[МУЗЫКА] Оценив уровень вероятности угрозы либо уровень возможности реализации угрозы, перейдём к оценке степени ущерба, наносимого той или иной угрозой безопасности информации. Для того чтобы оценить степень ущерба, мы определим воздействие на каждое из свойств безопасности информации (целостность, доступность или конфиденциальность) тоже на основе таблицы, приводимой в соответствующей методике. Для каждого из свойства (конфиденциальность, целостность и доступность) прежде всего следует определить, оказывает ли та или иная угроза воздействие на соответствующий аспект безопасности информации. Здесь надо отдельно обратить внимание, что согласно данной методике, если в информационной системе рассматривается несколько категорий информации, которую требуется защищать, например, персональные данные и коммерческая тайна, то для каждой из таких категорий информации воздействие той или иной угрозы должно рассматриваться отдельно. Отдельно стоит упомянуть, что данная методика не предполагает, что она будет применяться для систем, в которых обрабатывается информация, составляющая государственную тайну. Итак, для свойства конфиденциальности угроза считается не оказывающей воздействие, если в результате её реализации отсутствует возможность несанкционированного доступа, копирования, предоставления или распространения такой информации. И считается, что угроза оказывает воздействие на конфиденциальность, если подобная возможность существует, если в результате воздействия угрозы возможен несанкционированный доступ, копирование, предоставление или распространение информации. Для такого свойства как целостность тоже следует произвести оценку для каждого вида информации, который обрабатывается в информационной системе. Если в результате реализации угрозы возможность уничтожения или модифицирования информации не предаставляется возможной, то считается, что данная угроза не оказывает воздействия. Но в противном случае считается, что угроза воздействие оказывает. Наконец, для свойства доступности угроза считается не оказывающей воздействие на доступность информации, если в результате её реализации, то есть угрозы, возможность уничтожения или модификации информации отсутствует. В противном случае считается, что угроза воздействие на доступность информации оказывает. Определив таким образом для каждого из свойств безопасности информации, оказывает либо не оказывает воздействие данная угроза на эти свойства, мы оценим степень ущерба. Для тех угроз, которые оказывают воздействие на какое-либо из этих свойств, оценка степени ущерба определяется экспертным методом по следующей табличке. Здесь требуется также определить степень ущерба для каждого из отдельных видов информации, которая обрабатывается в системе. Угроза признаётся наносящей высокий ущерб, если в результате нарушения какого-либо из свойст безопасности информации могут наступить существенные негативные последствия либо если информационная система не сможет выполнять свои функции полностью. То есть одно из двух: либо существенные негативные последствия, которые могут иметь разный характер, оцениваются экспертно, часть из приведена в названной методике, методики оценки актуальных угроз безопасности информации. С ними можно ознакомиться. Либо могут быть добавлены какие-то новые последствия экспертным способом, то есть по мнению экспертов, возможно, исходя из специфики информационной системы. Главное, что угроза считается наносящей высокий ущерб, либо если наступает существенные негативные последствия, либо если система полностью выводится из строя, то есть не может свои функции выполнять. Степерь ущерба, наносимого угрозой, признаётся среденей, если в результате реализации угрозы возможны умеренные негативные последствия либо информационная система не может выполнять хотя бы одну из её основных функций. То есть в целом она функционирует, но какую-то, хотя бы одну из функций, полностью не может выполнять. Например, невозможно получать доступ к базам данных. Невозможно формировать отчёты, которые требуют доступ к этой базе данных. Все остальные можно, можно локально какие-то отчёты делать, а вот какой-то один вид отчётов получать не удаётся, потому что узел с базой данных, компьютер, на котором она запущена, выведен из строя. Это средняя степень ущерба. И, наконец, степень ущерба признаётся низкой, если возможные негативные последствия признаются незначительными либо если информационная система по-прежнему может выполнять свои функции либо с недостаточной эффективностью, либо с привлечением дополнительных сил и сред. Если совсем не требуется никакие силы привлекать либо если сложность функции не увеличивается, считается, что ущерб вовсе не наносится. А низкая степень соответствует тому, что продолжать выполнять свои функции информационная система может, хотя и с затруднениями. После того, как оценена степень ущерба данной конкретной угрозы для всех видов информации, обрабатываемой в информационной системе и для всех свойств безопасности информации (конфиденциальности, целостности и доступности). Для того чтобы получить итоговое значение данного ущерба, следует взять максимум по всем видам информации и по всем аспектам информационной безопасности (конфиденциальности, целостности и доступности). Это-то максимальное значение и будет использоваться в дальнейшем для оценки актуальности угрозы. Теперь, когда мы с вами вычислили и уровень возможности реализации угрозы либо уровень вероятности реализации угрозы, с одной стороны, и с другой стороны, степень ущерба, которую наносит та или иная угроза, всё готово для того, чтобы сделать окончательный вывод о том, является ли та или иная угроза актуальной, и мы это сделаем в следующей части лекции. [МУЗЫКА] [МУЗЫКА]
