Mavzu : Axborot xavfsizligi riskining modeli Ishdan maqsad

Mavzu : Axborot xavfsizligi riskining modeli
Ishdan maqsad: Korxonalarda sodir bo’lishi mumkin bo’lgan kiberxavfsizlik risklarni baholashga oid bilimlarga ega bo’lish.
Nazariy qism
Risklarni tahlil qilish, aktivlarning kritikligiga, ma’lum zaifliklarning va tashkilotga taalluqli bo’lgan oldingi insidentlarning tarqalganligiga bog’liq ravishda, turlicha detallashtirish darajasi bilan amalga oshirilishi mumkin. Risklarni tahlil qilish metodologiyasi vaziyatga bog’liq holda, sifatli yoki miqdoriy yoki ularning birikmasi bo’lishi mumkin. Amaliyotda ko’pincha, asosiy risklarni aniqlash va risk darajasi to’g’risida umumiy ma’lumotlar olish uchun sifat jihatdan baholashdan foydalaniladi. Keyinchalik, asosiy risklarni yanada spesifik yoki miqdor jihatdan tahlil qilish zarurati paydo bo’lishi mumkin, chunki odatda, miqdor jihatdan tahlil qilishga qaraganda sifat jihatdan tahlil qilishning bajarilishi murakkab hisoblanmaydi va kam xarajatli.
Tahlil qilish shakli kontekstni o’rnatishning bir qismi sifatida ishlab chiqilgan riskni baholash mezonlari bilan muvofiqlashtirilishi kerak. Keyin tahlil qilish metodologiyasining tafsilotlari tavsiflanadi:
a) riskni sifat jihatdan tahlil qilish. Sifat jihatdan tahlil qilishda potensial oqibatlar ko’lamini (masalan, « past», « o’rtacha» va «yuqori») va bu oqibatlar yuzaga kelishi ehtimolligini tavsiflash uchun malaka xossalari shkalasidan foydalaniladi. Sifat jihatdan tahlil qilishning afzalligi, unga aloqasi bo’lgan barcha xodimlarning uni tushunishining soddaligida, kamchiligi esa, shkalaning subyektiv tanlanishga bog’liqligi hisoblanadi.
Bunday shkalalar vaziyatni qanoatlantiradigan darajada moslashtirilishi yoki to’g’rilanishi, turli risklar uchun esa, turli O‘z DSt ISO/IEC 27005:2013 tavsiyalardan foydalanilishi mumkin. Sifat jihatdan tahlil qilishdan:
- birmuncha batafsil tahlil qilishni talab qiladigan risklarni aniqlash uchun tekshirish bo’yicha faoliyatni oldindan ko’rib chiqish sifatida;
- tahlil qilishning bu turi qaror qabul qilish uchun mos bo’lgan joyda;
- sonli ma’lumotlar yoki resurslar risklarni miqdor jihatdan tahlil qilish uchun adekvat bo’lmagan joyda foydalanilishi mumkin.
Sifat jihatdan tahlil qilishda riskni miqdor jihatdan tahlil qilish mumkin bo’lgan ma’lumotlardan va mavjud axborotdan foydalanilishi kerak;
b) riskni miqdor jihatdan tahlil qilish. Riskni miqdor jihatdan tahlil qilishda turli manbalardan olingan ma’lumotlarni qo’llagan holda, oqibatlarga va ehtimollikka tatbiqan, sonli qiymatlar bo’lgan shkaladan (sifat jihatdan tahlil qilishda foydalaniladigan ko’rgazmali shkalalar emas) foydalaniladi. Tahlil qilish sifati sonli qiymatlarning to’laligi va aniqligiga hamda foydalaniladigan modellarning asoslanganligiga bog’liq. Ko’pgina holatlarda, miqdor jihatdan tahlil qilishda o’tgan davr ichidagi insidentlar bo’yicha ma’lumotlardan foydalaniladi, uning afzalligi shundan iboratki, u axborot xavfsizligi va tashkilotning muammolari bilan to’g’ridan-to’g’ri bog’liq bo’lishi mumkin. Miqdor jihatdan tahlil qilishning kamchiligi yangi risklar yoki axborot xavfsizligi muammolari bo’yicha bunday ma’lumotlarni yetishmasligi hisoblanadi. Miqdor jihatdan tahlil qilishning kamchiliklari haqiqatda tekshiriladigan ma’lumotlardan foydalanib bo’lmaganda ko’rinadi, shuning uchun, riskni baholashning aniqligi va ahamiyatliligi illyuziyasi hosil bo’ladi. Oqibatlar va ehtimollikni ifodalash usuli va risk darajasi to’g’risidagi ma’lumotlarni ta’minlash uchun ularni birlashtirish usullari, risk turiga va riskni baholashning chiqish ma’lumotlaridan foydalaniladigan maqsadga muvofiq o’zgaradi. Oqibatlar va ehtimollikning noaniqligi va o’zgaruvchanligi tahlil qilishda hisobga olinishi va u haqda samarali tarzda xabar qilinishi zarur.
