Základní pojmy
Management rizik
Vzájemné vztahy při správě rizik
Aktivum Hrozba Zranitelnost Protiopatření Riziko
Management rizik Část identifikující rizika - analýza rizik Část hledající odpovídající ochranná opatření - zvládání rizik
Stanovení rozsahu
Obecný postup analýzy rizik
Analýza rizik Identifikace aktiv
Ohodnocení aktiv
Odhad hrozeb
Odhad zranitelnosti
Identifikace existujících ochranných opatření
Odhad rizik
Výběr ochranných opatření
Přijetí rizik ANO
NE
Stanovení hranice analýzy rizik Identifikace aktiv Stanovení hodnoty a seskupování aktiv Identifikace hrozeb Analýza hrozeb a zranitelností Měření rizika
Politika bezpečnosti systému IT
1
Metody analýzy rizik Kvalitativní metody Rizika vyjádřena v určitém rozsahu Jednodušší, rychlejší a více subjektivní Problém s kontrolou efektivnosti nákladů
Kvantitativní metody Založeny na matematickém výpočtu rizika Více exaktní, náročnější na čas a úsilí Poskytují finanční vyjádření rizika
Typy analýzy rizik
(ČSN ISO/IEC TR 13335 )
3) Orientační AR Většinou součást kombinované AR Určuje vhodný typ AR pro daný systém (základní nebo podrobná)
4) Podrobná AR 5) Kombinovaná AR Kombinace orientační a podrobné AR
Kombinovaná analýza rizik – ad. 5) Orientační AR Identifikace důležitých systémů Podrobná analýza u důležitých systémů Základní AR u ostatních systémů
Typy analýzy rizik
(ČSN ISO/IEC TR 13335 )
1) Základní AR Aplikuje tzv. základní bezpečnost Implementace katalogových ochranných opatření
2) Neformální AR Využívá znalostí a zkušeností jednotlivců Rychlost a finanční nenáročnost
Podrobná analýza rizik – ad. 4) identifikace a ocenění aktiv nalezení zranitelných míst odhad pravděpodobnosti využití zranitelných míst výpočet očekávaných ztrát přehled použitých opatření a jejich nákladů odhad ročních úspor po zavedení vybraných opatření
Výpočet míry rizika - přístupy 3 faktory R=AxHxZ R – míra rizika, A – hodnota aktiva, H – pravděpodobnost hrozby, Z - zranitelnost
2 faktory R = PI x D R – míra rizika, PI – pravděpodobnost incidentu, D – dopad
2
Matice s předdefinovanými hodnotami
Odhad hodnoty četnosti a možné změny rizik Úrovně hrozby
Úroveň
Nízká
hrozby Úroveň zranitelnos ti 0 Hodnot a aktiv
Střední
Vysoká
V
N
S
V
N
S
V
Hodnota četnosti
0
1
2
1
2
3
2
3
4
S
V
N
S
V
N
S
V
1
2
1
2
3
2
3
4
1
1
2
3
2
3
4
3
4
5
2
2
3
4
3
4
5
4
5
6
Hodnota četnosti
3
3
4
5
4
5
6
5
6
7
4
4
5
6
5
6
7
6
7
8
0
1
2
3
Hodnota aktiv
T
1
T
2
T
3
T N
T
T
N
T
T
N
N
T
N
N
N
N
N
N
N
N
N
N
N
4
0
0
1
2
3
4
1
1
2
3
4
5
2
2
3
4
5
6
3
3
4
5
6
7
4
4
5
6
7
8
Aktivum 1
Aktivum 2
Aktivum 3
......
Hodnota dopadu
Pravděpo dobnost
Míra rizika
Zařazení hrozby
(aktiv)
výskytu hrozby
(d)
(e)
(b)
(c)
5
2
10
2
Hrozba B
2
4
8
3
Hrozba C
3
5
15
1
Hrozba D
1
3
3
5
Hrozba E
4
1
4
4
Hrozba F
2
4
8
3
Analýza rizik využívající matice aktiv, hrozeb a zranitelností (2) Popis aktiva
Aktivum Y
Aktivum 1
Aktivum 2
Aktivum 3
5
1
4
......
Aktivum Y
Hodnota 5
1
4
Ay
aktiva (A)
Pravděpod obnost
Ay
Pravděpod obnost Popis hrozby
hrozby (T)
Hrozba A
4
Hrozba B
2
Hrozba C
5
4
Hrozba D
1
5
3
2 3
Hrozba A
1
1 3
...... Hrozba X
3
Hrozba A
Hodnota aktiva (A)
2
Popis hrozby
4
Analýza rizik využívající matice aktiv, hrozeb a zranitelností (1) Popis aktiva
1
(a) T
4
0
Zařazení hrozeb podle míry rizika
Hodnot a četností 0
Vysoká
S
0
Hodnot a dopadu
Střední
N
N
Rozlišení mezi riziky, které je možné a které není možné tolerovat
Popis hrozby
Nízká
Úrovně zranitelnosti
hrozby (T) 4
60
Hrozba B
2
Hrozba C
5
100
Hrozba D
1
25
32 6
8
5 12
...... Tx
Vxy Hrozba X
Tx
Rxy = Tx . Ay . Vxy
3
Softwarové nástroje
CRAMM RA2 Art of Risk CORAS COBRA a další.
