsoft Excel Интуитивно понятные панели инструментов и меню, активируемое нажатием правой кнопки мыши ОПРЕДЕЛЕНИЕ МОДЕЛИ Панель типов распределения и команда Insert Function Подбор данных и функция Distribution Artist Более 65 встроенных функций распределения @RISK Function Swap Интеграция с Microsoft Project Функция Compound Параметры распределения перцентилей Корреляция вводимых значений и корреляция временных рядов Моделирование прогнозов временных рядов МОДЕЛИРОВАНИЕ Режим Demo Mode и обновление в режиме реального времени Широкие возможности контроля установочных параметров Поддержка нескольких ЦП РЕЗУЛЬТАТЫ МОДЕЛИРОВАНИЯ Полностью настраиваемые графики высокого качества для использования в презентациях Отчеты в Office Создание отчетов с помощью Quick Reports путем простого нажатия кнопки мыши Гистограммы, фигурные диаграммы, линейные, интегральные, сводные графики, диаграмма размаха и оверлейные диаграммы Диаграммы торнадо и диаграммы разброса Анализ чувствительности и сценариев Функции метода «Шесть сигм» Поддержка многоядерных процессоров и нескольких центральных процессоров ОПТИМИЗАЦИЯ ПРЕИМУЩЕСТВА Демонстрация возможных результатов, позволяющая избежать ошибок и выявить возможности Высочайший уровень точности и максимально полное использование многоядерных процессоров для повышения скорости работы Отсутствует необходимость выходить из электронной таблицы; возможность быстрого выведения на требуемый уровень Простота навигации - множество способов решения распространенных задач Простой и точный поиск неопределенных факторов Использование данных и экспертных оценок для поиска факторов неопределенности Отображение практически любого фактора неопределенности для повышения точности моделирования Удаление (и последующее восстановление) функций @RISK для совместного применения моделей с пользователями других программ Считайте расписания Microsoft Project в @RISK для Excel, чтобы моделировать риски любых проектов с максимальной гибкостью. Определение, повторное использование и обмен специальными распределениями и результатами моделирования Объединение двух распределений в одно для рационализации страхования или других крупных моделей Более гибкие методы выявления неопределенности Отображение зависимости между связанными переменными для повышения точности моделирования Обновление графиков и отчетов в процессе моделирования для наглядного представления результатов другим пользователям Специализированные модели для нестандартных потребностей Разделите большие моделирования для выполнения их на нескольких ЦП или ядрах, чтобы сократить время выполнения моделирования. Демонстрация воздействия риска и представление результатов заинтересованным лицам Экспорт всех графиков и диаграмм в Excel, Word и PowerPoint в исходном формате диаграммы для упрощения совместного использования Отображение сводной информации по диаграммам и графикам с предварительным форматированием на одной странице Разнообразные варианты графиков и диаграмм для простой и точной передачи информации Визуальное выявление критических факторов и тенденций общего характера в конкретных сценариях Определение конкретных рисков, оказывающих наибольшее воздействие на результаты, и конкретных сценариев, которые приводят к определенным результатам Представление статистики по методу «Шесть сигм» для проведения анализа качества Ускорение моделирования Объединяет моделирование по методу Монте-Карло и сложные методы оптимизации для поиска лучшей комбинации факторов, которые приведут к желаемому результату в условиях неопределенности. |
@RISK для методики «Шесть сигм»
@RISK также можно использовать в методики «Шесть сигм» и анализе качества для усовершенствования процессов, уменьшения вариативности, повышения качества продуктов и услуг и экономии денег. @RISK включает набор статистики, функций и отчетов «Шесть сигм». С помощью этих инструментов вы сможете определить, измерить и исключить причины вариативности в процессах производства и обслуживания и конструкциях.
@RISK и TopRank
TopRank позволяет сузить направленность анализа, проводимого с помощью @RISK. Это дает возможность сэкономить время и повысить точность анализа @RISK, особенно при изучении крупных моделей. Для представления более широкого диапазона значений по сравнению со стандартными функциями TopRank может использовать функции @RISK.
@RISK и PrecisionTree
Сочетание @RISK и PrecisionTree позволяет отобразить неопределенные случайные события и результаты в моделях дерева решений. Рассмотрение более широкого диапазона значений для случайных событий вместо небольшого количества ограниченных дискретных вариантов повышает точность моделей дерева решений.
Результаты @RISK могут обрабатываться в рамках анализа StatTools для оценки доверительных интервалов. Кроме того, @RISK может применяться с прогнозами временных рядов StatTools для более точного моделирования возможных результатов.
Сэкономьте более 50% при покупке этого комплекта
Цена комплекта DecisionTools Suite ниже, чем стоимость двух отдельных продуктов. Вы экономите более 50% при покупке комплекта вместо приобретения всех компонентов по отдельности. Лучший анализ по отличной цене - с DecisionTools Suite.
Лицензирование и обучение
Пакет @RISK доступен в разных лицензионных вариантах, включая корпоративную, сетевую и учебную лицензии. Помимо программного обеспечения вы можете заказать книги, а также учебно-консультационные услуги - это обеспечит максимальную отдачу от инвестиций.
100% Excel
Моделирование @RISK на 100% выполняется в Excel с использованием функций выборки и статистики от Palisade, применявшихся более двадцати лет и доказавших свою эффективность. Palisade не пытается переработать Excel во внешний процессор, чтобы повысить скорость работы. Даже одна ошибка в макросе или функции может в корне изменить результат. Выяснить, где и когда произошла ошибка, практически невозможно. Для ускорения вычислений Palisade использует возможности нескольких центральных процессоров и поддерживает многоядерные процессоры. @RISK - это точные результаты и быстрая работа!
Совместимость: @RISK и программное обеспечение DecisionTools Suite совместимы со всеми 32-разрядными и 64-разрядными версиями Microsoft Office 2007 и новее, работающими в Microsoft Windows Vista и новее.
Совместимость с 64–разрядным ПО
64–разрядная технология позволяет Excel и программному обеспечению DecisionTools получить доступ к большему объему памяти компьютера, чем когда-либо. Это обеспечивает большую вычислительную мощность и позволяет создавать большие модели.
CRAMM, RiskWatch и ГРИФ
Актуальность задачи обеспечения информационной безопасности для бизнеса
Сегодня не вызывает сомнений необходимость вложений в обеспечение информационной безопасности современного крупного бизнеса. Основной вопрос современного бизнеса - как оценить достаточный уровень вложений в ИБ для обеспечения максимальной эффективности инвестиций в данную сферу. Для решения этого вопроса существует только один способ - применение систем анализа рисков, позволяющих оценить существующие в системе риски и выбрать оптимальный по эффективности вариант защиты (по соотношению существующих в системе рисков к затратам на ИБ).
