MEHARI 2007 Concepte Si Mecanisme

8/10/2019 MEHARI 2007 Concepte Si Mecanisme

1/55


2/55

Concepte !i mecanisme 2 10 februarie 2008

Recunoa!tere

CLUSIF dore!te s"mul#umeasc"membrilor echipei de lucru care au contribuit la crearea acestui document.

CLUSIF dore!te de asemenea s"mul#umeasc"dlui. Valentin P. M"z"reanu !i echipei sale (Alina Marin, Raluca Ungureanu)care au acceptat s" furnizeze aceast" traducere. Dl. Valentin P. M"z"reanu !i desf"!oar" activitatea n cadrul Facult"#ii deEconomie !i Administrarea Afacerilor, Universitatea Al.I.Cuza Ia!i !i este director general al Paideia Consulting Ia!i. Pentrumai multe informa#ii despre activitatea dlui. Valentin P. M"z"reanu v"invit"m s"accesa#i www.managementul-riscurilor.ro.

V"rug"m s"trimite#i ntreb"rile !i comentariile dumneavoastr"la adresa [email protected]


3/55


CuprinsCuprins...........................................................................................................................................................................................3 1 Introducere ......................................................... ............................................................... .......................................................... 42 Evaluarea mizelor de securitate !i clasificarea informa#iei !i a bunurilor ................................................................ ...................6

2.1 Introducere ................................................... ........................................................... ............................................................. 62.2 Definirea mizelor de securitate: scara de valori !i clasificarea defec#iunilor........................................................................7

3 Evaluarea st"rii serviciilor de securitate......................................................................................................................................93.1 Introducere ................................................... ........................................................... ............................................................. 9

3.2 Servicii de securitate .......................................................... ........................................................... .......................................93.3 Evaluarea calit"#ii serviciului de securitate .............................................................. .......................................................... 113.4 Procesul de recenzie a vulnerabilit"#ii................................................................................................................................14 3.5 Sumar al recenziei vulnerabilit"#ii......................................................................................................................................15

4 Analizarea situa#iilor de risc......................................................................................................................................................164.1 Introducere ................................................... ........................................................... ...........................................................164.2 Scenarii de risc ................................................................ ............................................................. ......................................164.3 Analiza unui scenariu de risc: privire general"asupra abord"rii globale........................................................................174.4 Utilizarea bazelor de cuno!tin#e MEHARI.........................................................................................................................334.5 Procesul analizei situa#iei de risc........................................................................................................................................334.6 Sumar al abord"rii analiza riscului.....................................................................................................................................35

5 Identificarea situa#iilor de risc...................................................................................................................................................365.1 Abordarea direct"care folose!te scara de valori a defec#iunilor ........................................................ ................................36

5.2 Identificarea sistematic"folosind baza de cuno!tin#e.........................................................................................................36 5.3 Cele dou"abord"ri sunt complementare ...................................................... .............................................................. ........376 Utilizarea modulelor Mehari ................................................................ .................................................................. ...................38

6.1 Planuri de securitate pe baz"de analiza riscului ............................................................. ...................................................386.2 Planuri de securitate pe baza unui audit ........................................................ .............................................................. .......456.3 Securitatea proiectelor de dezvoltare..................................................................................................................................48

7 Recenzia principalelor mbun"t"#iri n compara#ie cu versiunile anterioare ale mehari............................................................517.1 Crearea tabelului impactului intrinsec................................................................................................................................517.2 M"surile de conformare ISO 17799 dup"un audit MEHARI .............................................................. ..............................517.3 Amintirea mbun"t"#irilor anterioare ale lui MEHARI.......................................................................................................51


4/55


1 Introducere

Fiecare CISO (Chief Information Security Officer Ofi#er $ef pentru Securitatea Informa#ional") seconfrunt"atunci cnd accept"o nou"func#ie cu acelea!i dou"provoc"ri de baz", acestea fiind:

! Care este mandatul ct de cuprinz"toare este misiunea !i care sunt obiectivele?! Care ar trebui s"fie planul de atac ce metodologii !i unelte exist"care s"ntruneasc"scopurilemanagementului securit"#ii?

De!i este destul de u!or s"fii de acord cu mandatul, exist"multe posibilit"#i pentru a face fa#"celei de-adoua provoc"ri.

Majoritatea oamenilor sunt de acord c" securitatea sistemului informa#ional implic" minimizareariscurilor asociate cu sistemul informa#ional al ntreprinderii sau al organiza#iei. Totu!i, din cauz" c"minimizarea nu este u!or cuantificabil", unele persoane sugereaz"c"defini#ia ar fi mai bine formulat"

prin riscurile devin acceptabile.

Acest lucru, n sine, nu este nici el suficient, deoarece nu specific"clar ce este acceptabil sau inacceptabil.Din nou, majoritatea persoanelor au o idee despre cum s"judece ce este inacceptabil; iar un risc se poatespune c"este inacceptabil atunci cnd un bun foarte valoros sau critic este foarte vulnerabil.

Figura 1. Bunuri critice + Vulnerabilitate mare"Risc inacceptabil

Formularea inacceptabilit"#ii n acest mod simplu ne permite s" afirm"m c" scopul managementuluisecurit"#ii este de a preveni ca bunurile de valoare ale organiza#iei s"fie foarte vulnerabile.

%innd cont de acest lucru, putem s"ne uit"m acum la unele moduri pentru a g"si r"spunsuri posibile lace-a de-a doua provocare a unui CISO:

! ncepe#i cu cele mai valoroase bunuri, !i analiza#i, pentru fiecare din ele, modul n care ar putea fisupuse riscului. Apoi stabili#i m"suri preventive !i de protec#ie corespunz"toare ca rezultat laaceasta.

! ncepe#i cu o evaluare a vulnerabilit"#ii fiec"rui bun, !i apoi reduce#i vulnerabilitatea pn"cnd seajunge la un nivel acceptabil al riscului.

! Construi#i scenarii de risc care combin"valoarea bunurilor !i vulnerabilitatea lor. Apoi analiza#iriscurile !i decide#i ce ac#iuni trebuiesc realizate.

! Amesteca#i !i potrivi#i aceste trei abord"ri n func#ie de circumstan#e.

Bunuricritice

Riscinacceptabil

Vulnerabilitate mare


5/55


Este clar, deci, c"nu exist"o singur!metod"a managementului securit"#ii, ci un spectru de abord"ri carepot fi folosite n func#ie de modelul de afacere !i dimensiunea organiza#iei, de cultura de securitate aacesteia, de reguli de conducere, sau chiar de stilul personal de management !i de abordarea CISO.

De!i nu exist"o formul"magic"pentru a alege abordarea care trebuie folosit", toate abord"rile trebuie s"se foloseasc" de unelte de n"dejde. Valoarea real" a oric"rei metodologii este de a asigura un setconsistent !i complet de unelte, cu mijloacele de a te mi!ca flexibil ntre ele. n acest mod, profesioni!tii

n securitate sunt ajuta#i la implementarea sistemului lor de management al securit"#ii f"r"a li se impune oabordare sau un rezultat anume.

MEHARI a fost dezvoltat n aceast"idee. Reprezint"mai mult dect o metodologie. El este !i un set deunelte. n func#ie de nevoile !i circumstan#ele unei organiza#ii, el se asigur"c"se poate concepe o solu#ieadecvat"pentru managementul securit"#ii, indiferent de abordarea folosit".

Abord"rile diferite, !i utilizarea modulelor MEHARI, sunt ilustrate n diagrama de mai jos.

Figura 2. Utilizarea modulelor MEHARI pentru diferite abord"ri ale securit"#ii.

Vom ncepe prin descrierea diferitelor componente. Mai trziu, vom ar"ta cum poate fi folosit MEHARIn diferite circumstan#e. Acesta va fi prezentat ca un exerci#iu de nv"#are !i nu este n mod sigur f"cut

pentru a dicta singurul mod n care poate fi utilizat.

Analiza mizelor & a bunurilor - Clasificare

Auditul serviciilor de securitate

Identificarea riscurilor critice

Analiza situa#iilor de risc

Planuri deac#iune

bazate peanaliza

Managementul riscului

pe baz"deproiect

Planuri deac#iune bazate

pe analizariscului Planuri

Planuri deac#iune bazate

pe auditulvulnerabilit" ii


6/55


2 Evaluarea mizelor de securitate !i clasificarea informa"iei !i abunurilor

2.1 Introducere

n toate formele de management, !i decizii manageriale, trebuie f"cut"o evaluare a ceea ce se afl"n joc,!i care va fi impactul deciziei asupra bunurilor companiei. n managementul securit"#ii, exact asta esitua#ia, doar c" ntrebarea este pus" dintr-un unghi diferit. n loc s" caute s" maximizeze c!tigurile,scopul este s"minimizeze pierderile.

Miza managementului securit"#ii nu este s" caute oportunit"#i pentru profit, ci s" limiteze posibilitateapierderilor.

2.1.1 Scopurile unei evalu#ri a mizelor securit#"ii

O astfel de analiz"caut"s"g"seasc"r"spunsuri la ntrebarea dubl": Ce s-ar putea ntmpla !i, dac"s-arntmpla, ar fi grav?Acest lucru arat"c"n sectorul securit"#ii, mizele pot fi v"zute ca fiind consecin#ele evenimentelor care

perturb"opera#iunile planificate ale unei ntreprinderi sau organiza#ii.

2.1.2 De ce !i cnd ar trebui f#cut#o evaluare?

ntrebarea de baz": Ce s-ar putea ntmpla !i, dac"s-ar ntmpla, ar fi grav? este ntrebarea care estepus"de fiecare dat"cnd reflect"m asupra modului n care ar trebui s"desf"!ur"m opera#iunile. Asta se

poate ntmpla atunci cnd se ncepe un nou proiect IT, n timpul unei recenzii a unei strategii, sau cndeste creat un plan de securitate.

ntrebarea ce s-ar putea ntmpla este una bun"care d"dovad"de bun sim#!i pruden#". Reflectarea la ctde grave ar putea fi efectele, izvor"!te din nevoia de a aloca mai mult timp !i aten#ie evenimentelor maigrave. Motivele din spatele acestui fapt sunt att de natur"economic"ct !i cultural":

! Bugetele sunt ntotdeauna limitate, !i de aceea este normal s"d"m prioritate protec#iei mpotrivaevenimentelor grave.

