Экономические последствия несанкционированного доступа к информации
1. Раскрытие коммерческой информации может привести к серьезным прямым убыткам на рынке.
2. Известие о краже большого объема информации обычно серьезно влияет на репутацию фирмы, приводя косвенно к потерям в объемах торговых операций.
3. Фирмы-конкуренты могут воспользоваться кражей информации, если та осталась незамеченной, для того чтобы полностью разорить фирму, навязывая ей фиктивные либо заведомо убыточные сделки.
4. Подмена информации как на этапе передачи, так и на этапе хранения в фирме может привести к серьезным убыткам.
5. Многократные успешные атаки на фирму, предоставляющую какой-либо вид информационных услуг, снижают доверие к фирме у клиентов, что сказывается на объеме доходов.
Ущерб от совершенной атаки может выражаться в форме:
ü прямых финансовых потерь;
ü упущенной выгоды;
ü морального ущерба.
Ущерб от атаки может быть вычислен количественно или оценен на качественном уровне с последующим присвоением каждому уровню некоторой количественной характеристики. Во втором случае величина ущерба оценивается неотрицательным числом, например, следующим образом:
Таблица 9.1.
Предполагаемая величина ущерба
Величина ущерба | Описание |
Раскрытие информации принесет ничтожный моральный и финансовый ущерб фирме | |
Ущерб от атаки есть, но он незначителен, основные финансовые операции и положение фирмы на рынке не затронуты | |
Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и количество клиентов изменяются минимально | |
Значительные потери на рынке и в прибыли. От фирмы уходит ощутимая часть клиентов | |
Потери очень значительны, фирма на период до года теряет положение на рынке. Для восстановления положения требуются крупные финансовые займы | |
Фирма прекращает существование |
Вероятность атаки также представляется неотрицательным числом, например, в соответствии со следующей таблицей
Таблица 9.2.
Оценка вероятности атаки
Вероятность | Средняя частота появления |
Данный вид атаки отсутствует | |
Реже, чем 1 раз в год | |
Около 1 раза в год | |
Около 1 раза в месяц | |
Около 1 раза в неделю | |
Практически ежедневно |
Оценку вероятности появления атаки лучше доверять техническим сотрудникам фирмы.
На следующем этапе составляется таблица рисков предприятия:
Таблица 9.3.
Оценка рисков предприятия
Описание атаки | Ущерб | Вероятность | Риск (Ущерб х Вероятность) |
Спам (переполнение почтового ящика) | |||
Копирование жесткого диска | |||
Из центрального офиса | … | … | ... |
… | … | … | ... |
Итого | … | ... |
На этапе анализа таблицы рисков задаются некоторым максимально допустимым риском, например, значением 7.
Сначала проверяется каждая строка таблицы на непревышение риска этого значения. Если такое превышение имеет место, значит данная строка - это одна из первоочередных целей разработки политики безопасности.
Затем производится сравнение удвоенного значения (7х2=14) с интегральным риском (ячейка «Итого»). Если интегральный риск превышает допустимое значение, значит в системе имеется множество мелких недостатков в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк таблицы рисков выбираются те, которые дают самый значительный вклад в значение интегрального риска, и производится попытка их уменьшить или устранить полностью.
На самом ответственном этапе производится собственно разработка политики безопасности предприятия, которая обеспечит надлежащие уровни как отдельных рисков, так и интегрального риска. При ее разработке необходимо, однако, учитывать объективные проблемы, которые могут встать на пути реализации политики безопасности. Такими проблемами могут стать законы страны и международного сообщества, внутренние требования корпорации, этические нормы общества.
После описания всех технических и административных мер, планируемых к реализации, производится расчет экономической стоимости данной программы. В том случае, когда финансовые вложения в программу безопасности являются неприемлемыми или просто экономически невыгодными по сравнению с потенциальным ущербом от атак, производится возврат на уровень, где задавалось значение максимально допустимого риска (7 в нашем примере) и увеличение его на один или два пункта.
В целом, выбор мероприятий защиты информации производится исходя из желаемого выполнения двух условий:
ü с одной стороны, затраты на проведение мероприятий защиты информации не должны превышать ценности защищаемой информации для предприятия (ущерба от ее раскрытия/потери);
ü с другой стороны, затраты на проведение успешной атаки на информацию должны превышать ценность этой информации для злоумышленника.
Завершается разработка политики безопасности ее утверждением у руководства фирмы и детальным документированием. За этим должна следовать активная реализация всех указанных в плане компонентов. Перерасчет таблицы рисков и, как следствие, модификация политики безопасности фирмы, как правило, производятся раз в два года.