Aktivlarning baholanishi insident ssenariysining ta’sirini baholashning muhim omili hisoblanadi, chunki insident bitta aktivga (masalan, bog’liq aktivlar) yoki aktivning faqat bir qismiga ta’sir ko’rsatishi mumkin. Turli tahdidlar va zaifliklar aktivlarga turlicha ta’sir ko’rsatishi mumkin, masalan, konfidensiallikning, yaxlitlikning va foydalana olishlikning yo’qotilishi. Shu munosabat bilan, oqibatlarni baholash, aktivlar qiymatini aniqlash bilan bog’langan hisoblanadi yoki biznesga ko’rsatiladigan ta’sir tahlilidan kelib chiqib qilinadi. Oqibatlar yoki biznesga ta’sir ko’rsatish voqyea-hodisa yoki voqyea- hodisalar to’plami natijalarini modellash yoki o’tgan davr ichidagi ma’lumotlarni yoki eksperimental tadqiqotlarni ekstrapolyasiya qilish yo’li bilan aniqlanishi mumkin. Oqibatlar pul ifodasiga ega bo’lishi, texnik yoki odam bilan bog’liq ta’sir mezonlari orqali yoki tashkilot uchun ahamiyatli bo’lgan boshqa mezonlar orqali ifodalanishi mumkin. Alohida hollarda, turli vaqt, joylar, guruhlar yoki vaziyatlar bilan bog’liq bo’lgan oqibatlarni aniqlash uchun, raqamli qiymatdan ko’ra ko’proq narsa talab etiladi. Vaqt yoki mablag’lar bilan bog’liq oqibatlar, tahdidlar va zaifliklar ehtimolligiga nisbatan ishlatiladigan yondashuv vositasida o’lchanishi kerak. Sifat yoki miqdor yondashuvning izchilligi ta’minlanishi kerak.
Axborot tizimida foydalanuvchi shaxsi maskaradingi tahdidlariga va resurslarni suiiste’mol qilinishiga zaiflik bo’lishi mumkin. Foydalanuvchi shaxsi maskaradingi bilan bog’liq zaiflik, foydalanuvchilar autentifikasiya qilinmaganligi tufayli yuqori bo’lishi mumkin. Boshqa tomondan, resurslarni suiiste’mol qilish ehtimolligi foydalanuvchilar autentifikasiya qilinmaganligiga qaramay, past bo’lishi mumkin, chunki resurslarni suiiste’mol qilish usullari cheklangan. Aniqlik talab qilinishi–qilinmasligiga bog’liq holda, aktivlar guruhlanishi yoki aktivlarni elementlarga ajratish va ssenariylarni elementlar bilan bog’lash zarurati yuzaga kelishi mumkin. Masalan, geografik joylashishlar uchun ayni bir turdagi aktivlarga bo’ladigan tahdidlar xarakteri o’zgarishi yoki mavjud boshqarish vositalarining samaradorligi farqlanishi mumkin.
Topshiriq
Ixtiyoriy korxona misolida korxonaga bo’lishi mumkin bo’lgan tahdidlar va risklarni diagramma ko’rinishida o’rganish.