"Рекомендации в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности" РС БР ИББС-2.2-2009" (приняты и введены в действие Распоряжением Банка России от 11.11.2009 N Р-1190)

оценки рисков нарушения ИБ и их свойства ИБ документально фиксируются, для чего рекомендуется использовать примерную форму, приведенную в приложении 2.
5.4. Процедура 2. Для каждого из выделенных в рамках выполнения процедуры 1 типов информационных активов составляется перечень типов объектов среды. При составлении данного перечня рассматриваемые типы объектов среды разделяются по уровням информационной инфраструктуры организации БС РФ.
Перечень типов объектов среды документально фиксируется, для чего рекомендуется использовать примерную форму, приведенную в приложении 3.
5.5. Процедура 3. Для каждого из определенных в рамках выполнения процедуры 2 типов объектов среды составляется перечень источников угроз, воздействие которых может привести к потере свойств ИБ соответствующих типов информационных активов. Типы объектов среды и выявляемые для них источники угроз должны соответствовать друг другу в рамках иерархии информационной инфраструктуры организации БС РФ.
Перечень источников угроз формируется на основе модели угроз организации БС РФ. При этом возможно расширение первоначального перечня источников угроз, зафиксированных в модели угроз организации БС РФ (или же его дополнительная структуризация путем составления новых моделей угроз для некоторых из выделенных типов объектов среды или отдельных объектов среды).
При формировании перечня источников угроз рекомендуется рассматривать возможные способы их воздействия на объекты среды, в результате чего возможна потеря свойств ИБ соответствующих типов информационных активов (способы реализации угроз ИБ). Степень детализации и порядок группировки для рассмотрения способов реализации угроз ИБ определяются организацией БС РФ.
5.5.1. Результаты выполнения процедуры 3 документально фиксируются, для чего рекомендуется использовать примерную форму документирования данных и результатов оценки СВР угроз ИБ, приведенную в приложении 4 (заполнению подлежат поля: "Тип информационного актива", "Тип объекта среды", "Источник угроз ИБ", "Свойства ИБ типа информационного актива", "Способ реализации угроз ИБ").
5.6. Процедура 4. Для выполнения оценки СВР угроз ИБ используются результаты выполнения процедур 1, 2, 3 настоящей методики и проводится анализ возможности потери каждого из свойств ИБ для каждого из типов информационных активов в результате воздействия на соответствующие им типы объектов среды выделенных источников угроз.
5.6.1. Основными факторами для оценки СВР угроз ИБ являются:
- информация соответствующих моделей угроз, в частности:
- данные о расположении источника угрозы относительно соответствующих типов объектов среды;
- информация о мотивации источника угрозы (для источников угроз антропогенного характера);
- предположения о квалификации и (или) ресурсах источника угрозы;
- статистические данные о частоте реализации угрозы ее источником в прошлом;
- информация о способах реализации угроз ИБ;
- информация о сложности обнаружения реализации угрозы рассматриваемым источником;
- данные о наличии у рассматриваемых типов объектов среды организационных, технических и прочих априорных защитных мер.
5.6.2. Для оценки СВР угроз ИБ используется следующая качественная шкала степеней:
- нереализуемая;
- минимальная;
- средняя;
- высокая;
- критическая.
При привлечении к оценке отдельных СВР угроз ИБ нескольких экспертов и получении разных экспертных оценок рекомендуется итоговую, обобщенную оценку СВР угроз ИБ принимать равной экспертной оценке, определяющей наибольшую СВР угрозы ИБ.
5.6.3. Данные, на основании которых проводится оценка СВР угроз ИБ, и ее результаты документируются, для чего рекомендуется использовать примерную форму документирования данных и результатов оценки СВР угроз ИБ, приведенную в приложении 4 (заполнению подлежат поля: "Используе



> 1 2 ... 3 4 5 6 ... 21 22 23

	Поделиться:	Tweet