! Securitatea aduce deseori constrngeri. Este mai u!or s"le accep#i atunci cnd miza este mare.

Dac"suntem de acord c"m"surile de securitate ar trebui s"fie n concordan#"cu nivelul de gravitate al

poten#ialelor defec#iuni, atunci exist"mai multe moduri de a continua:! Analize tipice pentru fiecare defec#iune, nso#ite de alegerea solu#iilor corespunz"toare,! Abord"ri mai sistematice cu solu#ii generice folosite mpotriva defec#iunilor tipice !i praguri de

gravitate pentru defec#iuni. Aceast"a doua abordare conduce la no#iunea de clasificare, care vafi discutat"mai trziu.

Oricare abordare ar fi aleas", primul pas l reprezint"identificarea poten#ialelor defec#iuni !i a gravit"#iilor.

Atunci cnd se face acest lucru, este preferabil s"se fac"sistematic, !i nu degajat, astfel nct resurselenecesare s"poat"fi dedicate !i coordonate corespunz"tor.


7/55


2.2 Definirea mizelor de securitate: scara de valori!i clasificareadefec"iunilor

Analiza mizelor de securitate cuprinde:! Identificarea defec#iunilor suspectate,!

evaluare a gravit"#ii acestor defec#iuni, sub forma unei sc"ri de valori a defec#iunilor,! Clasificarea bunurilor1 folosind cele trei criterii de baz" (Disponibilitate, Integritate,

Confiden#ialitate). Pot fi completate tabelele folosite pentru analiza riscului.

Scara de valori a defec#iunilor !i clasificarea informa#iilor !i a bunurilor sunt dou"modalit"#i separate dea exprima mizele de securitate.

Prima este mai detaliat"!i ofer"mai multe informa#ii managerilor de securitate. Cea de-a doua este maiglobal", !i mai util"n comunicarea nivelului de sensibilitate, dar mai pu#in precis".

2.2.1 Scara de valori a defec"iunilor

Identificarea defec#iunilor sau a poten#ialelor evenimente este un proces care ncepe cu activit"#ilentreprinderii !i este format"din identificarea posibilelor defec#iuni n procesele opera#ionale. Va rezultan:

! descriere a posibilelor tipuri de defec#iuni,! defini#ie a parametrilor care influen#eaz"gravitatea fiec"rei defec#iuni,! evaluare a pragurilor critice ale acestor parametri care modific"nivelul de gravitate al defec#iunii.

Acest set de rezultate formeaz"o scar"de valori pentru defec#iuni, numit"n MEHARI scara de valori adefec#iunilor.

2.2.2 Clasificarea informa"iilor !i a bunurilor

Se obi!nuie!te, n securitatea sistemelor IT, s" se vorbeasc" despre clasificarea informa#iilor !i despreclasificarea bunurilor.

O astfel de clasificare const" n definirea, pentru fiecare tip de informa#ie !i pentru fiecare bun IT, !ipentru fiecare criteriu de clasificare (clasic: Disponibilitate, Integritate, !i Confiden#ialitate), a

indicatorilor reprezentativi ai gravit"#ii n eventualitatea c"acest criteriu se pierde sau este redus pentruacest bun. Astfel:

! Clasificarea confiden#ialit"#ii pentru o informa#ie reprezint" gravitatea dezv"luirii acesteia uneipersoane neautorizate

! Clasificarea integrit"#ii pentru o informa#ie reprezint" gravitatea modific"rii sale ilicite sauneautorizate

! Clasificarea integrit"#ii software-ului reprezint"gravitatea modific"rii sale ilicite sau neautorizate! Clasificarea disponibilit"#ii pentru o informa#ie reprezint" gravitatea ca aceasta s" nu fie

disponibil"atunci cnd este necesar"pentru a fi procesat"! Clasificarea disponibilit"#ii pentru un server reprezint"gravitatea ca acesta s"nu fie disponibil

atunci cnd este necesar pentru a rula un proces

1Se disting de obicei bunurile primare (activit"#ile de afaceri !i informa#iile legate de acestea) !i bunurileauxiliare.


8/55


! Etc.

Clasificarea informa#iilor !i a bunurilor auxiliare reprezint" scara de valori a defec#iunilor definit"maidevreme transpus"n indicatori de sensibilitate asocia#i cu bunurile IT.

2.2.3 Procesul pentru analizarea mizelor de securitate

Procesul pentru crearea sc"rii de valori a defec#iunilor !i a clasific"rii bunurilor sistemelor informa#ionalesunt descrise n: Analiza MEHARI a mizelor !i Ghidul de Clasificare.


9/55


3 Evaluarea st#rii serviciilor de securitate

3.1 Introducere

Fiecare manager de securitate, din orice organiza#ie, trebuie, la un moment dat, s" ia n considerarevulnerabilitatea curent"a organiza#iei, cnd se confrunt"cu diferite posibile riscuri, precum accidente,erori umane, sau acte inten#ionate.

Vulnerabilitatea este definit" n dic#ionar ca reprezentnd expunerea la pericol. Vulnerabilitatea unuisistem informa#ional reprezint" totalitatea punctelor sale slabe prin care un accident, eroare sau actinten#ionat ar putea d"una organiza#iei.

n practic", m"surile de securitate, inclusiv controlul evenimentelor sau al ac#iunilor umane, etc. limiteaz"nivelul de vulnerabilitate.

n aceast"m"sur", analiza vulnerabilit"#ii necesit"evaluarea st"rii securit"#ii.

MEHARI consider" c" securitatea este implementat" prin servicii de securitate. O analiz" avulnerabilit"#ii necesit"astfel o recenzie a calit"#ii acelor servicii de securitate. Pe scurt, aceast"recenziese va numi Recenzie a Vulnerabilit"#ii, sau Auditul de Securitate.

Un audit de securitate pentru a analiza securitatea existent"poate reprezenta baza, sau o parte integrant",a unui num"r de abord"ri pentru managementul securit"#ii. Oricare ar fi abordarea pentrumanagementul securit!"ii, o evaluare a calit!"ii serviciilor de securitate este considerat!deseori cafiind indispensabil!.

Exist"mai multe motive pentru asta:! n primul rnd, este ntotdeauna mai bine s"#i cuno!ti punctele slabe. Chiar dac", n! configura#ia actual" a sistemului informa#ional, un punct slab poate fi considerat acceptabil

deoarece nu ar rezulta nici o consecin#"grav", este mai bine s"fie consemnat pentru ca s"fie luatn considerare n orice evolu#ie a sistemului, a mediului s"u, sau n poten#ialele atacuri noi.

! n al doilea rnd, pentru mul#i utilizatori, un punct slab care este l"sat n acea stare este consideratca fiind o demonstra#ie c"managementul de top nu acord"o prea mare importan#"securit"#ii dinorganiza#ie. Cu ct este mai important !i mai vizibil punctul slab, cu att mai negativ" va fi

percep#ia asupra securit"#ii.! n ultimul rnd, orice atac care reu!e!te s"exploateze un punct slab va face ntotdeauna o impresie

negativ"dac"se vorbe!te despre el, oricare ar fi consecin#ele reale (a reu!i accesarea unui sistemcare apar#ine serviciilor militare de informa#ii !i apoi s" se vorbeasc" despre asta, va aveantotdeauna un impact asupra mediei, chiar dac"sistemul nu era sensibil).

3.2 Servicii de securitate

3.2.1 Defini"ie

Un serviciu de securitate reprezint"un r"spuns la o nevoie de securitate, exprimat"n termeni generici !ifunc#ionali care descriu ce ar trebui s" fac" serviciul, !i care se refer" n general la anumite tipuri deamenin#are.


10/55


Un serviciu de securitate descrie o func#ie de securitate.

Aceast" func#ie este independent" fa#" de mecanismele sau solu#iile reale care asigur" implementareaeficient"a serviciului.

De exemplu: serviciul de control al accesului este proiectat (dup" cum sugereaz" !i numele s"u) s"controleze accesul utilizatorilor, sau s"acorde accesul doar utilizatorilor autoriza#i.

3.2.2 Serviciile !i sub-serviciile de securitate

Serviciile de securitate ofer" func#ii care pot, ele nsele, s" necesite servicii complementare, sau sub-servicii, dup" cum vor fi numite. n exemplul anterior, controlul accesului necesit" identificarea

persoanelor autorizate s"acceseze anumite bunuri, ceea ce necesit"un serviciu de autorizare care s"!tiecine este utilizatorul, ceea ce necesit"un serviciu de autentificare care s"filtreze accesul, care necesit"unserviciu de filtrare, !i a!a mai departe.

Un serviciu de securitate poate, astfel, s" fie compus dintr-o serie de sub-servicii care sunt combinate

pentru a r"spunde unei anumite nevoi. Fiecare component!este, n terminologia MEHARI, un sub-serviciu al serviciului de securitate principal. Fiecare sub-serviciu !i men#ine propriile salecaracteristici pentru propriile sale func#ii specifice.

3.2.3 Mecanisme !i solu"ii de securitate

Un Mecanism reprezint" un mod specific de asigurare a func#iei unui serviciu sau sub-serviciu (fietotal sau par#ial). Acesta poate lua forma, de exemplu, unei proceduri, unui algoritm, sau a unei tehnologiianume.

Pentru sub-serviciul de autentificare, men#ionat mai sus, mecanismele posibile pentru autentificarea nsistemele informa#ionale o reprezint"parolele, token-urile, procese !i algoritmi pe baz"de smart card,sisteme biometrice, !i a!a mai departe.

Pentru un sub-serviciu dat sunt posibile de obicei mai multe mecanisme. Selec #ia acestora poate deseoriavea un efect direct asupra calit"#ii sub-serviciului n discu#ie.

O solu"ie de securitate reprezint" implementarea real" a unui mecanism !i include componentele dehardware !i/sau software necesare pentru desf"!urarea sa, procedurile de instalare, !i suportul opera#ional,

precum !i structurile organiza#ionale necesare pentru utilizarea sa corect".

3.2.4 Tipuri de servicii de securitate

Unele servicii pot fi considerate a fi m"suri generale, n timp ce altele sunt tehnice.! M"surile generale reprezint"m"surile de securitate care sunt considerate a fi n general utile, sau

chiar necesare, pentru securitatea sistemului informa#ional. Totu!i, efectul lor poate fi observat lanivelul organiza#iei, opera#iunii de securitate sau al con!tientiz"rii, dar f"r" o influen#" direct"asupra situa#iilor de risc specifice.