Для подтверждения факта актуальности задачи обеспечения безопасности бизнеса, воспользуемся отчетом ФБР за 2003 год. Данные были собраны на основе опроса 530 американских компаний (средний и крупный бизнес).
Статистика инцидентов области ИТ-безопасности неумолима. Согласно данным ФБР в 2003 году 56% опрошенных компаний подвергались атаке:
Потери от разного вида информационных воздействий показаны на следующем графике:
Обоснование необходимости инвестиций в информационную безопасность компании
По статистике, самым большим препятствием на пути принятия каких-либо мер по обеспечению информационной безопасности в компании являются две причины:
- ограничение бюджета;
- отсутствие поддержки со стороны руководства.
Обе причины возникают из-за непонимания руководством серьезности вопроса и сложности для ИТ-менеджера задачи обосновать, зачем необходимо вкладывать деньги в информационную безопасность. Зачастую многие склонны думать, что основная проблема заключается в том, что ИТ-менеджеры и руководители разговаривают на разных языках - техническом и финансовом, но ведь и самим ИТ-специалистам часто трудно оценить, на что потратить деньги и сколько их требуется для обеспечения большей защищенности системы компании, чтобы эти расходы не оказались напрасными или чрезмерными.
Если ИТ-менеджер четко представляет, сколько компания может потерять денег в случае реализации угроз, какие места в системе наиболее уязвимы, какие меры можно предпринять для повышения уровня защищенности и при этом не потратить лишних денег, и все это подтверждено документально, то решение задачи убедить руководство обратить внимание и выделить средства на обеспечение информационной безопасности становится значительно более реальным.
Для решения данной задачи были разработаны программные комплексы анализа и контроля информационных рисков: британский CRAMM (компания Insight Consulting), американский RiskWatch (компания ) и российский ГРИФ (компания ). Рассмотрим далее данные методы и построенные на их базе программные системы.
CRAMM
Метод (the UK Goverment Risk Analysis and Managment Method) был разработан Службой безопасности Великобритании (UK Security Service) по заданию Британского правительства и взят на вооружение в качестве государственного стандарта. Он используется, начиная с 1985 года, правительственными и коммерческими организациями Великобритании. К настоящему моменту CRAMM приобрел популярность во всем мире. Фирма Insight Consulting Limited занимается разработкой и сопровождением одноименного программного продукта, реализующего метод CRAMM.
Метод CRAMM выбран нами для более детального рассмотрения и это не случайно. В настоящее время CRAMM - это довольно мощный и универсальный инструмент, позволяющий, помимо анализа рисков, решать также и ряд других аудиторских задач, включая:
- проведение обследования ИС и выпуск сопроводительной документации на всех этапах его проведения;
- проведение аудита в соответствии с требованиями Британского правительства, а также стандарта BS 7799:1995 - Code of Practice for Information Security Management BS7799;
- разработку политики безопасности и плана обеспечения непрерывности бизнеса.
В основе CRAMM, в котором сочетаются количественные и качественные методы анализа, лежит комплексный подход к оценке рисков. Метод является универсальным и подходит как для больших, так и для мелких организаций, как правительственного, так и коммерческого сектора. Версии программного обеспечения CRAMM, ориентированные на разные типы организаций, отличаются друг от друга своими базами знаний (profiles). Для коммерческих организаций имеется коммерческий профиль (Commercial Profile), для правительственных организаций - правительственный профиль (Government profile). Правительственный вариант профиля, также позволяет проводить аудит на соответствие требованиям американского стандарта ITSEC («Оранжевая книга»).
Грамотное использование метода CRAMM позволяет получать очень хорошие результаты, наиболее важным из которых, пожалуй, является возможность экономического обоснования расходов организации на обеспечение информационной безопасности и непрерывности бизнеса. Экономически обоснованная стратегия управления рисками позволяет, в конечном итоге, экономить средства, избегая неоправданных расходов.
CRAMM предполагает разделение всей процедуры на три последовательных этапа. Задачей первого этапа является ответ на вопрос: «Достаточно ли для защиты системы применения средств базового уровня, реализующих традиционные функции безопасности, или необходимо проведение более детального анализа?» На втором этапе производится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер.
Методика CRAMM для каждого этапа определяет набор исходных данных, последовательность мероприятий, анкеты для проведения интервью, списки проверки и набор отчетных документов.
Если по результатам проведения первого этапа , установлено, что уровень критичности ресурсов является очень низким и существующие риски заведомо не превысят некоторого базового уровня, то к системе предъявляется минимальный набор требований безопасности. В этом случае большая часть мероприятий второго этапа не выполняется, а осуществляется переход к третьему этапу, на котором генерируется стандартный список контрмер для обеспечения соответствия базовому набору требований безопасности.
На втором этапе производится анализ угроз безопасности и уязвимостей. Исходные данные для оценки угроз и уязвимостей аудитор получает от уполномоченных представителей организации в ходе соответствующих интервью. Для проведения интервью используются специализированные опросники.
На третьем этапе решается задача управления рисками, состоящая в выборе адекватных контрмер. Решение о внедрении в систему новых механизмов безопасности и модификации старых принимает руководство организации, учитывая связанные с этим расходы, их приемлемость и конечную выгоду для бизнеса. Задачей аудитора является обоснование рекомендуемых контрмер для руководства организации.
В случае принятия решения о внедрении новых контрмер и модификации старых, на аудитора может быть возложена задача подготовки плана внедрения новых контрмер и оценки эффективности их использования. Решение этих задач выходит за рамки метода CRAMM.
Концептуальная схема проведения обследования по методу CRAMM показана на схеме:
К недостаткам метода CRAMM можно отнести следующее:
- Использование метода CRAMM требует специальной подготовки и высокой квалификации аудитора.
- CRAMM в гораздо большей степени подходит для аудита уже существующих ИС, находящихся на стадии эксплуатации, нежели чем для ИС, находящихся на стадии разработки.
- Аудит по методу CRAMM - процесс достаточно трудоемкий и может потребовать месяцев непрерывной работы аудитора.
- Программный инструментарий CRAMM генерирует большое количество бумажной документации, которая не всегда оказывается полезной на практике.
- CRAMM не позволяет создавать собственные шаблоны отчетов или модифицировать имеющиеся.
- Возможность внесения дополнений в базу знаний CRAMM недоступна пользователям, что вызывает определенные трудности при адаптации этого метода к потребностям конкретной организации.
- ПО CRAMM существует только на английском языке.
- Высокая стоимость лицензии.