Fiktivní firma WEB-SHOP V kanceláři pracuje majitel firmy spolu se sekretářkou. Kancelář má dvě PC používající operační systém Microsoft Windows XP. Dále je v prostorech kanceláře umístěn server. Tento server je využíván pro provozování www stránek internetového obchodu. Server používá operační systém Microsoft Windows 2000 a databázi Microsoft Access. V budoucnu majitel přemýšlí o přemístění serveru do hostingového centra. Sekretářka kromě běžné agendy vyřizuje i telefonickou podporu zákazníkům. Výpočetní technika je spravována majitelem firmy.
Fiktivní firma WEB-SHOP Sklad má jedno PC, které se používá pro záznam položek na skladu a jejich umístění. Také se používá pro vyznačení objednávek, které mají být odeslány a pro zaznamenávání objednávek, které již byly odeslané. PC používá Microsoft Windows 98 jako operační systém a aplikace pro řízení zásob používá databázi Microsoft Access. Dvakrát denně (od pondělí do pátku) se synchronizují záznamy o zásobách a objednávkách se serverem v kanceláři. Přenos souborů a synchronizace je spouštěna z počítače ve skladu. Ve skladu pracují 2 pracovníci a každý z nich může provádět všechny potřebné skladové operace.
Fiktivní firma WEB-SHOP zabývá se internetovým prodejem blíže nespecifikovaného zboží. Firma má svou kancelář, odkud je řízena, a sklad prodávaného zboží, který se nachází v jiné lokalitě než kancelář.
Fiktivní firma WEB-SHOP Sklad udržuje dostatečnou zásobu nejlépe prodávaných položek, aby byly splněny požadavky zákazníků. Sklad je přijímacím bodem pro všechny dodavatele, ať se týká přímého dodání k zákazníkovi nebo dodání na sklad. Zboží přichází přes místní kurýrní společnost. Výjimečně mohou být jednotlivé kusy doručeny poštou. Všechny objednávky zákazníků jsou odesílány přímo zákazníkům poštou, s výjimkou určitých velkých nebo těžkých kusů, které jsou zasílány s využitím kurýrní společnosti.
Identifikovaná aktiva firmy WEB-SHOP Typ aktiv Informace
HW
Identifikovaná aktiva
Hodnota aktiva
Databáze zboží internetového obchodu
5
Databáze skladu
5
Server
4
PC
2
SW
Operační systémy
3
Databázové systémy
3
Služby
Připojení serveru
5
Připojení PC ve skladu
4
4
Analýza rizik využívající matice aktiv, hrozeb a zranitelností (1)
Identifikované hrozby a související zranitelnosti Identifikovaná hrozba
Pravděpodobnost hrozby
Příklad související zranitelnosti
Popis aktiva
Selhání hardware
3
Náchylnost zařízení na vlhkost, prach a ušpinění
Selhání software
3
Nejasné nebo neúplné specifikace pro vývojáře
Hodnota aktiva (A) Pravděpodobnost hrozby (T)
Databáze zboží internet ového obchodu
Data báze skladu
5
5
PC
Operační systé my
Data bázo vé systé my
Připoje ní serveru
Připojení PC ve skladu
4
2
3
3
5
4
2
2 2
2
2
2
5
4
Server
Zpronevěření aktiv
3
Nedostatek fyzické ochrany budov, dveří a oken
Popis hrozby
Povodeň
2
Umístění v místech náchylných k povodním
Selhání hardware
3
Selhání software
3
Zlomyslné kódy
5
Nedostatek aktualizací softwaru na ochranu před zlomyslnými kódy
Zpronevěření aktiv
3
1
3
Povodeň
2
Neúmyslná modifikace
1
1
5
Nedostatečný výcvik bezpečnosti
Zlomyslné kódy
5
Selhání komunikačních služeb
4
Nechráněná veřejná síťová připojení
Neúmyslná modifikace
5
Selhání komunikačních služeb
4
Analýza rizik využívající matice aktiv, hrozeb a zranitelností (2) Popis aktiva
Hodnota aktiva (A)
Popis hrozby
3
Selhání software
3
Zpronevěření aktiv
3
Povodeň
2
Zlomyslné kódy
5
Selhání komunikačních služeb
5
Data báze skladu
5
Server
4
PC
2
Operační systé my
3
Data bázo vé systé my
3
Připoje ní server u
5
5 4
24
Připojení PC ve skladu
4
Aktivum
12
18
8
4 30
50
64
Opatření
5
50
Pravidelné zálohování
5
125
6
4
24
3
4
12
Umístění v zamčeném prostoru, přístup pouze majitel firmy
Zranitelnosti
Databáze zboží internetového obchodu
5
Neúmyslná modifikace
Nedostatečný výcvik bezpečnosti
10
Databáze skladu
5
Neúmyslná modifikace
Nedostatečný výcvik bezpečnosti
25
Selhání hardware
Náchylnost zařízení na vlhkost, prach a ušpinění
Nedostatek fyzické Zpronevěření ochrany budov, dveří a aktiv oken
Server
5
…..
…..
30
100
Riziko
Hrozba
18
12 5
Pravděpodobnost incidentu
Hodnota
12 18
5
Analýza rizik vyhodnocující pravděpodobnost incidentu a jeho dopad
Pravděpodobnost hrozby (T)
Selhání hardware
Neúmyslná modifikace
Databáze zboží internet ového obchodu
2
Dopad
Povodeň
Umístění v místech náchylných k povodním
2
4
8
Umístění serveru v 2. patře
…..
…..
…..
…..
…..
…..
5