! M"surile tehnice au un rol specific, un obiectiv direct !i un efect imediat n anumite situa#ii de risccare pot fi definite.


11/55


3.2.5 Baza de cuno!tin"e a serviciilor de securitate

MEHARI cuprinde o baz"de cuno!tin#e a serviciilor !i sub-serviciilor de securitate. Aceasta combin"maimult de 200 de sub-servicii aplicabile n securitatea sistemelor informa#ionale. Acestea sunt serviciile carevor fi auditate.

3.3 Evaluarea calit#"ii serviciului de securitate

Serviciile de securitate pot varia n performan#"; acestea vor fi mai mult sau mai pu#in eficiente nactivitatea lor, !i mai mult sau mai pu#in robuste n capacitatea lor de a rezista atacurilor directe, n func#iede mecanismele !i procesele folosite.

3.3.1 Parametri obligatorii

Pentru a m"sura performan#a serviciului, trebuie lua#i n considerare mai mul#i parametri:- Eficien#a,- Robuste#ea,- Permanen#a.

3.3.1.1 Eficien"a serviciului de securitate

Pentru serviciile de natur" tehnic", eficien#a reprezint" o m"sur" a capacit"#ii lor de a asigura eficientfunc#ia necesar" atunci cnd se confrunt" cu utilizatori mai mult sau mai pu#in competen#i sau cucircumstan#e mai mult sau mai pu#in neobi!nuite.

S" lu"m, drept exemplu, sub-serviciul Managementul autoriz"rii accesului la sistemul informa#ional,care implic"atribuirea drepturilor de acces utilizatorilor. Func#ia acestui serviciu este de a se asigura c"doar acele persoane care au autoriza#ia managementului lor primesc efectiv accesul corespunz"tor lasistemul informa#ional.

n practic", eficien#a unui serviciu depinde de stricte#ea controalelor asupra autenticit"#ii cererii deautorizare, !i de corelarea rela#iei ierarhice dintre solicitant !i utilizator. Dac"nu se solicit"dect o simpl"coresponden#", f"r"semn"tur"sau certificat, oricine cunoa!te pu#in procesul de autorizare ar putea s"!ialoce necorespunz"tor drepturi de acces, iar calitatea sub-serviciului ar fi considerat"ca fiind slab".

Eficien#a unui serviciu care administreaz"ac#iunile umane reprezint"astfel m"sura competen#ei necesarepentru a permite unui utilizator s"treac"de verific"rile existente, sau chiar s"le abuzeze.

Pentru serviciile care vizeaz"evenimente naturale (precum detectarea incendiilor, stingerea incendiilor, !ia!a mai departe), eficien#a lor corespunde capacit"#ii lor de a se aplica unor evenimente mai mult sau mai

pu#in excep#ionale sau obi!nuite.

Dac"este vorba, de exemplu, despre un baraj care trebuie s" mpiedice un ru s" se reverse din cauzaploilor abundente, eficien#a este direct legat"de nivelul apei (puterea inunda#iei) c"reia i se mpotrive!te.n practic!, puterea va fi m!surat! deseori ca o func"ie a caracterului mai mult sau mai pu"in

excep"ional al evenimentului.Serviciile care ofer"m"suri generale nu pot, n principiu, s"fie evaluate ca func#ie a efectului lor direct, cidoar prin rolul lor indirect.


12/55


Eficien#a m"surilor generale corespunde capacit"#ii lor de a crea planuri de ac#iune sau modific"ricomportamentale semnificative.

3.3.1.2 Robuste"ea serviciului de securitate

Robuste#ea unui serviciu de securitate m"soar"capacitatea acestuia de a se opune unei ac#iuni care este

menit"s"treac"de serviciu, sau s"i restric#ioneze eficien#a.

Robuste#ea prive!te doar acele servicii care sunt considerate ca fiind tehnice.

n exemplul precedent (managementul autoriz"rii accesului), robuste#ea sub-serviciului depinde maiales de ct de u!or este s"modifici direct tabelul drepturilor de acces ale utilizatorului, care ar permiteastfel cuiva s"!i atribuie drepturi de acces f"r"a mai trebui s"urmeze procesele normale de control.

Atunci cnd avem de-a face cu servicii pentru administrarea accidentelor sau a evenimentelor naturale(precum detectarea incendiilor, stingerea automat" a incendiilor, !i a!a mai departe), robuste#ea lor vaacoperi !i capacitatea lor de a evita s"fie scurt-circuitate sau evitate (fie accidental, sau inten#ionat).

3.3.1.3 Permanen"a serviciului de securitate

Calitatea global"a unui serviciu de securitate necesit"ca serviciul s"fie garantat n timp.

Pentru aceasta, orice distrugere a serviciului de securitate sau orice schimbare n parametri care poateinterac#iona cu eficien#a sau robuste#ea sa trebuie detectat"!i luate m"suri de remediere.

Permanen#a depinde, astfel, de viteza de detectare !i de capacitatea de a reac#iona.

Permanen#a m"surilor generale reprezint"capacitatea acestora de a fi evaluate n func#ie de implementaresau eficien#"!i necesit"de asemenea ca indicatorii !i procedurile de control s"func#ioneze eficient.

3.3.2 Defini"ia nivelurilor de calitate pentru serviciile de securitate

Calitatea unui serviciu de securitate evalueaz"eficien#a acestuia, robuste#ea lui, !i permanen#a. Global, deaceea, calitatea unui serviciu de securitate include capacitatea sa de a rezista unui atac prin ap"rarea sa de!i nici un castel nu poate fi considerat ca fiind complet ap"rat.

Calitatea serviciului de securitate se noteaz"pe o scar"ntre 1 !i 4. Aceast"scar"reflect"competen#a sauhot"rrea necesar"pentru a trece de sistemele ap"rare, pentru a le scurt-circuita, sau pentru a mpiedicasau a face inutil"detectarea neutraliz"rii serviciului.

De!i aceast"scar"de valori permite valori decimale, este util s"se dea informa#ii despre valorile ntregipentru un serviciu de securitate.

Calitatea serviciului de securitate evaluat!ca fiind de nivelul 1:

Acest serviciu are un nivel minim. Ar putea fi complet ineficient (sau s"nu opun"rezisten#") atunci cndse confrunt" cu un utilizator obi!nuit, f"r" nici un fel de calificare deosebit", sau slab educat, deasemenea, n domeniul evenimentelor naturale, este posibil s"nu fie de folos n problemele de zi cu zi.Pentru m"surile generale, vor avea un efect mic sau nici unul asupra comportamentului sau eficien #eiorganiza#iei.


13/55



Serviciul este de obicei eficient !i continu" s" opun" rezisten#" n fa#a hacker-ului obi!nuit sau pu#incompetent. Totu!i, nu este cu siguran#"suficient atunci cnd se confrunt"cu un profesionist cu experien#"n acel domeniu (acesta ar putea fi un profesionist IT, un ho# bine echipat, sau un expert n spargeri

fizice). n ceea ce prive!te evenimentele naturale, serviciul va fi rareori suficient pentru a acoperievenimentele grave de!i acestea se ntmpl" rar. Pentru m"suri generale, un serviciu la acest nivel armbun"t"#i doar situa#iile de zi cu zi.


Serviciul este mai eficient !i rezist"n fa#a atacurilor !i a evenimentelor descrise mai sus, dar ar putea fiinsuficient contra atacurilor specializate (hackeri bine echipa#i !i cu experien#", ingineri de sistemspecializa#i, mai ales dac" ace!tia au unelte sau experien#" n domeniu, spioni profesioni!ti, !i a!a maideparte), sau contra dezastrelor naturale cu adev"rat excep#ionale. Pentru m"suri generale, un serviciu laacest nivel ar avea un oarecare efect asupra unui num"r mare de circumstan#e, totu!i, nu ar oferi cu

siguran#"nici o garan#ie pentru probleme sau atacuri grave.


Acesta este cel mai nalt nivel, !i serviciul de securitate va r"mne activ !i eficient n fa#a tuturorevenimentelor !i agresiunilor descrise mai sus. Ar putea totu!i s"fie dep"!it n circumstan#e excep#ionale:cei mai buni sp"rg"tori de coduri din lume cu cele mai bune unelte de spart coduri din lume (ceea ce este

posibil dac"unele #"ri vor ca acest lucru s"se ntmple) sau o combina#ie excep#ional"de circumstan#eexcep#ionale.

Procesul folosit de MEHARI pentru a evalua calitatea serviciului de securitate a fost construit pentru aoferi evalu"ri de calitate care s"corespund"cu defini#iile de mai sus.

3.3.3 Chestionarele MEHARI pentru evaluarea serviciilor de securitate

Setul de metodologie MEHARI , pe lng" metoda n sine, include !i baze de cuno!tin#e. Una dintreaceste baze este o baz"de audit pentru servicii de securitate. Ea este sub form"de chestionare, cu unsistem de evaluare aplicat pentru r"spunsuri.

Structura detaliat"a chestionarelor !i sistemul de evaluare sunt descrise n Ghidul MEHARI de evaluare

pentru servicii de securitate.

3.3.4 Evaluarea direct#a calit#"ii serviciilor de securitate

MEHARI ofer" de asemenea, pentru acele servicii de securitate definite n baza de cuno!tin#e, unManual de Referin"e pentru Serviciile de Securitate, care descrie fiecare serviciu, func#ia sa,mecanismele !i posibilele solu#ii, precum !i acele criterii care ar putea fi folosite pentru a m"sura calitateaserviciului.

Astfel, este posibil s" se evalueze direct calitatea serviciilor de securitate folosind defini#iile pentru

calitatea serviciilor !i indica#iile oferite n manualul men#ionat mai sus.


14/55


3.4 Procesul de recenzie a vulnerabilit#"ii

Serviciile de securitate, a!a cum sunt ele definite n MEHARI, sunt func#ii de securitate iar aceste func#iisunt implementate prin solu#ii de securitate care sunt, sau vor fi, instalate n organiza#ie.

n practic!, evaluarea vulnerabilit!"ii const! n analizarea sau auditul acelor solu"ii care au fostimplementate pentru a asigura func"iile de securitate.

Totu!i, exist" n general un num"r de diferite solu#ii n cadrul unei organiza#ii date pentru a asiguraaceea!i func#ie de securitate.