RiskWatch
Программное обеспечение RiskWatch , разрабатываемое американской компанией , является мощным средством анализа и управления рисками. В семейство RiskWatch входят программные продукты для проведения различных видов аудита безопасности. Оно включает в себя следующие средства аудита и анализа рисков:
- RiskWatch for Physical Security - для физических методов защиты ИС;
- RiskWatch for Information Systems - для информационных рисков;
- HIPAA-WATCH for Healthcare Industry - для оценки соответствия требованиям стандарта HIPAA;
- RiskWatch RW17799 for ISO17799 - для оценки требованиям стандарта ISO17799.
В методе RiskWatch в качестве критериев для оценки и управления рисками используются «предсказание годовых потерь» (Annual Loss Expectancy - ALE) и оценка «возврата от инвестиций» (Return on Investment - ROI). Семейство программных продуктов RiskWatch, имеет массу достоинств.
RiskWatch помогает провести анализ рисков и сделать обоснованный выбор мер и средств защиты. Используемая в программе методика включает в себя 4 фазы:
Первая фаза - определение предмета исследования. На данном этапе описываются общие параметры организации - тип организации, состав исследуемой системы, базовые требования в области безопасности. Описание формализуется в ряде подпунктов, которые можно выбрать для более подробного описания или пропустить.
Далее каждый из выбранных пунктов описывается подробно. Для облегчения работы аналитика в шаблонах даются списки категорий защищаемых ресурсов, потерь, угроз, уязвимостей и мер защиты. Из них нужно выбрать те, что реально присутствуют в организации.
Вторая фаза - ввод данных, описывающих конкретные характеристики системы. Данные могут вводиться вручную или импортироваться из отчетов, созданных инструментальными средствами исследования уязвимости компьютерных сетей. На этом этапе подробно описываются ресурсы, потери и классы инцидентов.
Классы инцидентов получаются путем сопоставления категории потерь и категории ресурсов. Для выявления возможных уязвимостей используется опросник, база которого содержит более 600 вопросов, связанных с категориями ресурсов. Допускается корректировка вопросов, исключение или добавление новых. Задается частота возникновения каждой из выделенных угроз, степень уязвимости и ценность ресурсов. Все это используется в дальнейшем для расчета эффективности внедрения средств защиты.
Третья фаза
- оценка рисков. Сначала устанавливаются связи между ресурсами, потерями, угрозами и уязвимостями, выделенными на предыдущих этапах. Для рисков рассчитываются математические ожидания потерь за год по формуле:
m=p * v, где p - частота возникновения угрозы в течение года, v - стоимость ресурса, который подвергается угрозе.
Например, если стоимость сервера $150 000, а вероятность того, что он будет уничтожен пожаром в течение года, равна 0.01, то ожидаемые потери составят $1 500. Дополнительно рассматриваются сценарии «что если... », которые позволяют описать аналогичные ситуации при условии внедрения средств защиты. Сравнивая ожидаемые потери при условии внедрения защитных мер и без них можно оценить эффект от таких мероприятий.
Четвертая фаза - генерация отчетов. Типы отчетов: краткие итоги; полные и краткие отчеты об элементах, описанных на стадиях 1 и 2; отчет о стоимости защищаемых ресурсов и ожидаемых потерь от реализации угроз; отчет об угрозах и мерах противодействия; отчет о результатах аудита безопасности.
К недостаткам RiskWatch можно отнести:
- Такой метод подходит, если требуется провести анализ рисков на программно-техническом уровне защиты, без учета организационных и административных факторов. Полученные оценки рисков (математическое ожидание потерь) далеко не исчерпывают понимание риска с системных позиций - метод не учитывает комплексный подход к информационной безопасности.
- ПО RiskWatch существует только на английском языке.
- Высокая стоимость лицензии - от $15 000 за одно рабочее место для небольшой компании и от $125 000 за корпоративную лицензию.
ГРИФ
Для проведения полного анализа информационных рисков, прежде всего, необходимо построить полную модель информационной системы с точки зрения ИБ. Для решения этой задачи , в отличие от представленных на рынке западных систем анализа рисков, довольно громоздких и часто не предполагающих самостоятельного использования ИТ-менеджерами и системными администраторами, ответственными за обеспечение безопасности информационных систем компаний, обладает простым и интуитивно понятным для пользователя интерфейсом. Однако за внешней простотой скрывается сложный алгоритм анализа рисков, учитывающий более ста параметров, который позволяет на выходе дать точную оценку существующих в информационной системе рисков, основанную на анализе особенностей практической реализации информационной системы.
Основная задача системы ГРИФ - дать возможность ИТ-менеджеру самостоятельно (без привлечения сторонних экспертов) оценить уровень рисков в информационной системе и эффективность существующей практики по обеспечению безопасности компании, а также предоставить возможность доказательно (в цифрах) убедить руководство компании в необходимости инвестиций в сферу ее информационной безопасности.
На первом этапе метода ГРИФ проводится опрос ИТ-менеджера с целью определения полного списка информационных ресурсов, представляющих ценность для компании.
На втором этапе проводится опрос ИТ-менеджера с целью ввода в систему ГРИФ всех видов информации, представляющей ценность для компании. Введенные группы ценной информации должны быть размещены пользователем на указанных на предыдущем этапе объектах хранения информации (серверах, рабочих станциях и т. д.). Заключительная фаза - указание ущерба по каждой группе ценной информации, расположенной на соответствующих ресурсах, по всем видам угроз.
На третьем этапе проходит определение всех видов пользовательских групп с указанием числа пользователей в каждой группе. Затем фиксируется, к каким группам информации на ресурсах имеет доступ каждая из групп пользователей. В заключение определяются виды (локальный и/или удаленный) и права (чтение, запись, удаление) доступа пользователей ко всем ресурсам, содержащим ценную информацию.
На четвертом этапе проводится опрос ИТ-менеджера для определения средств защиты ценной информации на ресурсах. Кроме того, в систему вводится информация о разовых затратах на приобретение всех применяющихся средств защиты информации и ежегодные затраты на их техническую поддержку, а также ежегодные затраты на сопровождение системы информационной безопасности компании.
На завершающем этапе необходимо ответить на вопросы по политике безопасности, реализованной в системе, что позволит оценить реальный уровень защищенности системы и детализировать оценки рисков.
Наличие средств информационной защиты, отмеченных на первом этапе, само по себе еще не делает систему защищенной в случае их неадекватного использования и отсутствия комплексной политики безопасности, учитывающей все аспекты защиты информации, включая вопросы организации защиты, физической безопасности, безопасности персонала, непрерывности ведения бизнеса и т. д.
В результате выполнения всех действий по данным этапам, на выходе будет сформирована полная модель информационной системы с точки зрения информационной безопасности с учетом реального выполнения требований комплексной политики безопасности, что позволит перейти к программному анализу введенных данных для получения комплексной оценки рисков и формирования итогового отчета.
