Ахборот хавф-хатарларини бошқариш ва тахлил қилишнинг метод ва воситалари. Quryozov Ravshanbek Baxtiyor o’g’li

Ахборот хавф-хатарларини бошқариш ва тахлил қилишнинг метод ва воситалари.
Quryozov Ravshanbek Baxtiyor o’g’li, Axborot xavfsizligi kafedrasi 703-21 guruh magistranti, E-mail: [e-mail],
Muhammad Al-Xorazmiy Toshkent axborot texnologiyalari unversitati


Umuman olganda, xavf deganda turli xil yo'qotishlarga olib keladigan biron bir noqulay hodisaning yuzaga kelish ehtimoli tushuniladi. ГОСТ Р 51897–2002 ga muvofiq “Xavflarni boshqarish. Shartlar va ta’riflar” va ISO 27001 “Axborot xavfsizligini boshqarish tizimi” xalqaro standarti – risklarni boshqarish jarayoni axborot xavfsizligi (IS) xavfi bilan bog‘liq holda tashkilotni boshqarish va nazorat qilish bo‘yicha muvofiqlashtirilgan harakatdir. Risklarni boshqarish xavflarni baholash, xavfni davolash, xavfni qabul qilish va xavf bilan bog'lanishni o'z ichiga oladi.
Kalit so'zlar: axborot xavfsizligi, axborot xavfsizligi auditi, axborot xavfsizligi risklari, axborot xavfsizligi, xavflarni boshqarish.

Xatarlarni baholash jarayonining maqsadi axborot tizimi (AT) va uning resurslari (aktivlari) bilan bog'liq xavflarning xususiyatlarini aniqlashdir. Qabul qilingan ma'lumotlarga asoslanib, kerakli himoya vositalarini tanlash mumkin. Xatarlarni baholashda ko'plab omillar hisobga olinadi: resurslarning qiymati, tahdidlar va zaifliklarning ahamiyatini baholash, mavjud va rejalashtirilgan himoya vositalarining samaradorligi va boshqalar.

Bazaviy xavfsizlik IS uchun majburiy minimal xavfsizlik darajasidir. Bir qator mamlakatlarda bu darajani aniqlash mezonlari mavjud. Misol tariqasida Buyuk Britaniya mezonlarini olaylik–CCTA Baseline Security Survey, ushbu mamlakatning davlat muassasalari uchun axborot xavfsizligi sohasidagi minimal talablarni belgilash. Germaniyada bu mezonlar BSI standartida belgilangan. Bir qator tashkilotlarning mezonlari mavjud - NASA, X / Open, ISACA va boshqalar. Mamlakatimizda bu Rossiya FSTEC talablariga muvofiq xavfsizlik klassi, ISO-15408 standartiga muvofiq ishlab chiqilgan himoya profili yoki boshqa talablar to'plami bo'lishi mumkin. Keyin xavfsizlikning asosiy darajasiga erishish mezoni berilgan talablar to'plamining bajarilishi hisoblanadi.

Asosiy (baseline) xavf tahlili - xavfsizlikning asosiy darajasi talablariga muvofiq amalga oshiriladigan xavf tahlili. Ushbu darajaga yo'naltirilgan qo'llaniladigan xavflarni tahlil qilish usullari odatda resurslarning qiymatini hisobga olmaydi va qarshi choralar samaradorligini baholamaydi. Ushbu sinfning usullari axborot tizimiga axborot xavfsizligi sohasida yuqori talablarga ega bo'lmagan hollarda qo'llaniladi.

To'liq (full) xavf tahlili - axborot xavfsizligi sohasida yuqori talablarni qo'yadigan axborot tizimlari uchun xavflarni tahlil qilish. U axborot resurslarining qiymatini aniqlash, tahdid va zaifliklarni baholash, tegishli qarshi choralarni tanlash va ularning samaradorligini baholashni o'z ichiga oladi.

Xatarlarni tahlil qilishda tahdid sodir bo'lgan taqdirda kutilayotgan zarar chora-tadbirlar va choralar ko'rish xarajatlari bilan taqqoslanadi, shundan so'ng baholangan xavf to'g'risida qaror qabul qilinadi.:
- masalan, tahdid ehtimolini yoki halokat koeffitsientini kamaytiradigan himoya vositalari va mexanizmlarini joriy etish tufayli kamayadi.;
- ta'sirlangan resursdan foydalanmaslik orqali yo'q qilinadi;
- o'tkazilgan, masalan, sug'urtalangan, buning natijasida xavfsizlikka tahdid yuzaga kelgan taqdirda, zararni resurs egasi emas, balki sug'urta kompaniyasi qoplaydi.;
- qabul qilingan.
Eng ko'p vaqt talab qiladigan jarayon bu xavfni baholash bo'lib, uni shartli ravishda quyidagi bosqichlarga bo'lish mumkin: xavfni aniqlash; xavf tahlili; xavf-xatarni baholash.
1-rasmda axborot xavfsizligi xavfini baholash jarayoni sxematik tarzda tasvirlangan.