De exemplu, controlul accesului fizic n incint" este oferit desigur de diferite mecanisme !i solu#ii precum pentru accesul la camerele cu computere, sau alte centre tehnice, precum instala#iile PABX,camerele de conferin#", !i instala#iile electrice importante.

Este de asemenea posibil ca controlul accesului logic la diferite sisteme (mainframe-uri, UNIX, NT, !i a!amai departe) s"poat"fi administrat n mai multe moduri n func#ie de sistem.

nainte ca m"car s"ne gndim la un proces de analiz"!i evaluare a serviciilor de securitate, este necesar,mai nti, s"se identifice acele solu#ii care trebuie analizate !i auditate.

n MEHARI acesta este motivul pentru ceea ce se nume!te planul de audit sau schema de audit.

3.4.1 Schema de audit

n mod ideal, fiecare serviciu de securitate ar trebui s" fie examinat, !i toate aceste solu#ii care ofer"aceste servicii n organiza#ie ar trebui identificate, astfel nct s"poat"fi auditate individual.

Acest lucru ar conduce probabil la o cantitate mare de munc"pentru un rezultat al c"rui nivel al detaliilorar fi foarte excesiv.

n mod eficient, deseori o singur" echip" sau serviciu selecteaz" diferitele solu#ii care pot fi folosite.Alegerile sunt deseori luate pe baza constrngerilor practice !i nu pe baza viziunilor diferite ale cerin#elorde securitate. Diferitele solu#ii de securitate pot folosi mecanisme diferite n timp ce r"mn consecvente nceea ce prive!te securitatea.

Pe aceast"baz",MEHARI sugereaz!crearea unei scheme de audit care s!fac!distinc"ie ntre varia"iilecare vor fi analizate la nivel tehnic, coinciznd cu domeniile de responsabilitate.

Se poate hot"r c" este cel mai bine s" se analizeze securitatea fizic" a birourilor de management,camerele sistemelor informa#ionale, !i alte zone separate una de cealalt". Procesul detaliat pentruconstruirea unei scheme de audit este descris n detaliu n Ghidul MEHARI de evaluare pentru serviciilede securitate.Aceast"abordare poate p"rea c"simplific"prea mult necesitatea de a analiza fiecare varia#ie la nivel desub-serviciu, dar experien#a a dovedit c", n afara cazurilor excep#ionale, este bine adaptat"la o analiz"global"a vulnerabilit"#ii !i a riscului.

3.4.2 Procesul propriu-zis de recenzie a vulnerabilit#"ii

Odat"ce a fost definit"schema de audit, !i varia#iile utile au fost identificate, tot ce mai r"mne de f"cuteste s" se evalueze starea serviciilor de securitate corespunz"toare. Acest lucru poate fi f"cut princhestionarele MEHARI pentru audit (unele dintre care e posibil s" trebuiasc" multiplicate), sau prinanaliz" direct" dup" cum a fost explicat mai devreme. Procesul va rezulta ntr-o declara#ie a calit"#ii


15/55


serviciilor de securitate. Pentru o descriere mai detaliat", vezi Ghidul MEHARI de evaluare pentruserviciile de securitate.

3.5 Sumar al recenziei vulnerabilit#"ii

n sumar, recenzia vulnerabilit"#ii rezult"n urm"toarele elemente livrabile:! schem" de audit care face distinc#ia ntre diferite domenii de solu#ii care trebuiesc analizate

separat.! evaluare, pentru fiecare domeniu, a serviciilor de securitate. Aceasta va lua n considerare

eficien#a fiec"rui serviciu, robuste#ea sa, !i permanen#a sa. Aceast" evaluare este realizat" fiedirect, sau folosind chestionarele MEHARI.

! Un sumar al vulnerabilit"#ilor.


16/55


4 Analizarea situa"iilor de risc

4.1 Introducere

Aproape fiecare document care prive!te securitatea trateaz"managementul riscului sau analiza riscului.Totu!i, conceptul privind ceea ce constituie un risc nu este neap"rat clar sau universal n#eles.

Este incendiul un risc?Este neplata unei facturi sau un client insolvent un risc?Este def"imarea de c"tre competitor un risc?Descrie riscul o situa#ie, o serie de evenimente, sau o m"sur"a pericolului?Att de multe ntreb"ri, la care nu se poate r"spunde pe deplin n acest document!

Aceast"sec#iune va aborda concepte mai clare care sunt mai u!or de n#eles:! Scenarii de risc sau situa#ii de risc! Evaluarea nivelurilor de risc, sau pe scurt evaluarea riscului.

Un scenariu de risc reprezint!descrierea unei defec"iuni #i modul n care defec"iunea poate avea loc.Defec"iunea reprezint! daunele poten"iale, sau deteriorarea direct! cauzat! de defec"iune, #i oriceconsecin"e indirecte. Este neobi#nuit s! vorbim despre o situa"ie de risc, acolo unde se n"elege c!organiza"ia este poten"ial expus!la un astfel de scenariu.

O situa#ie de risc este deseori identificat" ca rezultat al unei analize a mizelor. Totu!i ar putea deasemenea s"fie identificat"la nivelul unui proiect, sau detectat"prin c"utare sistematic". MEHARI ajut"n aceste domenii prin oferirea unei baze de cuno!tin#e cu scenarii de risc.

Aceast" sec#iune presupune c" situa#ia/situa#iile de risc au fost identificate. Metoda structurat" pentru

identificarea situa#iilor de risc va fi abordat"n capitolul 5 al acestui document.Evaluarea nivelurilor de risc caut! s!cuantifice no"iunea de pericol.Metoda de evaluare folosit"dec"tre MEHARI va fi descris"n acest Capitol.

4.2 Scenarii de risc

Mai devreme n acest document, s-a explicat c" analiza mizelor necesit" identificarea poten#ialelordefec#iuni !i o evaluare a gravit"#ii lor.

Descrierea defec#iunii eviden#iaz" doar tipul de consecin#" poten#ial" !i poate degradarea ini#ial" aprocesului. Pentru a descrie mai bine !i a analiza ntreg scenariul de risc, este necesar s"definim cauzele!i originea riscului, sau circumstan#ele din care se na!te scenariul.

Fiecare scenariu va fi deci descris dup"cum urmeaz":! Tipul de consecin#"(uneori n rela#ie cu scara de valori predefinit"),! Tipul de bunuri implicate de c"tre scenariu (uneori n rela#ie cu bunurile critice predefinite),! Tipurile de cauze care pot conduce la situa#ia de risc.


17/55


18/55


Scara valorilor de poten"ialitate:

Nivelul 4:foarte probabil

La acest nivel, scenariul poate fi considerat c"va avea loc cu siguran#", !i relativ n termen scurt.

Atunci cnd se produce, nimeni nu este surprins.

Nivelul 3:Probabil

Acestea sunt scenarii care se pot produce cu u!urin#", ntr-un termen mai mult sau mai pu#inscurt. Speran#a c" riscul nu se produce este ridicol", dar d"dovad"cu siguran#"de un anumitnivel de optimism. Atunci cnd se produce, oamenii sunt dezam"gi#i, dar nimeni nu estesurprins.

Nivelul 2:Improbabil

Acestea sunt scenarii care, n mod rezonabil, pot fi considerate c"nu se vor produce niciodat".Experien#a din trecut arat"c"ele nu s-au produs niciodat". Ele r"mn, totu!i, posibile, !i nusunt nerealiste.

Nivelul 1:foarte improbabil

Producerea riscului este total improbabil". Astfel de scenarii nu sunt strict imposibile deoareceexist"ntotdeauna o posibilitate infinit de mic"ca ele s"se produc".

Nivelul 0:Neluat n considerare

Aceste scenarii sunt att de imposibile nct nu sunt incluse n setul de scenarii care trebuiescanalizate. Deseori, !i din motive diferite, scenarii care nu trebuiesc analizate sunt clasificate laacest nivel.

Evaluarea direct"a poten#ialit"#ii este deseori destul de dificil". Abordarea MEHARI recomand"analizamai multor factori:

! Expunerea natural"la situa#ia de risc! Pentru scenariile care privesc actele voluntare, riscul asumat de c"tre r"uf"c"tori! Condi#iile n care are loc scenariul

4.3.1.1 Expunerea natural!

Prima chestiune privind poten#ialitatea o reprezint"nivelul de expunere la risc.

Activit"#ile unei organiza#ii, contextul s"u economic, social sau geografic, toate influen#eaz" modul ncare este expus"la diferite tipuri de risc, independent de m"surile n vigoare.- O companie high-tech lider de pia#"este mai expus"la piraterie !i spionaj industrial dect altele.- O companie aflat"pe malurile unui ru este mai expus"la riscul de inunda#ie dect altele.- O organiza#ie care se ocup" de multe tranzac#ii financiare este mai expus"la posibilitatea de fraud".

Posibila existen#" a factorilor care ar putea expune organiza#ia la un tip dat de risc trebuie deci s" fie

examinat".


19/55


Pentru o situa"ie de risc dat!, anumite organiza"ii sunt mai expuse dect altele. Cu ct este mai expus!organiza"ia, cu att mai mare este riscul.

Expunerea la un risc dat poate depinde de mai mul#i factori:! Locul unde se afl"!i mediul s"u nconjur"tor, pentru riscuri naturale,! C!tigurile poten#iale pentru r"uf"c"tori voluntari: precum furtul, jaful, sau satisfac#ia intelectual".! Probabilitatea ca un act inten#ionat s"vizeze organiza#ia (invers propor#ional cu num"rul de #inte

poten#iale)

Este relativ obi!nuit ca expunerea natural"la un tip de risc s"creasc"printr-o combina#ie de circumstan#e:!

Anun#area unui plan de redundan#", pentru reavoin#"intern",! Concentrarea mediei asupra circumstan#elor sau evenimentelor care ar putea deranja popula#ii

externe (precum accidente de mediu), sau acordarea unei aten#ii speciale asupra organiza#iei (deexemplu, anun#area unor m"suri de securitate puternice).

Invers, este uneori posibil s"se implementeze m"suri pentru a reduce expunerea natural". Aceste m"surisunt numite, n MEHARI, m"suri structurale:

! Administrarea mediului (fizic", social", etc.): mutarea,! Dispersarea poten#ialelor #inte ale atacurilor inten#ionate,! Motiva#ia !i managementul crizei.