Подробный отчет по системе , дающий картину возможного ущерба от инцидентов, готов для представления руководству компании:
К недостаткам ГРИФ можно отнести:
- Отсутствие привязки к бизнесс-процессам (запланировано в следующей версии).
- Отсутствие возможности сравнения отчетов на разных этапах внедрения комплекса мер по обеспечению защищенности (запланировано в следующей версии).
- Отсутствие возможности добавления специфичных для данной компании требований политики безопасности.
- Современные технологии анализа рисков в информационных системах (PCWEEK N37"2001), Сергей Симонов
- Материалы компании «Джет Инфосистемс»
- Материалы компании «Digital Security»
Волгоградский институт управления
филиал РАНХиГС
Специализированные
программы для анализа
финансовых рисков
предприятия
Выполнила
студентка группы МЭ-100
Шагинян Арпи Арменовна
опасность денежных потерь, возникновение
которых зависит от тех или иных факторов
хозяйственной жизни. Риском возникновения
подобных проблем являются в первую очередь
финансовые риски.Целью работы является поиск
специализированных программ для выявления
финансовых рисков предприятияДля российских предприятий, независимо от их формы
собственности и сфер деятельности, наиболее типичными
являются следующие риски:
- возможная утрата (гибель), недостача или повреждение
основных или оборотных средств предприятия;
- возникновение гражданской ответственности
предприятия по обязательствам, возникающим
вследствие причинения вреда жизни, здоровью и
имуществу третьих лиц или окружающей природной
среде;
- возможные убытки или неполучение ожидаемой
прибыли из-за изменения условий функционирования
предприятия по не зависящим от него обстоятельствам;
- нарушения своих обязательств контрагентами,
партнерами и прочееНаибольшее распространение получили
программные продукты следующих фирм:
- Альт (пакеты Альт-Инвест, Альт-Инвест
сумм, Альт-Лизинг, Альт-Финансы, АльтПлан, Альт-Прогноз, Альт-Эксперт и др.);
ИнЭк (пакеты Инвестор, Аналитик и др.). Несмотря на разнообразие предлагаемых программных продуктов, предназначенных для
автоматизации решения задач разработки бизнес-планов инвестиционных проектов, они
имеют между собой много общего. Это определяется наличием установившихся
стандартных подходов к расчету всех показателей и критериев инвестиционного проекта,
изложенных в «Методических рекомендациях по оценке эффективности инвестиционных
проектов и их отбору для финансирования».
Этому, несмотря на большое разнообразие форм подачи выходной информации, ее
содержание, как правило, включает одинаковые данные об основных экономических
характеристиках инвестиционного проекта, основой которых является денежный поток
проекта. К таким характеристикам относятся: данные о прибылях и убытках; прогнозный
баланс; показатели, отражающие финансовое состояние предприятия (коэффициенты
рентабельности, платежеспособности, ликвидности); показатели эффективности
инвестиций (NPV, IRR,PBP, PI и др.).
Семейство программных продуктов Project Expert, в частности версия Project Expert-7,
кроме анализа чувствительности проекта, выполняет расчеты рисков методом сценарного
анализа. Использование при этом методов имитационного моделирования (метода МонтеКарло) позволяет существенно повысить достоверность полученных результатов анализа
риска проекта.Говоря о возможности применения тех или иных пакетов, следует
отметить способы построения каждого из них – открытый, закрытый,
комбинированный. Примером открытых пакетов являются программные
разработки фирмы Альт. Пользователь имеет возможность вносить
изменения в алгоритмы расчетов, которые могут определяться
спецификой решаемых задач. При недостаточной квалификации
пользователя такие изменения могут привести к ошибкам и исказить
действительное состояние дел. Примером закрытых пакетов являются
программные разработки фирмы ПроИнвестКонсалтинг, в частности
семейство пакетов Project Expert. Здесь программный продукт выступает в
виде, так называемого, «черного ящика». На входе его вводится исходная
информация, на выходе – результаты расчетов бизнес-плана. Пользователь
не имеет возможности изменять алгоритм расчетов. Такие программы не
предъявляют высоких требований к квалификации пользователя. Поэтому,
выбор конкретного пакета зависит от пользователя, его квалификации и
возможностей как финансовых, так и наличия соответствующего
персонала.С одной стороны риск имеет опасность для
предпринимательской деятельности, но с другой, как и
конкуренция, несет очистительную функцию, т.е. помогает
рынку очиститься от немобильных организаций, способствует
при правильном подходе к риску, развитию экономики.
Необходимо помнить, что нужно не избегать риска, а уметь
снизить вероятность его возникновения, что возможно при
правильной управленческой работе, которая представляет
собой комплекс мероприятий, направленных на
прогнозирование и заблаговременное выявление
неблагоприятных воздействий на субъект
предпринимательской деятельности, разработку и реализацию
мер по их нейтрализации (анализ риска и его оценка,
страхование и т.д.).
Национальный Открытый Университет "ИНТУИТ": www.intuit.ru Сергей Нестеров Лекция 4. Методики и программные продукты для оценки рисков
Ниже приведены краткие описания ряда распространенных методик анализа рисков. Их можно разделить на:
методики, использующие оценку риска на качественном уровне (например, по шкале "высокий", "средний", "низкий"). К таким методикам, в частности, относится FRAP;
количественные методики (риск оценивается через числовое значение, например размер ожидаемых годовых потерь). К этому классу относится методика RiskWatch;
методики, использующие смешанные оценки (такой подход используется в CRAMM, методике
Microsoft и т.д.).
Методика CRAMM
Это одна из первых методик анализа рисков в сфере ИБ работа над ней была начата в середине 80х гг. центральным агентством по компьютерам и телекоммуникациям (CCTA) Великобритании.
В основе метода CRAMM лежит комплексный подход к оценке рисков, сочетающий количественные и качественные методы анализа. Метод является универсальным и подходит как для крупных, так и для малых организаций, как правительственного, так и коммерческого сектора. Версии программного обеспечения CRAMM, ориентированные на разные типы организаций, отличаются друг от друга своими базами знаний (profiles). Для коммерческих организаций имеется Коммерческий профиль (Commercial Profile), для правительственных организаций Правительственный профиль (Government profile). Правительственный вариант профиля, также позволяет проводить аудит на соответствие требованиям американского стандарта ITSEC ("Оранжевая книга").
Исследование ИБ системы с помощью СRAMM проводится в три стадии .
На первой стадии анализируется все, что касается идентификации и определения ценности ресурсов системы. Она начинается с решения задачи определения границ исследуемой системы: собираются сведения о конфигурации системы и о том, кто отвечает за физические и программные ресурсы, кто входит в число пользователей системы, как они ее применяют или будут применять.
