СОИБ. Оценка рисков. База инцидентов ИБ

Недавно на incidents.su был опубликован отчет по инцидентам ИБ за 2011 год.

База инцидентов вышла на достаточно серьезный уровень в 850 инцидентов, который позволяет её использовать в некоторых задачах. Хочется надеется, что авторы ресурса incidents.su и приведенного отчета (кроме них в России базы инцидентов ведутся компаниями Infowatch и Group-IB) планируют использовать данную базу не только в своих целях, но и сделают достоянию общественности. 

Ведь любая занимающаяся анализом рисков нуждается в такой базе, для проведения точных расчетов.  Но пока нет базы, готовой к применению.

1.            Зачем такая база нужна организации проводящей анализ рисков ИБ?

Как правило, при оценке рисков выполняются следующие мероприятия:

·        составляется перечень оцениваемых активов (или типов активов)

·        составляется перечень возможных угроз

·        оценивается вероятность реализации угрозы

·        оценивается возможный ущерб от угрозы

·        оцениваются риски ИБ в соответствии с выбранной методологией

Специалист проводящий оценку рисков хочет увеличить объективность своей оценки опираясь на некую историческую статистику.

Для этого может использоваться база инцидентов по всему миру (как правило, объемная, широко охватывающая все возможные угрозы, но для России не совсем точная, в виду отставания в информатизации на 1-2 года), которая детализируется и уточняется статистикой инцидентов по России (пока охват невелик, ввиду закрытости инцидентов в России, но по тому что опубликовано, статистика более точная) и уточняется статистикой по инцидентам внутри самой организации (как правило в базе минимум инцидентов, но их достоверность самая высокая).

Приведу несколько пожеланий к авторам, ведущим базу incidents.su, а так-же ведущим других баз инцидентов ИБ.

2.            Нужно положение о применимости базы. В нем должно быть описано:

·        инциденты связанные с какими угрозами попадают в базу

·        инциденты связанные с какими угрозами не попадают в базу по причине отсутствия публикаций (например, инциденты по которым ущерб минимален)

·        инциденты связанные с какими угрозами не рассматриваются авторами, потому что им не интересны

·        рекомендации авторов по использованию базы, в которых описывается как эта база дополняет или заменяет другие базы – статистики в мире и статистике в организации.

3.            Какую информацию хотелось бы видеть в базе по каждому инциденту:

·        Дату инцидента (статистика по более свежим инцидентам более достоверна)

·        Источник информации об инциденте (пригодится для оценки достоверности информации)

·        Наименование организации в которой произошел инцидент

·        Отрасль организации в которой произошел инцидент (для оценки более достоверна будет выборка инцидентов по своей отрасли)

·        Качественная оценка размера организации по шкале “малый”, “средний”, “крупный” (некоторые инциденты характерны только для крупных организаций, другие наоборот для малых)

·        Текстовое описание инцидента

·        Описание угрозы реализацией которой связан инцидент.

(Нужно для определения вероятности определенной угрозы. Взяв количество инцидентов в год, связанных с определенным классом угроз – получим его вероятность.

Но для этого надо ввести базовую классификацию угроз.  Авторы incidents.su предложили следующие классы угроз: Утечки, DDoS, Взлом, Кража, Фишинг, Сбой, Другое.

Мне кажется данный вариант слишком простым. Надо использовать кукую-то методологию. Например, вариант от ФСТЭК:  угроза = источник угрозы + уязвимость + способ реализации угрозы + объект воздействия + тип несанкционированного воздействия

Способ реализации угрозы – можно как раз использовать классы предложенные авторами. Объект воздействия - тип актива. Тип несанкционированного воздействия – нарушение доступности, целосности, доступности и т.п.)

o   источник угрозы

o   уязвимость, которая использовалась для реализации угрозы

o   способ реализации угроз

o   объект воздействия

o   тип несанкционированного воздействия

·        Сумма ущерба связанного с инцидентом в рублях (нужно для определения степени опасности угроз)

·        Качественная оценка степени ущерба по шкале “низкий”, “средний”, “высокий” (там где не удается сразу оценить в деньгах)

·        Текстовое описание ущерба, на основе которого сделана оценка

В любом случае авторам incidents.su хочу сказать спасибо за начинание и прошу рассматривать данную заметку не как критику, а как возможно полезные предложения.


UPD: Если авторам incidents.su не хвататет ресурсов для реализации каких-то задач или для сбора информации об инцидентых из каких-то источников то было бы логично написать на сайте просьбу о помощи, которую могут оказать другие энтузиасты:

перечень разовых задач:
- написать движок для сохранения инцидентов в базу, для поиска информации по базе
- написать форму для сбора анонимной информции об инцидентах
- написать форму для проверенного сбора информации об инцидентах
перечень постоянных задачи:
- сбор и классификация инцидентов из таких то источников1
- сбор и классификация инцидентов из таких то источников2



Возможно кто-то обладает небольшиз запасом времени и готов помочь если это ему будет инетересно.