Expunerea natural"a organiza#iei la un risc dat va fi clasificat"pe o scar"de la 1 la 4, dup"cum estedescris mai jos:

Expunerea natural!la risc

Nivelul 1:Expunere foarte mic"

Independent de orice m"sur"de securitate, probabilitatea ca un astfel de scenariu s"aib"loc estefoarte redus"!i practic neglijabil".

Nivelul 2:Expunere mic"(abia expus)

Chiar !i f"r"m"suri de securitate, combina#ia dintre mediu (cultural, uman, geografic sau altul)!i context (strategic, competitiv, social) face ca probabilitatea ca un astfel de scenariu s" se

produc", pe termen scurt sau mediu, mic".

Nivelul 3:Expunere medie (nu deosebit de expus")

Mediul !i contextul ntreprinderii sunt de a!a m"sur"nct, dac"nu se face nimic pentru a-l evita,un astfel de scenariu este menit s"aib"loc pe termen mai mult sau mai pu#in scurt.

Nivelul 4:Expunere mare: (deosebit de expus")Mediul !i contextul ntreprinderii sunt de a!a m"sur"nct, dac"nu se face nimic pentru a-l evita,un astfel de scenariu este inevitabil pe termen foarte scurt.

Organiza#ia este deosebit deexpus"sau protejat"atunci cnd seconfrunt"cu acest tip de situa#ie? Poten#ialitate


20/55


Aceast" evaluare este, de fapt, o prim" reflec#ie asupra nivelului de poten#ialitate al unui scenariu nabsen#a oric"rei m"suri de securitate.

n exemplul de mai devreme Distrugerea datelor de baz" folosite pentru plata salariilor (calcule &parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru al personalului pentruopera#iuni, ar trebui f"cut"o analiz"pentru a vedea dac"exist"rela#ii conflictuale cu personalul pentruopera#iuni, dac"ace!tia sunt motiva#i sau nemotiva#i, !i dac"o astfel de ac#iune r"uvoitoare va beneficia

cuiva anume. Atunci cnd nu se pot g"si motive anume, entitatea este considerat"ca fiind abia expus"(observnd c"acest lucru nu s-a ntmplat niciodat"), cu un nivel de expunere de gradul 2.

O metod!bun!de a evalua expunerea natural!este s!fie considerat!ca o m!sur!cu poten"ialitateintrinsec!, sau ca poten"ialitate f!r!nici o m!sur!de securitate n vigoare.

4.3.1.2 Riscul perceput de c!tre r!uf!c!torul unui act inten"ionat

A doua chestiune se limiteaz" la acele scenarii care privesc actele inten#ionate efectuate de c"tre opersoan"real". Multe dintre aceste acte sunt de natur"r"uvoitoare. Un astfel de act poate reprezenta unrisc pentru r"uf"c"tor, care va avea un efect disusiv. Existen#a factorilor disuasivi ar trebui examinat"

pentru a struni dorin#ele poten#ialilor r"uf"c"tori.

Hot"rrea asupra unui act r"uvoitor poate reprezenta n mod clar un risc pentru r"uf"c"tor.

Cu ct percep"ia riscului este mai mare, cu att este mai pu"in probabil ca r!uf!c!torul s!l ncerce, #iastfel riscul pentru organiza"ie este mai redus.

Riscul a!a cum este el perceput de c"tre r"uf"c"torul unui act inten#ionat depinde de:- Mijloacele existente pentru a detecta ac#iunea !i pentru a putea fi g"sit r"uf"c"torul,- Calitatea dovezilor pentru imputare,

- Sanc#iunile aplicate,- Cunoa!terea de c"tre r"uf"c"tor a mijloacelor folosite n cazurile anterioare.

Ca !i consecin#"la acest lucru, exist"unele ac#iuni sau m"suri care genereaz"reducerea riscului, numitem"suri disuasive n MEHARI:- Detectareaac#iunilor voluntare ncercate !inregistrareaac#iunilor efectuate,- Atribuireaac#iunilor inten#ionate, ncercate sau efectuate,- Autentificareaputernic"incontestabil",- Reglementarea, cu sanc"iuni severe,- Comunicareadespre sistemele de detectare !i nregistrare.

Existen#a acestor m"suri trebuie deci examinat", dar de asemenea !i eficacitatea lor.

Aceast"eficacitate va fi m"surat"pe o scar"de la 1 la 4, dup"cum este descris mai jos.

Este organiza#ia deosebit de expus"sau protejat"dac"se confrunt"cuacest tip de situa#ie?

Exist"m"suri disuasive pentruacest tip de risc? Sunt eleeficiente?

Poten#ialitate


21/55


Eficacitatea m!surilor disuasive:

Nivelul 1:Efectul m"surilor disuasive este mic sau nul.

Poten#ialul atacator poate considera n mod logic c" el sau ea nu se supune la nici un riscpersonal, deoarece este improbabil s"existe vreun mod de a identifica r"uf"c"torul. Acesta poate

deci s" considere c" nu va fi identificat, sau c" va avea posibilitatea de a folosi argumenteputernice pentru a refuta orice acuza#ii privind ac#iunile realizate, sau c"orice pedeaps" va fifoarte u!oar".

Nivelul 2:Efectul m"surilor disuasive este mediu.

Poten#ialul atacator poate considera n mod logic c"el sau ea se supune doar unui risc mic. norice caz, orice poten#ial prejudiciu personal va fi suportabil.

Nivelul 3:Efectul m"surilor disuasive este mare.

Poten#ialul atacator poate considera n mod logic c" el sau ea se supune unui risc mare, !i artrebui s"!i dea seama c"va fi identificat cu siguran#", !i c"pedeapsa va fi grav".

Nivelul 4:Efectul m"surilor disuasive este foarte mare.

Poten#ialul atacator poate considera n mod logic c"el sau ea ar trebui s"abandoneze orice ideede a realiza ac#iunea. El ar trebui s"-!i dea seama c"va fi identificat cu siguran#", !i c"pedeapsacare va rezulta va dep"!i cu mult orice poten#ial c!tig.

Aceast"evaluare ofer"un al doilea nivel de gndire asupra poten#ialit"#ii scenariului.

De exemplu n scenariul descris mai devreme Distrugerea datelor de baz"folosite pentru plata salariilor(calcule & parametri) datorit"!tergerii inten#ionate a fi!ierelor de c"tre un membru al personalului pentruopera#iuni, exist" necesitatea de a examina num"rul de persoane care au acces la casetele de stocare afi!ierelor bazei de date, pentru a vedea dac"aceste persoane au deseori ocazia de a fi singuri n cameracomputerelor, !i pentru a verifica dac"casetele de stocare se afl"sub supravegherea camerelor de filmatcu circuit nchis. F"r"o supraveghere strict"!i vizibil", personalul poate considera pe bun"dreptate c"nuexist" nici un risc pentru ei. O astfel de gndire ar putea duce la presupunerea c" nu exist" m"suridisuasive n vigoare pentru acest scenariu (nivelul 1).

4.3.1.3 Condi"ii pentru ca riscul s!se produc!Cea de-a treia !i ultima chestiune care trebuie abordat" prive!te condi#iile n care scenariul s-ar putea

produce, !i natura mai mult sau mai pu#in obi!nuit"a acestor condi#ii.


22/55


Un scenariu de risc va ajunge un adev!rat dezastru doar dac! anumite condi"ii sunt ndeplinite

simultan.Cu ct aceste condi"ii sunt mai obi#nuite, cu att este mai mare riscul de producere.

Natura obi!nuit"a acestor condi#ii de producere poate depinde de:- Natura obi!nuit"sau excep#ional"a condi#iilor externe (vreme, tip de accident, etc.),- Nivelul relativ redus de competen#"necesar pentru un act inten#ionat,- Cuno!tin#ele, care sunt mai mult sau mai pu#in necesare, despre organiza#ie !i contextul s"u,- Mijloacele !i resursele necesare (umane, financiare, timp, etc.),- Gradul de noroc sau !ans"necesar.

Ca #i consecin"!la acestea, exist!ac"iunile sau m!surile care genereaz!reducerea riscului, numite nMEHARI m!suri preventive:- M"suri pentru securitatea fizic",- M"suri pentru controlul accesului,- Controale preventive integrate n procesele !i aplica#iile computerelor.

Existen#a acestor m"suri trebuie deci examinat", dar de asemenea !i eficacitatea lor.

Eficacitatea va fi m"surat"pe o scar"de la 1 la 4, dup"cum este descris mai jos:

Eficacitatea m!surilor preventive:

Nivelul 1:Efectul m"surilor preventive este mic sau nul.

Orice persoan"din organiza#ie, sau apropiat"ei, sau chiar cineva care cunoa!te cte ceva despreea, poate pune n mi!care acest scenariu, cu mijloacele pe care le are la dispozi #ie (sau care suntu!or de ob#inut).

Cauza acestui scenariu o poate reprezenta circumstan#e perfect obi!nuite (utilizare gre!it",eroare, condi#ii nefavorabile obi!nuite).

Nivelul 2:Efectul m"surilor preventive este mediu.

Un profesionist poate derula scenariul, f"r"necesitatea mijloacelor sau uneltelor speciale n afar"

Este organiza#ia deosebit de expus"sau protejat"dac"se confrunt"cuacest ti de situa ie?

Exist"m"suri disuasive pentru acesttip de risc? Sunt ele eficiente?

Exist"m"suri preventive care s"fac"dificil"ndeplinirea acestuiscenariu? Sunt ele eficiente?

Poten#ialitate


23/55


de cele disponibile n profesie.

Acela!i rezultat poate fi produs de circumstan#e naturale rare.

Nivelul 3:Efectul m"surilor preventive este mare.

Doar un specialist, sau un profesionist cu unelte sau mijloace speciale, sau un grup de

profesioni!ti care colaboreaz"!i care !i folosesc mijloacele !i uneltele mpreun"ar putea aveasucces.

Nivelul 4:Efectul m"surilor preventive este foarte mare.

Doar c#iva exper#i hot"r#i, cu mijloace excep#ionale ar putea reu!i.

Doar conjunc#ia unor circumstan#e foarte rare sau extrem de excep#ionale ar permite ca acestscenariu s"aib"loc.

Aceast"evaluare ofer"un al treilea !i ultim nivel de gndire asupra poten#ialit"#ii scenariului.