Проводится идентификация ресурсов: физических, программных и информационных, содержащихся внутри границ системы. Каждый ресурс необходимо отнести к одному из предопределенных классов. Затем строится модель информационной системы с позиции ИБ. Для каждого информационного процесса, имеющего, по мнению пользователя, самостоятельное значение и называемого пользовательским сервисом, строится дерево связей используемых ресурсов. Построенная модель позволяет выделить критичные элементы.
Ценность физических ресурсов в CRAMM определяется стоимостью их восстановления в случае разрушения.
Ценность данных и программного обеспечения определяется в следующих ситуациях: недоступность ресурса в течение определенного периода времени;
разрушение ресурса потеря информации, полученной со времени последнего резервного копирования, или ее полное разрушение;
нарушение конфиденциальности в случаях несанкционированного доступа штатных сотрудников или посторонних лиц;
модификация рассматривается для случаев мелких ошибок персонала (ошибки ввода), программных ошибок, преднамеренных ошибок;
ошибки, связанные с передачей информации: отказ от доставки, недоставка информации, доставка по неверному адресу.
нарушение действующего законодательства; ущерб для здоровья персонала;
ущерб, связанный с разглашением персональных данных отдельных лиц;
финансовые потери от разглашения информации; финансовые потери, связанные с восстановлением ресурсов;
потери, связанные с невозможностью выполнения обязательств; дезорганизация деятельности.
Для данных и программного обеспечения выбираются применимые к данной ИС критерии, дается оценка ущерба по шкале со значениями от 1 до 10.
В описаниях CRAMM в качестве примера приводится в такая шкала оценки по критерию "Финансовые потери, связанные с восстановлением ресурсов":
2 балла менее $1000;
6 баллов от $1000 до $10 000;
8 баллов от $10 000 до $100 000; 10 баллов свыше $100 000.
При низкой оценке по всем используемым критериям (3 балла и ниже) считается, что рассматриваемая система требует базового уровня защиты (для этого уровня не требуется подробной оценки угроз ИБ) и вторая стадия исследования пропускается.
На второй стадии рассматривается все, что относится к идентификации и оценке уровней угроз для групп ресурсов и их уязвимостей. В конце стадии заказчик получает идентифицированные и оцененные уровни рисков для своей системы. На этой стадии оцениваются зависимость пользовательских сервисов от определенных групп ресурсов и существующий уровень угроз и уязвимостей, вычисляются уровни рисков и анализируются результаты.
Ресурсы группируются по типам угроз и уязвимостей. Например, в случае существования угрозы пожара или кражи в качестве группы ресурсов разумно рассмотреть все ресурсы, находящиеся в одном месте (серверный зал, комната средств связи и т. д.). Оценка уровней угроз и уязвимостей производится на основе исследования косвенных факторов.
Программное обеспечение CRAMM для каждой группы ресурсов и каждого из 36 типов угроз генерирует список вопросов, допускающих однозначный ответ. Уровень угроз оценивается, в зависимости от ответов, как очень высокий, высокий, средний, низкий и очень низкий. Уровень уязвимости оценивается, в зависимости от ответов, как высокий, средний и низкий.
На основе этой информации рассчитываются уровни рисков в дискретной шкале с градациями от 1 до 7. Полученные уровни угроз, уязвимостей и рисков анализируются и согласовываются с заказчиком.
CRAMM объединяет угрозы и уязвимости в матрице риска. Рассмотрим, как получается эта матрица, и что каждый из уровней риска означает.
Основной подход, для решения этой проблемы состоит в рассмотрении : уровня угрозы (шкала приведена в табл. 4.1 );
уровня уязвимости (шкала приведена в табл. 4.2 );
размера ожидаемых финансовых потерь (пример на рис. 4.1 ).
Таблица 4.1. Шкала оценки уровней угрозы (частота возникновения).
Описание |
Значение |
инцидент происходит в среднем, не чаще, чем каждые 10 лет очень низкий |
|
инцидент происходит в среднем один раз в 3 года |
|
инцидент происходит в среднем раз в год |
|
инцидент происходит в среднем один раз в четыре месяца |
|
инцидент происходит в среднем раз в месяц |
очень высокий |
Таблица 4.2. Шкала оценки уровня уязвимости (вероятность успешной |
|
реализации угрозы). |
|
Описание |
Значение |
В случае возникновения инцидента, вероятность развития событий низкий
Исходя из оценок стоимости ресурсов защищаемой ИС, оценок угроз и уязвимостей, определяются "ожидаемые годовые потери". На рис. 4.1 приведен пример матрицы оценки ожидаемый потерь . В ней второй столбец слева содержит значения стоимости ресурса, верхняя строка заголовка таблицы оценку частоты возникновения угрозы в течение года (уровня угрозы), нижняя строка заголовка оценку вероятности успеха реализации угрозы (уровня уязвимости).
Рис. 4.1. Матрица ожидаемых годовых потерь
Значения ожидаемых годовых потерь (англ. Annual Loss of Expectancy) переводятся в CRAMM в баллы, показывающие уровень риска, согласно шкале, представленной на рис. 4.2 (в этом примере размер потерь приводится в фунтах стерлингов).
Рис. 4.2. Шкала оценки уровня рисков
В соответствии с приведенной ниже матрицей, выводится оценка риска (рис. 4.3 )
Рис. 4.3. Матрица оценки риска
Третья стадия исследования заключается в поиске адекватных контрмер. По существу, это поиск варианта системы безопасности, наилучшим образом удовлетворяющей требованиям заказчика.
На этой стадии CRAMM генерирует несколько вариантов мер противодействия, адекватных выявленным рискам и их уровням. Контрмеры можно объединить в три категории: около 300 рекомендаций общего плана; более 1000 конкретных рекомендаций; около 900 примеров того, как можно организовать защиту в данной ситуации.
Таким образом, CRAMM пример методики расчета, при которой первоначальные оценки даются на качественном уровне, и потом производится переход к количественной оценке (в баллах).
Методика FRAP
Методика "Facilitated Risk Analysis Process (FRAP)" предлагаемая компанией Peltier and Associates (сайт в Интернет http://www.peltierassociates.com/ ) разработана Томасом Пелтиером (Thomas R. Peltier) и
опубликована в (фрагменты данной книги доступны на сайте, приведенное ниже описание построено на их основе). В методике, обеспечение ИБ ИС предлагается рассматривать в рамках процесса управления рисками. Управление рисками в сфере ИБ процесс, позволяющий компаниям найти баланс между затратами средств и сил на средства защиты и получаемым эффектом.
