Strona główna › Dokumenty › Szacowanie ryzyka

Szacowanie ryzyka dla bezpieczeństwa informacji niejawnych

Szacowanie ryzyka jest punktem wyjścia całej dokumentacji bezpieczeństwa. To na jego podstawie dobiera się zabezpieczenia opisane w SWB i procedury w PBE, a jego wyniki musi zaakceptować kierownik jednostki organizacyjnej.

Czym jest szacowanie ryzyka

W rozumieniu ustawy o ochronie informacji niejawnych szacowanie ryzyka to całościowy proces analizy i oceny ryzyka. Ryzyko jest kombinacją prawdopodobieństwa wystąpienia zdarzenia niepożądanego i jego konsekwencji dla informacji niejawnych. Ocenia się je w odniesieniu do trzech atrybutów bezpiecznej informacji:

• poufności - dostęp do informacji mają tylko osoby uprawnione,
• integralności - nikt nieuprawniony nie może niezauważenie zmienić informacji,
• dostępności - osoby upoważnione mają dostęp do informacji wtedy, gdy jest potrzebna.

Ryzyko, które pozostaje po wprowadzeniu zabezpieczeń, to ryzyko szczątkowe. Kierownik jednostki musi je znać i świadomie zaakceptować.

Dlaczego jest wymagane

• dokument SWB musi zawierać wyniki szacowania ryzyka; przebieg i wyniki mogą zostać przedstawione w osobnym dokumencie - raporcie, który dołącza się do SWB (art. 49 ust. 1),
• szacowanie ryzyka jest podstawą każdej zmiany w systemie teleinformatycznym (art. 49 ust. 4),
• kierownik jednostki organizacyjnej akceptuje wyniki szacowania ryzyka i odpowiada za organizację bezpieczeństwa teleinformatycznego (art. 49 ust. 7).

Etapy szacowania ryzyka

Zalecenia Departamentu Bezpieczeństwa Teleinformatycznego ABW dotyczące analizy oraz zarządzania ryzykiem, oparte na normach PN-ISO/IEC 27001 i PN-ISO/IEC 27005, wyróżniają następujące etapy:

1. Ustalenie granic i zakresu analizy - które elementy systemu i jego otoczenia obejmuje szacowanie.
2. Wybór metody analizy ryzyka - jakościowej, ilościowej lub łączonej, z gotowymi macierzami albo z użyciem programu narzędziowego.
3. Opis środowiska eksploatacji - lokalizacja, zabezpieczenia fizyczne, organizacyjne i techniczne.
4. Identyfikacja i wycena informacji oraz zasobów systemu - informacji, sprzętu, oprogramowania, usług i ludzi.
5. Identyfikacja zagrożeń i określenie ich poziomu.
6. Identyfikacja podatności - słabości, które zagrożenie może wykorzystać.
7. Oszacowanie ryzyka - dla poufności, integralności i dostępności.
8. Ocena ryzyka - porównanie z przyjętymi kryteriami i wskazanie ryzyk, które trzeba ograniczyć w pierwszej kolejności.
9. Dobór środków ochrony - fizycznych, technicznych i organizacyjnych, optymalnych także pod względem kosztów.
10. Akceptacja ryzyka szczątkowego przez kierownika jednostki organizacyjnej.

Nasza metodyka

Stosujemy jakościową metodę analizy ryzyka opartą na zasadach metody CRAMM: analizujemy zasoby, zagrożenia, podatności, prawdopodobieństwo i zabezpieczenia. Wielkość ryzyka wyznaczamy jako iloczyn wielkości straty i prawdopodobieństwa zdarzenia (R = S × P), a kryteria poziomów ryzyka dla poufności, integralności i dostępności przyjmujemy z zaleceń DBTI ABW.

Ryzyko szacujemy dwukrotnie: przed wprowadzeniem zaleceń - aby wskazać, co trzeba poprawić - i po ich wdrożeniu, aby wykazać, że pozostałe ryzyko jest na poziomie możliwym do zaakceptowania.

Co zawiera raport z szacowania ryzyka

• opis wybranej metody i kryteriów oceny ryzyka,
• opis środowiska systemu i zastosowanych zabezpieczeń,
• wykaz i wycenę zasobów oraz skutki możliwych incydentów bezpieczeństwa,
• zidentyfikowane zagrożenia, ich poziom i prawdopodobieństwo,
• oszacowanie i ocenę ryzyka osobno dla poufności, integralności i dostępności,
• wnioski i plan postępowania z ryzykiem,
• oszacowanie ryzyka po wdrożeniu zaleceń,
• akceptację ryzyk szczątkowych przez kierownika jednostki organizacyjnej.

Doświadczenie pokazuje, że najsłabszym ogniwem jest zwykle czynnik ludzki: błędy i pomyłki użytkowników i administratorów, zaniedbania czy nieuprawnione użycie nośników. Dlatego raport kończymy konkretnymi wnioskami dla jednostki - od zabezpieczeń fizycznych, przez konfigurację systemu, po szkolenia.

Zarządzanie ryzykiem w czasie eksploatacji

Szacowanie ryzyka nie kończy się wraz z akredytacją. Zgodnie z zaleceniami ABW utrzymanie założonego poziomu bezpieczeństwa wymaga:

• okresowych przeglądów ryzyka i oceny skuteczności zabezpieczeń - zalecamy nie rzadziej niż raz na 12 miesięcy,
• nadzoru nad zgodnością zabezpieczeń z dokumentem SWB,
• monitorowania bezpieczeństwa i informowania o pojawiających się nowych ryzykach,
• ponownego szacowania ryzyka przed każdą zmianą w systemie,
• regularnego uświadamiania i szkolenia użytkowników.

Szacowanie ryzyka przygotowujemy razem z SWB i PBE, zaczynając od audytu przetwarzania informacji niejawnych w Państwa jednostce. Przy przedłużaniu akredytacji aktualizujemy także szacowanie ryzyka, zgodnie z aktualnymi wytycznymi ABW.

Podstawa prawna: ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych (art. 49), rozporządzenie Prezesa Rady Ministrów z 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego; szczegółowe zalecenia DBTI ABW dotyczące analizy oraz zarządzania ryzykiem w systemach teleinformatycznych (wersja 2.0); normy PN-ISO/IEC 27001 i PN-ISO/IEC 27005. Informacje na tej stronie mają charakter ogólny.