Pentru scenariul de exemplu descris mai devreme Distrugerea datelor de baz" folosite pentru platasalariilor (calcule & parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru al

personalului pentru opera#iuni, exist"necesitatea de a analiza dac"ntreg personalul de opera#iuni, sauaproape tot, este capabil de a reu!i ntr-un astfel de scenariu, sau dac"este nevoie de o expertiz"anume

pentru a reu!i, sau dac"este nevoie de o expertiz"special". n cazul acestui exemplu, ntreg personalulpentru opera#iuni ar putea fi considerat capabil s" reu!easc", !i astfel nivelul m"surilor preventive estemic (nivelul 1).

4.3.1.4 Evaluarea poten"ialit!"ii unui scenariu de risc

Odat! ce a fost evaluat! expunerea natural! la risc care este analizat!, precum #i eficacitateam!surilor disuasive #i preventive de a limita poten"ialitatea au fost evaluate, apoi urm!torul pas esteevaluarea poten"ialit!"ii scenariului care rezult!.

Evaluarea global" va utiliza reflec#iile !i rezultatele anterioare, !i va aplica defini#iile nivelurilor depoten#ialitate descrise mai devreme.

Pentru scenariul de exemplu utilizat mai devreme Distrugerea datelor de baz" folosite pentru platasalariilor (calcule & parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru al

personalului pentru opera#iuni, cu un nivel 2 de expunere natural"!i m"suri disuasive !i preventive denivel 1, poten#ialitatea care rezult"ar putea fi considerat"a fi 2, sau Improbabil".

Poten#ialitatea este, astfel, o evaluare global"a probabilit"#ii scenariului de a avea loc pn"la final, pe oscar"de 4 niveluri. Include poten#ialitatea intrinsec", m"surat"prin expunerea natural", !i doi factori dereducere a riscului: disuasiunea (pentru actele inten#ionale) !i preven#ia.

4.3.2 Evaluarea impactului unui scenariu de risc

Aici, obiectivul este de a r"spunde la simpla ntrebare:

Dac!riscul care este analizat are loc ntr-adev!r, care ar fi gravitatea final!a consecin"elor?.

Mul#i factori pot face consecin#ele riscului, sau impactul acestuia, mai mult sau mai pu#in grave.


24/55


MEHARI ofer"o abordare analitic"care identific"factorii de risc, n timp ce eviden#iaz"influen#ele carepot face consecin#ele mai grave, sau dimpotriv", care m"suri de securitate ar putea reduce gravitateaimpactului s"u.

nainte de a analiza ace!ti factori, mai jos este definit"o scar"a impactului, identic"n toate sensurile cucea introdus" n sec#iunea analizei mizelor de mai sus din acest document !i mai detaliat" n Ghidulanalizei#i al clasific!rii mizelor.

Scara impactului:

Nivelul 4:Vital

La acest nivel, defec#iunea posibil"este att de grav"nct pune n pericol pn"!i existen#a sausupravie#uirea organiza#iei sau a uneia dintre principalele sale activit"#i.

Dac"organiza#ia ar supravie#ui, ar r"mne urme durabile !i grave.

Nivelul 3:Foarte grav

Acesta reprezint"defec#iuni foarte grave pentru organiza#ie, f"r"a compromite neap"rat viitoruls"u.

n termeni financiari, acest lurcru ar reduce mult rezultatele anuale, de!i ac#ionarii ar puteacontinua s"-!i p"streze ac#iunile.

n termeni de imagine, nivelul pierderii de imagine a brandului ar necesita multe luni pentru a firecuperat, de!i costul pentru a face acest lucru este greu de evaluat.

Dezastrele care creeaz"dezorganizare evident"pentru o perioad"de mai multe luni ar fi !i eleevaluate la acest nivel.

Nivelul 2:Grav

Acest nivel reprezint" defec#iuni care au un impact accentuat asupra opera#iunilor entit"#ii,rezultatelor sale sau imaginii sale, dar consecin#ele sunt de obicei suportabile.

Nivelul 1:Nesemnificativ

Daunele care rezult" dintr-o defec#iune la acest nivel nu au practic nici un impact observabil

asupra rezultatelor entit"#ii sau a imaginii sale, chiar dac" mai multe persoane vor trebui s"cheltuiasc"mult timp !i energie pentru a aduce situa#ia la normal.

Evaluarea direct"a impactului final, rezidual a unui risc este deseori dificil". n abordarea MEHARI, estemai nti analizat impactul intrinsec, apoi mai mul#i factori de reducere. Ace!tia sunt:

! Atenuarea consecin#elor directe ale riscului prin izolarea sau limitarea acestuia,! Atenuarea consecin#elor directe ale riscului prin m"suri paliative,! Transferul ntregului risc sau a unei p"r#i din acesta asupra unei ter#e p"r#i.

4.3.2.1 Impactul intrinsec

Dac" scenariul analizat a fost creat ca rezultat al unei analize a mizelor !i ncepnd cu o poten#ial"defec#iune, gravitatea defec#iunii a fost deja evaluat"folosind scara de valori.


25/55


Dac"scenariul este creat f"r"o analiz"a mizelor anterioar", de exemplu ca parte a unui proiect, gravitateaintrinsec"ar trebui evaluat" folosind procesul descris n Ghidul MEHARI al analizei #i al clasific!riimizelor.

Se presupune de aceea c"o evaluare preliminar"a impactului scenariului asupra sc"rii de valori a fostf"cut".

Merit"observat faptul c"aceast"prim"evaluare este o estimare maxim". De fapt, n timpul acestui pas,m"surile de securitate care ar putea reduce gravitatea consecin#elor riscului poten#ial nu ar trebui luate ncalcul.

Aceste m"suri vor fi luate n calcul n timpul analizei riscului.

Prima evaluare a impactului, dedus!din scara de valori a defec"iunilor sau evaluat!direct, poate ficonsiderat! ca impact intrinsec, cu alte cuvinte cel mai r!u caz (sau valoarea maxim!) pentruconsecin"ele riscului f!r!nici o m!sur!de securitate.

Pentru scenariul de exemplu utilizat mai devreme Distrugerea datelor de baz" folosite pentru platasalariilor (calcule & parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru al

personalului pentru opera#iuni, scara de valori a defec#iunilor ofer" o valoare de referin#" pentru!tergerea unor astfel de date (iar dac"nu apare nici o defec#iune privind datele despre plat"n scara devalori, impactul corespunz"tor ar fi considerat neglijabil). Pentru a continua cu exemplul, scara de valori adefec#iunilor pentru pierderea acestor date ar fi considerat"ca ar"tnd nivelul 3 (foarte grav).

4.3.2.2 Limitarea consecin"elor directe: limitarea riscului

Prima chestiune care trebuie adresat" privind limitarea riscului este limitarea consecin#elor directe aleproducerii riscului.

Anumite daune care rezult" dintr-un eveniment pot, de fapt, fi limitate n spa#iu sau timp de c"treprecau#iile sau interven#iile anterioare:- Un incendiu poate fi limitat la o zon"prin mai multe mijloace (pere#i parafoc, al#i separatori) sau prininterven#ie direct"(detectare !i stingere).- Inunda#ia poate fi limitat" n consecin#ele sale directe prin interven#ie (detectarea scurgerilor sauumezelii, nchiderea conductelor) sau prin mijloace specializate (inundare controlat", scurgere natural").- O eroare poate fi limitat"n efectele sale spa#iale (propagare) sau n timp, prin sisteme de detectaresau proceduri de control.

- Proliferarea unui virus poate fi oprit"folosind sisteme antivirus.- Hacking-ul poate fi limitat n timp sau importan#" prin sisteme de detectare a intruziunii !i altemijloace asociate.

Care este gravitatea maxim"aconsecin#elor unui scenariu de risc?

Scara devalori adefec#iunilor

Impact


26/55


n mod clar, trebuie pus"problema dac"exist"factori care ar limita gravitatea consecin#elor directe aleunui risc, spa#ial sau temporal, !i asta n compara#ie cu nivelul maximal ini#ial de gravitate evaluat lanceput.

Consecin"ele directe unui scenariu de risc care are loc efectiv se pot ntinde sau propaga n timp #i

spa"iu, sau pot fi limitate.

Riscul va fi mai mare dac!limitarea este mai slab!.

Limitarea consecin#elor directe ale unui risc depinde de:- Izolarea bunurilor unul de altul, sau compartimentarea.- Detectarea m"surilor specifice riscului n discu#ie,- Capacitatea organiza#iei de a reac#iona atunci cnd se confrunt"cu acest tip de risc.

Corolar: Exist" ac#iuni sau m"suri de reducere a riscului, !i anume m"suri de limitare, de asemeneanumite !i m"suri de protec#ie2n MEHARI.

- M"suri pentru izolare !i compartimentare fizic",- M!suri de detectare(intruziune, accidente, erori, etc.),- Post-controaleintegrate n procese !i aplica#ii ale computerului,- Capacit"#i de investiga#ie asupra detect"rii anomaliilor,- Capacit"#i de interven#ie rapid".

Existen#a !i eficacitatea acestor m"suri trebuie s"fie examinat".

Eficacitatea lor va fi evaluat"pe o scar"de la 1 la 4, dup"descrierea de mai jos:

Eficacitatea m!surilor de limitare sau de protec"ie

Nivelul 1:Efectele limit"rii !i limitarea consecin#elor directe sunt foarte slabe sau nule.

Fie dauna !i consecin#ele sale directe nu pot fi limitate, fie nu va fi detectat"pentru ceva timp.

M"surile de corectare posibile vor avea deci doar o influen#" restrns" asupra niveluluiconsecin#elor directe.

Nivelul 2:Efectele limit"rii !i limitarea consecin#elor directe sunt medii.

Chiar dac"dauna !i consecin#ele sale directe pot fi limitate, timpul pentru a le detecta este mare,

2Aceste m"suri, numite m"suri de protec#ie n Mehari, sunt deseori m"suri de detec#ie / reac#ie

Care este gravitatea maxim"aconsecin#elor unui risc?

Exist"m"suri de limitare carear limita extinderea riscului?Sunt aceste m"suri eficiente?

Scara de valoria defec#iunilor

Impact


27/55


sau reac#ia este nceat".

M"surile de corectare posibile pot avea o oarecare influen#"asupra impactului, dar consecin#eledirecte sunt nc"foarte mari.