Управление рисками должно начинаться с оценки рисков: должным образом оформленные результаты оценки станут основой для принятия решений в области повышения безопасности системы.
После завершения оценки, проводится анализ соотношения затрат и получаемого эффекта (англ. cost/benefit analysis), который позволяет определить те средства защиты, которые нужны, для снижения риска до приемлемого уровня.
Ниже приведены основные этапы оценки рисков. Данный список во многом повторяет аналогичный перечень из других методик, но во FRAP более подробно раскрываются пути получения данных о системе и ее уязвимостях.
1. Определение защищаемых активов производится с использованием опросных листов, изучения документации на систему, использования инструментов автоматизированного анализа (сканирования) сетей.
2. Идентификация угроз. При составлении списка угроз могут использоваться разные подходы:
заранее подготовленные экспертами перечни угроз (checklists), из которых выбираются актуальные для данной системы;
анализ статистики происшествий в данной ИС и в подобных ей оценивается частота их возникновения; по ряду угроз, например, угрозе возникновения пожара, подобную статистику можно получить у соответствующих государственных организаций;
"мозговой штурм", проводимый сотрудниками компании.
3. Когда список угроз закончен, каждой из них сопоставляют вероятность возникновения. После чего оценивают ущерб, который может быть нанесен данной угрозой. Исходя из полученных значений, оценивается уровень угрозы.
При проведении анализа, как правило, принимают, что на начальном этапе в системе отсутствуют средства и механизмы защиты. Таким образом оценивается уровень риска для незащищенной ИС, что в последствии позволяет показать эффект от внедрения средств защиты информации (СЗИ).
Оценка производится для вероятности возникновения угрозы и ущерба от нее по следующим шкалам.
Вероятность (Probability):
Высокая (High Probability) очень вероятно, что угроза реализуется в течение следующего года;
Средняя (Medium Probability) возможно угроза реализуется в течение следующего года; Низкая (Low Probability) маловероятно, что угроза реализуется в течение следующего года.
Ущерб (Impact) мера величины потерь или вреда, наносимого активу:
Высокий (High Impact): остановка критически важных бизнесподразделений, которая приводит к существенному ущербу для бизнеса, потере имиджа или неполучению существенной прибыли;
Средний (Medium Impact): кратковременное прерывание работы критических процессов или систем, которое приводит к ограниченным финансовым потерям в одном бизнес подразделении;
Низкий (Low Impact): перерыв в работе, не вызывающий ощутимых финансовых потерь.
Оценка определяется в соответствии с правилом, задаваемым матрицей рисков, изображенной на рис. 4.4 . Полученная оценка уровня риска может интерпретироваться следующим образом:
уровень A связанные с риском действия (например, внедрение СЗИ) должны быть выполнены немедленно и в обязательном порядке;
уровень B связанные с риском действия должны быть предприняты;
уровень C требуется мониторинг ситуации (но непосредственных мер по противодействию угрозе принимать, возможно, не надо);
уровень D никаких действий в данный момент предпринимать не требуется.
Рис. 4.4. Матрица рисков FRAP
4. После того как угрозы идентифицированы и дана оценка риска, должны быть определены контрмеры, позволяющие устранить риск или свести его до приемлемого уровня. При этом должны приниматься во внимание законодательные ограничения, делающие невозможным или, наоборот, предписывающие в обязательном порядке, использование тех или иных средств и механизмов защиты. Чтобы определить ожидаемый эффект, можно провести оценку того же риска, но при условии внедрения предлагаемого СЗИ. Если риск снижен недостаточно, возможно, надо применить другое СЗИ. Вместе с определением средства защиты, надо определить какие затраты повлечет его приобретение и внедрение (затраты могут быть как прямые, так и косвенные см. ниже). Кроме того, необходимо оценить, безопасно ли само это средство, не создает ли оно новых уязвимостей в системе.
Чтобы использовать экономически эффективные средства защиты, нужно проводить анализ соотношения затрат и получаемого эффекта. При этом надо оценивать не только стоимость приобретения решения, но и стоимость поддержания его работы. В затраты могут включаться:
стоимость реализации проекта, включая дополнительное программное и аппаратное обеспечение;
снижение эффективности выполнения системой своих основных задач; внедрение дополнительных политик и процедур для поддержания средства; затраты на найм дополнительного персонала или переобучение имеющегося.
5. Документирование. Когда оценка рисков закончена, ее результаты должны быть подробно документированы в стандартизованном формате. Полученный отчет может быть использован при определении политик, процедур, бюджета безопасности и т.д.
Методика OCTAVE
OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) методика поведения оценки
рисков в организации, разрабатываемая институтом Software Engineering Institute (SEI) при университете Карнеги Меллон (Carnegie Mellon University). Полное описание методики доступно в Интернет на сайте http://www.cert.org/octave . Ей также посвящено много научных и научнотехнических статей .
Особенность данной методики заключается в том, что весь процесс анализа производится силами сотрудников организации, без привлечения внешних консультантов. Для этого создается смешанная группа, включающая как технических специалистов, так и руководителей разного уровня, что позволяет всесторонне оценить последствия для бизнеса возможных инцидентов в области безопасности и разработать контрмеры.
OCTAVE предполагает три фазы анализа:
1. разработка профиля угроз, связанных с активом;
2. идентификация инфраструктурных уязвимостей;
3. разработка стратегии и планов безопасности.
Профиль угрозы включает в себя указания на актив (asset), тип доступа к активу (access), источник угрозы (actor), тип нарушения или мотив (motive), результат (outcome) и ссылки на описания угрозы в общедоступных каталогах. По типу источника, угрозы в OCTAVE делятся на:
1. угрозы, исходящие от человеканарушителя, действующего через сеть передачи данных;
2. угрозы, исходящие от человеканарушителя, использующего физический доступ;
3. угрозы, связанные со сбоями в работе системы;
4. прочие.
Результат может быть раскрытие (disclosure), изменение (modification), потеря или разрушение (loss/destruction) информационного ресурса или разрыв подключения. Отказ в обслуживании
Методика OCTAVE предлагает при описании профиля использовать "деревья вариантов", пример подобного дерева для угроз класса 1) приведен на рис. 4.5 . При создании профиля угроз рекомендуется избегать обилия технических деталей это задача второго этапа исследования. Главная задача первой стадии стандартизованным образом описать сочетание угрозы и ресурса.
Предположим, что на предприятии имеется информационный ресурс (актив) база данных (БД) отдела кадров (HR Database). Профиль, соответствующий угрозе кражи информации сотрудником предприятия представлен в таблице 4.3 .
Таблица 4.3. Пример профиля угрозы.
