Учебное пособие для вузов. М.: Горячая линия-Телеком, 2013. 130 с.: ил. Серия «Вопросы управления информационной безопасностью. Выпуск 2»

ЕуаЫаНоп) [№№№.сей.ог§/ос1ауе], разработанная в университете Карне­ги-Мелон (США). Сущность метода заключается в том, что для оценки рисков ИБ соответствующим образом в три этапа проводятся внутрен­ние семинары (англ. м>огк$кор$). Оценке рисков ИБ предшествуют под­готовительные мероприятия: согласование графика семинаров, назначе­ние ролей, планирование, координация действий участников проектной группы. На первом этапе осуществляется разработка профилей (моде­лей) угроз ИБ, включающих в себя инвентаризацию и оценку ценности активов, идентификацию применимых требований законодательства и нормативной базы, идентификацию угроз ИБ и оценку их вероятности, а также определение системы организационных мер по ОИБ. На втором этапе производится технический анализ уязвимостей ИС организации в отношении рассматриваемых угроз ИБ с оценкой их величины. На третьем этапе производится оценка и обработка рисков ИБ, включаю­щая в себя определение величины и вероятности причинения ущерба в результате осуществления ранее идентифицированных угроз ИБ с ис­пользованием уязвимостей, определение стратегии ОИБ, а также выбор вариантов и принятие решений по обработке рисков ИБ. Величина рис­ка ИБ рассчитывается как усредненная величина годовых потерь орга­низации в результате реализации угроз ИБ.
В зависимости от используемого метода оценки рисков ИБ, угрозы ИБ и уязвимости могут идентифицироваться и, следовательно, оцени­ваться вместе или отдельно. Возможно использование обоих вариантов. Решение о выборе конкретного подхода следует принимать при выборе общего подхода к оценке рисков ИБ.
Рассмотрим указанные выше шаги анализа рисков ИБ более подробно.

1. 
   ПОДЭТАП 1 АНАЛИЗА РИСКОВ ИБ - ИДЕНТИФИКАЦИЯ
   

РИСКОВ ИБ
Целью идентификации рисков ИБ является определение того, что может случиться и повлечь за собой потенциальные потери, и попытка разобраться, как, где, когда и почему может возникнуть ущерб [35]. На этой стадии проводится выявление рисков ИБ, их идентификация и сравнение новых идентифицированных рисков ИБ с ранее выявленны­ми. Новый риск ИБ может повторять или расширять один из ранее вы­явленных. В таком случае следует не включать его в список рисков ИБ, а уточнить описание и оценки выявленного раньше риска ИБ.
Для идентификации рисков ИБ обычно используются четыре метода.
Исторический анализ - сравнение ситуации в области ОИБ в орга­низации с аналогичным анализом, выполненным ранее, поскольку часто прошлые проблемы остаются рисками ИБ и в новых условиях ведения бизнеса.
Аналитический метод, который включает моделирование, анализ по схеме «причина-результат», анализ таблиц истинности и т. д.