Nivelul 3:Efectele limit"rii !i limitarea consecin#elor directe sunt mari.

Evenimentul este detectat rapid, cu reac#ie imediat".

M"surile de corectare posibile vor avea o anumit" influen#" asupra impactului direct, carer"mne real dar limitat n scop, !i manevrabil.

Nivelul 4:M"surile au un efect foarte puternic.

nceputul scenariului este detectat n timp real !i m"surile sunt puse n func#iune imediat.

Consecin#ele directe sunt imediat limitate la deteriorare datorit"accidentului, erorii sau ac#iuniiinten#ionate (uneori r"uvoitoare).

Aceast" evaluare ofer" un prim nivel de reflec#ie asupra nivelului real al consecin#elor directe alescenariului.

Pentru scenariul de exemplu folosit n aceast"sec#iune Distrugerea datelor de baz"folosite pentru platasalariilor (calcule & parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru al

personalului pentru opera#iuni, ar trebui f"cut" o examinare pentru a identifica dac" exist" m"suri delimitare care s" asigure interven#ia nainte ca vinova#ii s" !tearg" complet fi!ierele cu date !i istoriaacestora. R"spunsul este probabil nu, dac"datele istorice nu au un sistem de management specific, care s"

permit"detectarea anomaliilor.

4.3.2.3 Limitarea consecin"elor indirecte ale unui risc: m!suri paliative

A doua chestiune care trebuie adresat", privind consecin#ele unui risc, este legat" de posibilele reac#iiodat"ce evenimentul a fost detectat !i dauna limitat".

Nici o organiza#ie nu ar putea s"nu reac#ioneze, totu!i, nivelul consecin#elor reale va depinde de calitateareac#iei.

Situa"ia de criz!generat!de producerea unui risc poate fi anticipat!#i preg!tit!.

Care este gravitatea maxim"aconsecin#elor scenariului de risc?

Exist"m"suri de limitare care arlimita extinderea riscului? Suntaceste m"suri eficiente?

Exist"m"suri paliative care s"atenueze gravitatea acestui tip de

risc? Sunt ele eficiente?

Scara devalori adefec iunilor

Impact


28/55


Cu ct preg!tirea este mai pu"in!, cu att mai mare va fi riscul.

Nivelul de preg"tire pentru o situa#ie de criz"depinde de:- Identificarea n prealabil a modurilor de operare degradate acceptabile: func#ii minime care trebuiescndeplinite !i servicii indispensabile,- Anticiparea !i preg"tirea solu#iilor paliative corespunz"toare,

- Preg"tirea !i educarea personalului pentru a face fa#" situa#iilor de criz" (managementul de criz",comunicarea de criz", etc.).

Corolar: exist"ac#iuni sau m"suri pentru reducerea consecin#elor indirecte. Acestea sunt numite m"suripaliative n MEHARI, !i includ:- Examinarea n prealabil a ce servicii minime ar trebui oferite precum !i planificarea de urgen#",- Preg!tirea planurilor de ntre"inere #i de recuperare(planuri de rezerv", planuri de continuitate aafacerii, planuri de restaurare, etc.),- Preg"tirea !i educarea echipelor (teste tehnice, media-training, etc.).

Existen#a !i eficacitatea acestor m"suri trebuie examinat".

Eficacitatea lor va fi evaluat"pe o scar"de la 1 la 4, dup"descrierea de mai jos:

Eficacitatea m!surilor paliative

Nivelul 1:Efectele limit"rii consecin#elor indirecte sunt foarte mici sau nule.

Fie sunt folosite m"suri complet improvizate fie se consider" c" acestea nu vor avea nici unefect.

Nivelul 2:Efectele limit"rii consecin#elor indirecte sunt medii.

Solu#iile de recuperare sau paliative au fost planificate n mare, dar lipsesc detaliile. S-aconsiderat c", din cauza lipsei detaliilor, va exista o lips" de eficien#" corespondent" alem"surilor paliative. Timpul pentru a restabili opera#iunile normale nu poate fi prev"zut cu

precizie, sau nu va schimba fundamental gravitatea daunelor cauzate.

Nivelul 3:Efectele limit"rii consecin#elor indirecte sunt mari.

M"surile paliative nu numai c" au fost bine planificate !i organizate, ci !i testate !i validate.

Timpul pentru a restabili opera#iunile normale poate fi estimat sau cunoscut precis, !i este de a!anatur"nct va reduce considerabil gravitatea consecin#elor indirecte ale scenariului.

Nivelul 4:Efectele limit"rii consecin#elor indirecte sunt ntr-adev"r foarte mari.

Opera#iunile normale vor continua f"r"o ntrerupere observabil".

Aceast" evaluare ofer" un al doilea tip de reflec#ie asupra nivelului real al consecin#elor indirecte alescenariului.

Pentru scenariul de exemplu folosit n aceast"sec#iune Distrugerea datelor de baz"folosite pentru plata

salariilor (calcule & parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru alpersonalului pentru opera#iuni, ar trebui f"cut"o analiz"pentru a vedea dac"sunt f"cute back-up-uri cam"suri paliative, !i dac"acestea vor asigura restaurarea bazei de date, m"car pentru datele istorice pentruultimul an. Acest lucru ar reduce nivelul de impact la 2 (distrugerea datelor pentru anul curent fiind


29/55


evaluat" ca fiind de nivel 2 n timpul analizei mizelor), sau ar limita chiar pierderea datelor la lunacurent", ceea ce ar reduce nivelul impactului la 1. Rezultatul va depinde desigur de faptul dac "se fac saunu back-up-uri, dar !i de vrsta lor maxim posibil"(!i deci frecven#a lor).

4.3.2.4 Limitarea pierderilor totale: transferul riscului

Cea de-a treia !i ultima chestiune despre consecin#ele unui risc prive!te posibilitatea de a reduce pierderile

prin transferarea unora dintre ele asupra unei p"r#i ter#e.

n mod tipic, acest lucru ar privi asigurarea sau procedurile criminale.

Pierderile totale pot fi poten"ial transferate par"ial asupra p!r"ilor ter"e precum asigurarea, sau prinproceduri criminale.

Caracterul eficient al acestui transfer depinde de:- Identificarea n prealabil a situa#iilor de risc IT specifice care ar trebui acoperite de asigurare,- Poli#e de asigurare corespunz"toare pentru riscurile care ar trebui acoperite,- Analiza precis"a situa#iilor care sunt excluse, !i m"surile ulterioare care sunt luate,

- Preg"tirea elementelor de dovad", cu considerarea procedurilor criminale poten#iale, !i validareaacceptabilit"#ii lor n tribunal (juridic).

Corolar: exist" ac#iuni sau m"suri pentru a reduce riscul, numite m"suri de recuperare n MEHARI.Acestea includ:- Analiza specific"a riscurilor care ar trebui acoperite de c"tre poli#ele de asigurare,- Acoperirea riscurilor care sunt peste nivelul acceptat de c"tre asiguratori,- Preg"tirea specific"a procedurilor criminale.

Existen#a !i eficacitatea acestor m"suri va fi evaluat"pe o scar"de la 1 la 4, dup"descrierea de mai jos:

M!suri de recuperare:

Care este gravitatea maxim"aconsecin#elor scenariului de risc?

Exist"m"suri de limitare care arlimita extinderea riscului? Suntaceste m"suri eficiente?

Exist"m"suri paliative care aratenua gravitatea acestui tip derisc? Sunt ele eficiente?

Ar putea fi recuperate uneledintre aceste pierderi prin

asigurare sau proceduricriminale?

Scara devalori adefec#iunilor

Impact


30/55


Nivelul 1:Efectul m"surilor de recuperare este mic sau nul.

Ceea ce poate fi recuperat prin asigurare sau procese legale nu este nimic n compara #ie cudaunele cauzate de impactul global al scenariului !i consecin#ele sale.

Nivelul 2:Efectul m"surilor de recuperare este mediu.

Ceea ce poate fi recuperat nu este neglijabil, dar organiza#ia este responsabil"pentru cea maimare parte a impactului scenariului. n cazul unui incident major, nu este sigur c" transferulriscului ar permite organiza#iei s"continue opera#iunile.

Nivelul 3:Efectul m"surilor de recuperare este ridicat.

Ceea ce este recuperat prin asigurare sau procese legale este destul pentru a atenua seriosimpactul scenariului. n orice caz, opera#iunile pot continua.

Nivelul 4:Efectul m"surilor de recuperare este foarte ridicat.

Orict de grav este dezastrul, impactul rezidual este a!teptat s"r"mn"suportabil.

NOT$:

Defini#iile de mai sus corespund cu ceea ce se a!teapt" asiguratorii n general. De fapt, poli#ele deasigurare nu sunt f"cute ca s" fac"consecin#ele unui risc complet neglijabile ci de obicei pentru a evitainsuportabilul, sau m"car pentru a limita scopul consecin#elor unui risc grav dar suportabil.

Aceast"evaluare ofer"un al treilea !i ultim nivel de reflec#ie asupra nivelului real al consecin#elor globaleale unui scenariu.


personalului pentru opera#iuni, ar trebui f"cut" o analiz" pentru a vedea dac" poli#ele de asigurare arreduce nivelul de risc, !i dac"un caz legal ar avea succes (ceea ce ar presupune, printre altele, c"persoanan cauz"ar fi g"sit"vinovat", !i ar avea destui bani pentru a acoperi daunele). n cazul acestui exemplu,r"spunsul se pare c"este nu.

4.3.2.5 Evaluarea impactului global al scenariului de risc

Impactul intrinsec care a fost definit prin scara de valori #i evaluarea eficacit!"ii m!surilor de

atenuare care ar limita impactul riscului (m!suri de protec"ie, paliative #i de recuperare) va oferiimpactul global al scenariului.

Pentru evaluarea nivelului global al riscului, vezi defini#iile date mai devreme.

n timpul evalu"rii globale ar trebui luate n considerare nivelurile precedente de reflec#ie.

n scenariul de exemplu folosit n aceast"sec#iune, impactul global rezidual poate fi evaluat la nivelul 2(grav), sau chiar 1 (neglijabil) dac", n ciuda absen#ei m"surilor de protec#ie sau de recuperare, m"surile

paliative sunt considerate a fi suficient de eficiente.