Ресурс (Asset) |
БД отдела кадров (HR Database) |
Тип доступа (Access) |
Через сеть передачи данных |
Источник угрозы (Actor) |
Внутренний (Inside) |
Тип нарушения (Motive) |
Преднамеренное (Deliberate) |
Уязвимость (Vulnerability) |
|
Результат (Outcome) |
Раскрытие данных (Disclosure) |
увеличить изображение Рис. 4.5. Дерево вариантов, использующееся при описании профиля
Вторая фаза исследования системы в соответствии с методикой идентификация инфраструктурных уязвимостей. В ходе этой фазы определяется инфраструктура, поддерживающая существование выделенного ранее актива (например, если это БД отдела кадров, то нам для работы с ней нужен сервер, на котором база размещена, рабочая станция служащего отдела кадров и т.д.) и то окружение, которое может позволить получить к ней доступ (например, соответствующий сегмент локальной сети). Рассматриваются компоненты следующих классов: серверы; сетевое оборудование; СЗИ; персональные компьютеры; домашние персональные компьютеры "надомных" пользователей, работающих удаленно, но имеющих доступ в сеть организации; мобильные компьютеры; системы хранения; беспроводные устройства; прочее.
Группа, проводящая анализ для каждого сегмента сети, отмечает, какие компоненты в нем проверяются на наличие уязвимостей. Уязвимости проверяются сканерами безопасности уровня операционной системы, сетевыми сканерами безопасности, специализированными сканерами (для конкретных web серверов, СУБД и проч.), с помощью списков уязвимостей (checklists), тестовых скриптов.
Для каждого компонента определяется:
список уязвимостей, которые надо устранить немедленно (highseverity vulnerabilities);
список уязвимостей, которые надо устранить в ближайшее время (middleseverity vulnerabilities);
список уязвимостей, в отношении которых не требуется немедленных действий (lowseverity vulnerabilities).
По результатам стадии готовится отчет, в котором указывается, какие уязвимости обнаружены, какое влияние они могут оказать на выделенные ранее активы, какие меры надо предпринять для устранения уязвимостей.
Разработка стратегии и планов безопасности третья стадия исследования системы. Она начинается с оценки рисков, которая проводится на базе отчетов по двум предыдущим этапам. В OCTAVE при оценке риска дается только оценка ожидаемого ущерба, без оценки вероятности. Шкала: высокий (high), средний (middle), низкий (low). Оценивается финансовый ущерб, ущерб репутации компании, жизни и
здоровью клиентов и сотрудников, ущерб, который может вызвать судебное преследование в результате того или иного инцидента. Описываются значения, соответствующие каждой градации шкалы (например, для малого предприятия финансовый ущерб в $10000 высокий, для более крупного средний).
на среднюю перспективу;
списки задач на ближайшее время.
Для определения мер противодействия угрозам в методике предлагаются каталоги средств.
Хотелось бы еще раз подчеркнуть, что в отличие от прочих методик, OCTAVE не предполагает привлечения для исследования безопасности ИС сторонних экспертов, а вся документация по OCTAVE общедоступна и бесплатна, что делает методику особенно привлекательной для предприятий с жестко ограниченным бюджетом, выделяемым на цели обеспечения ИБ.
Методика RiskWatch
Компания RiskWatch разработала собственную методику анализа рисков и семейство программный средств, в которых она в той либо иной мере реализуется .
В семейство RiskWatch входят программные продукты для проведения различных видов аудита безопасности:
RiskWatch for Physical Security для анализа физической защиты ИС;
RiskWatch for Information Systems для информационных рисков;
HIPAAWATCH for Healthcare Industry для оценки соответствия требованиям стандарта HIPAA (US Healthcare Insurance Portability and Accountability Act), актуальных в основном для медицинских учреждений, работающих на территории США;
RiskWatch RW17799 for ISO 17799 для оценки соответствия ИС требованиям стандарта международного стандарта ISO 17799.
В методе RiskWatch в качестве критериев для оценки и управления рисками используются ожидаемые годовые потери (Annual Loss Expectancy, ALE) и оценка возврата инвестиций (Return on Investment, ROI). RiskWatch ориентирована на точную количественную оценку соотношения потерь от угроз безопасности и затрат на создание системы защиты. В основе продукта RiskWatch находится методика анализа рисков, которая состоит из четырех этапов.
Первый этап определение предмета исследования. Здесь описываются такие параметры, как тип организации, состав исследуемой системы (в общих чертах), базовые требования в области безопасности. Для облегчения работы аналитика, в шаблонах, соответствующих типу организации ("коммерческая информационная система", "государственная/военная информационная система" и т.д.), есть списки категорий защищаемых ресурсов, потерь, угроз, уязвимостей и мер защиты. Из них нужно выбрать те, что реально присутствуют в организации (рис. 4.6 ).
Раскрытие информации;
Прямые потери (например, от уничтожения оборудования огнем); Жизнь и здоровье (персонала, заказчиков и т.д.);
Изменение данных;
Косвенные потери (например, затраты на восстановление); Репутация.
Второй этап ввод данных, описывающих конкретные характеристики системы. Данные могут вводиться вручную или импортироваться из отчетов, созданных инструментальными средствами исследования уязвимости компьютерных сетей. На этом этапе, в частности, подробно описываются ресурсы, потери и классы инцидентов. Классы инцидентов получаются путем сопоставления категории потерь и категории ресурсов.
Для выявления возможных уязвимостей используется вопросник, база которого содержит более 600 вопросов. Вопросы связаны с категориями ресурсов.
Также задается частота возникновения каждой из выделенных угроз, степень уязвимости и ценность
ресурсов. Если для выбранного класса угроз в системе есть среднегодовые оценки возникновения (LAFE и SAFE), то используются они. Все это используется в дальнейшем для расчета эффекта от внедрения средств защиты.
увеличить изображение Рис. 4.6. Определение категорий защищаемых ресурсов
Третий этап количественная оценка риска. На этом этапе рассчитывается профиль рисков, и выбираются меры обеспечения безопасности. Сначала устанавливаются связи между ресурсами, потерями, угрозами и уязвимостями, выделенными на предыдущих шагах исследования. По сути, риск оценивается с помощью математического ожидания потерь за год. Например, если стоимость сервера $150000, а вероятность того, что он будет уничтожен пожаром в течение года, равна 0.01, то ожидаемые потери составят $1500.
Формула расчета (m=p*v, где m математическое ожидание, p вероятность возникновения угрозы, v стоимость ресурса) претерпела некоторые изменения, в связи с тем, что RiskWatch использует определенные американским институтом стандартов NIST оценки, называемые LAFE и SAFE. LAFE (Local Annual Frequency Estimate) показывает, сколько раз в год в среднем данная угроза реализуется в данном месте (например, в городе). SAFE (Standard Annual Frequency Estimate) показывает, сколько раз в год в среднем данная угроза реализуется в этой "части мира" (например, в Северной Америке). Вводится также поправочный коэффициент, который позволяет учесть, что в результате реализации угрозы защищаемый ресурс может быть уничтожен не полностью, а только частично.
Формулы (4.1) и (4.2) показывают варианты расчета показателя ALE :
Asset Value стоимость рассматриваемого актива (данных, программ, аппаратуры и т.д.); Exposure Factor коэффициент воздействия показывает, какая часть (в процентах) от стоимости
актива, подвергается риску;
Frequency частота возникновения нежелательного события;
ALE это оценка ожидаемых годовых потерь для одного конкретного актива от реализации одной угрозы.
Когда все активы и воздействия идентифицированы и собраны вместе, то появляется возможность оценить общий риск для ИС, как сумму всех частных значений.
Можно ввести показатели "ожидаемая годовая частота происшествия" (Annualized Rate of Occurrence ARO ) и "ожидаемый единичный ущерб" (Single Loss Expectancy SLE), который может рассчитываться как разница первоначальной стоимости актива и его остаточной стоимости после происшествия (хотя подобный способ оценки применим не во всех случаях, например, он не подходит для оценки рисков, связанных с нарушением конфиденциальности информации). Тогда, для отдельно взятого сочетания угрозаресурс применима формула (4.2)
Дополнительно рассматриваются сценарии "что если:", которые позволяют описать аналогичные ситуации при условии внедрения средств защиты. Сравнивая ожидаемые потери при условии внедрения защитных мер и без них можно оценить эффект от таких мероприятий.
RiskWatch включает в себя базы с оценками LAFE и SAFE, а также с обобщенным описанием различных типов средств защиты.
Эффект от внедрения средств защиты количественно описывается с помощью показателя ROI (Return on Investment возврат инвестиций), который показывает отдачу от сделанных инвестиций за определенный период времени. Рассчитывается он по формуле:
Costs j затраты на внедрение и поддержание j меры защиты;
Benefits i оценка той пользы (т.е. ожидаемого снижения потерь), которую приносит внедрение данной меры защиты;
NPV (Net Present Value) чистая текущая стоимость.
Четвертый этап генерация отчетов. Типы отчетов: Краткие итоги.
Полные и краткие отчеты об элементах, описанных на стадиях 1 и 2.
Отчет от стоимости защищаемых ресурсов и ожидаемых потерях от реализации угроз. Отчет об угрозах и мерах противодействия.
Отчет о ROI (фрагмент на рис. 4.7 ). Отчет о результатах аудита безопасности.
http://www.intuit.ru/studies/courses/531/387/print_lecture/8996 |
Продолжая тематику оценки и управления рисками информационной безопасности в этом посте мне бы хотелось поговорить о программном обеспечении, которое может быть использовано для выполнения оценки рисков. Зачем вообще нужно это программное обеспечение? Дело в том, что как только вы глубоко погрузитесь в этот процесс, то сразу станет понятно, что проведение оценки сопряжено с довольно сложной комбинаторикой. Сочетание разных активов, уязвимостей, угроз, защитных мер рождает сотни, тысячи возможных комбинаций, описывающих риски и тут уже без подручных средств не обойтись. Что же сейчас можно найти на просторах интернета:
vsRisk . Программное обеспечение от британской компании Vigilant Software . Продукт позиционируется в первую очередь как программное обеспечение для оценки рисков в соответствии с требованиями ISO 27001 и BS7799-3 (ныне ISO27005). На сайте можно скачать триалку на 15 дней (размер - 390 МБ). Система мне показалась довольно примитивной и совсем не дружественной неподготовленному пользователю. В программе, например, есть довольно обширные списки возможных угроз, уязвимостей и контрмер, но при этом сама система не определяет никаких взаимосвящей между ними, это делается вручную самим пользователем. В общем я бы оценил программку на 3-ку. За что там просят 1700 Евро?! 8-).
PTA. Разработка компанииPTA Technologies . Крайне интересный продукт на мой взгляд. Не привязан к какому-либо стандарту и реализует механизм количественной оценки рисков (!). Это я, кстати, отметил бы скорее как недостаток данного программного обеспечения, т.к. все дело в том, что далеко не все можно оценить с точностью до доллара, а возможность качественной оценки не предусмотрена. В системе также предусмотрен интересный механизм оценки эффективности предлагаемых контрмер, на основании чего можно, например, выдеть как меняется карта рисков когда мы добавляем или убираем те или иные контрмеры.
На сайте разработчика укзаано, что продукт платный и для скачивания доступна только триалка на 30 дней. Сколько же стоит сам продукт и как его можно приобрести - информации нет (видимо подход индивидуальный:)).
RSA Archer
. Разработка компании Archer , с недавних пор принадлежащей гиганту RSA. Вообще говоря Archer - это такой огромный GRC-комбайн, который включает в себя множество различных модулей, один из которых обеспечивает управление рисками. Триалок для скачивания не предоставляется, на сайте есть презентационные видео. Стоимость данного продукта также не обозначена, но думаю что будет дорого, как и впрочем и все у RSA:)
Modulo Risk Manager . Разработка компании Modulo . На сайте доступно только довольно бедное описание функционала. Никакой триальной версии, никаких подробных видео-роликов. Тем не менее продукт отмечен наградой SC Magazine, а это значит что он все же чего-то стоит. К сожалению мне пока не удалось с ним ознакомиться.
RM Studio. Продукт одноименной организации (сайт). Д ля скачивания доступна 30-дневная триалка, помимо этого на сайте можно посмотреть видео-ролики, демонстрирующие сценарии использования продукта. На мой взгляд данное программное обеспечение слишком примитивное в плане оценки рисков и подходит только тем, кто делает оценку рисков "для галочки".
Гриф . Разработка компании Digital Security. Привел этот программный продукт скорее просто для общей картины. Сам продукт уже много лет никак не поддерживается компанией-разработчиком. Поэтому можно сказать, что его фактически уже нет. Пока это единственная отечественная разработка в этой области известная мне.
Откровенно говоря не густо. Я понимаю что мой обзор не может претендовать на 100% полноту, но все же....
Если кто-то знает еще какое-то программное обеспечение или другие способы автоматизации при проведени оценки рисков - прошу писать в комменты, обсудим.
Важное обновление! Компания ISM SYSTEMS сообщила о разработке инструмента по автоматизации оценки рисков - ISM Revision: Risk Manager. Предварительная информация доступна здесь - http://www.ismsys.ru/?page_id=73 . Продукт выглядит многообещающе. Более подробный обзор сделаю позже.