Impactul este deci o evaluare global!a nivelului consecin"elor, pe o scar! de 4 niveluri, care ia nconsiderare impactul intrinsec #i cei trei factori de atenuare (de protejare, paliativ #i de recuperare).


31/55


4.3.3 Gravitatea rezultant#unei situa"ii de risc

Gravitatea unui scenariu de risc sau a unei situa#ii de risc este o func#ie a poten#ialit"#ii sale !i aimpactului s"u.Aceasta nu este o simpl" formul" matematic" care folose!te cele dou" valori, ci o judecat" asupraacceptabilit"#ii (sau nu) a situa#iei.

Ca func#ie a poten#ialit"#ii !i a impactului riscului care este analizat, singura ntrebare care mai r"mneeste:

Este situa"ia de risc acceptabil!a#a cum este ea, sau dac!nu ce ar trebui f!cut?


personalului pentru opera#iuni, trebuie luat" o decizie pentru a vedea dac" este sau nu acceptabil capersonalul de opera#iuni s"poat"!terge baza de date, chiar dac"producerea este improbabil"n timp ceimpactul s"u este limitat, dar totu!i ridicat.

Dac"se analizeaz"mai multe situa#ii de risc, la diferite momente n timp, se poate s"merite crearea unuitabel al deciziilor pentru a asigura coeren#a deciziilor luate la momente diferite sau de c"tre persoanediferite.

Acest tabel al deciziilor poate fi reprezentat printr-un tabel al acceptabilit"#ii riscului sau tabel alaversiunii fa#"de risc care define!te, ca func#ie a impactului estimat !i a poten#ialit"#ii, dac"riscul esteacceptabil.

MEHARI propune trei categorii de risc:- Riscuri insuportabile, care necesit"m"suri urgente, peste ciclurile normale de buget.

- Riscuri inadmisibile, care trebuiesc reduse sau eliminate la un moment dat. Acest lucru ar trebuiintegrat n ciclul de planificare (planul de securitate).- Riscuri tolerabile.

Primele dou"categorii corespund cu ceea ce a fost numit mai devreme riscuri inacceptabile.

Un tabel de prob"al acceptabilit"#ii riscului este ar"tat mai jos. n acest exemplu, S reprezint"gravitateaglobal" evaluat" ca func#ie a impactului (I) !i poten#ialit"#ii (P). Un nivel al gravit"#ii de valoare 4corespunde unui risc insuportabil, de nivelul 3 unui risc inadmisibil !i valorile mai mici riscurilortolerabile.

Figura 4: Tabelul acceptabilit"#ii riscului

4.3.4 Privire general#asupra procesului de analiz#a riscului

Abordarea care a fost descris"mai sus poate fi rezumat"prin figura de mai jos:

S = 2 S = 3 S = 4 S = 4

S = 2 S = 3 S = 3 S = 4

S = l S = 2 S = 2 S = 3

S = l S = l S = l S = 2

I=4

I=3

I=2

I=1

P=1 P=2 P=3 P=4


32/55


Figura 5: Analiza situa#iei de risc

Identificareaunei situa#iide risc

Evaluarea expuneriinaturale

Evaluarea Poten#ialit"#ii

Evaluarea impactuluiintrinsec

Evaluarea factorilordisuasivi !i de prevenire

Evaluarea factorilor deprotec#ie, paliativi !i derecu erare

Evaluarea reduceriiimpactuluiEvaluarea im actului

Evaluarea riscului global

Ajutor poten#ial:

Scara de valori a defec#iunilorsau clasificarea n realabil

Deciziadac"risculesteacceptabil


33/55


4.4 Utilizarea bazelor de cuno!tin"e MEHARI

Printre bazele sale de cuno!tin#e, MEHARI ofer"o baz"a scenariului de risc (Manualul MEHARI dereferin"e).

Exist"mai multe situa#ii n care se cuvine s"se foloseasc"aceast"baz"de cuno!tin#e:

- Scenariile bazei de cuno!tin#e sunt descrise ntr-un mod general, astfel nct s"poat"fi folosite pentrusitua#ii de risc ntlnite mai frecvent. Frecvent, o anumit"situa#ie de risc, detectat"n timpul unui proiectsau datorit"cererii managementului pentru mai multe detalii, corespunde foarte ndeaproape cu unul dinscenariile din baz".Astfel, scenariul de exemplu folosit n aceast"sec#iune Distrugerea datelor de baz"folosite pentru platasalariilor (calcule & parametri) datorit" !tergerii inten#ionate a fi!ierelor de c"tre un membru al

personalului pentru opera#iuni, corespunde scenariului 10.31 din baza MEHARI: distrugerea masiv"aarhivelor !i a datelor de c"tre personalul de opera#iuni.- Exist" !i abord"ri care constau n analizarea tuturor situa#iilor de risc care par critice. Baza decuno!tin#e poate fi folosit"pentru a selecta scenariile, !i apoi pentru a continua cu analiza acestora.

4.4.1 Folosirea manualului de referin"e pentru scenariul de risc

Paragrafele anterioare au oferit defini#ii generice ale expunerii naturale la risc !i ale eficacit"#ii m"surilordisuasive !i de prevenire. De asemenea, au fost oferite defini#ii generice pentru impactul intrinsec,eficacitatea m"surilor de protec#ie, paliative !i de recuperare.

Manualul MEHARI de referin#e pentru scenarii ofer", pentru ace!ti factori diver!i, !i pentru fiecarescenariu din baz", defini#ii care sunt ajustate corespunz"tor pentru cazul n discu#ie. Pe lng"defini#ii,

baza ofer", sub form"de comentarii, detalii privind ntreb"rile pertinente care ajut"la evaluarea fiec"ruiadintre ace!ti parametri.

Procesul detaliat de analiz"a riscului care folose!te bazele de cuno!tin#e MEHARI este descris ntr-undocument specific: Ghidul MEHARI de analiz!a riscului.

4.4.2 Folosirea procedurilor automatizate MEHARI

MEHARI ofer", n baza sa de cuno!tin#e, mai multe ajutoare pentru analiza riscului:- Asisten#"n evaluarea expunerii naturale,- Proceduri automatizate pentru evaluarea factorilor de atenuare a riscului (disuasivi, preventivi, de

protec#ie, paliativi !i de recuperare) ca func#ie a calit"#ii serviciilor de securitate dac"au fost evaluate nprealabil de c"tre un audit MEHARI.

- Un tabel generic al impactului intrinsec care poate fi m"rit ca rezultat al unei proceduri de clasificaresau direct dintr-o scar"de valori a defec#iunilor.- Proceduri automatizate pentru calcularea poten#ialit"#ii !i a impactului, ca func#ie a expuneriinaturale, !i a impactului intrinsec !i a factorilor de atenuare a riscului.

Pentru a facilita abordarea global" a MEHARI, aceste ajutoare sunt aplicabile pentru fiecare dintrescenariile la care se face referin#"n baza de scenarii MEHARI.

Procesul de analiz"a riscului care folose!te baza de scenarii MEHARI !i procedurile sale automatizatesunt detaliate n Ghidul MEHARI de analiz!a riscului.

4.5 Procesul analizei situa"iei de risc

n sumar, procesul de analiz" a situa#iei de risc include o abordare de baz", sau global", cu posibila


34/55


asisten#"a procedurilor automatizate, n func#ie de modul n care este descris"situa#ia !i de existen#a unuiaudit anterior a serviciilor de securitate.

Procesul total !i capacit"#ile de asisten#"pe care le poate oferi MEHARI pentru studiul situa#iilor de risc(fie extrase din baza MEHARI sau asem"n"toare) sunt ar"tate mai jos:

Figura 6: Procesul de analiz"a riscului, !i ajutorul !i asisten#a MEHARI

Evaluarea expuneriinaturale

Evaluarea Poten#ialit"#ii

Evaluarea impactuluiintrinsec

Evaluarea factorilor

disuasivi !i de prevenire

Evaluarea factorilor deprotec#ie, paliativi !i derecuperare

Evaluarea reduceriiimpactuluiEvaluarea im actului

Evaluarea riscului global

Asisten"!, dac!este asem!n!tor cu unscenariu MEHARITabelul standard al expuneriiComentarii n baza de cuno!tin#e global"

Asisten"!, dac!este asem!n!tor cu unscenariu MEHARI:

Comentarii n baza de cuno!tin#e global"Procedura automatizat"de calculSTATUS dac"exist"un audit anterior

Asisten"!:Tabele standard sau specificentreprinderii,n func#ie de situa#ia de risc

Asisten"!:Scara de valori a defec#iunilor sauclasificare predefinit"

Asisten"!, dac!este asem!n!tor cu unscenariu MEHARI:Comentarii n baza de cuno!tin#e global"Procedura automatizat"de calculSTATUS dac"exist"un audit anterior

Asisten"!:Tabele standard sau specificentreprinderii,n func#ie de situa#ia de risc

Asisten"!:Tabele standard sau specificentreprinderii de acceptabilitate a riscului

Identificarea uneisitua#ii de risc

Decizia dac"riscul esteacceptabil


35/55


36/55


5 Identificarea situa"iilor de risc

Capitolul anterior a tratat analiza unei anumite situa#ii de risc. Identificarea acelor situa#ii de risc caretrebuiesc analizate reprezint"evident un stagiu anterior important pentru care uneltele sunt cheia.

Exist"dou"modalit"#i principale de identificare a riscului:! abordare direct", care folose!te scara de valori a defec#iunilor,! abordare organizat" !i sistematic" cu o evaluare automatizat" care folose!te baza de scenarii

oferit"de MEHARI.

5.1 Abordarea direct#care folose!te scara de valori a defec"iunilor

Fiec"rui tip de defec#iune, identificat"n timpul unei analize de securitate a mizelor !i trecut"n scara devalori a defec#iunilor, i corespunde un set de scenarii care au fost identificate prin c"utarea cauzelor

posibile pentru defec#iune, sau prin originile sale posibile (vezi explica#ia din subsec#iunea Scenarii de

risc).

Este, astfel, u!or s" se construiasc" o baz" a scenariilor de risc ca rezultat al sc"rii de valori adefec#iunilor.

Toate scenariile cu un nivel nalt al consecin#elor (nivelul 3 sau 4) ar trebui s" fie considerate ca fiindcritice !i examinate mai n detaliu.

5.2 Identificarea sistematic#folosind baza de cuno!tin"e

MEHARI ofer"de asemenea asisten#"n identificarea sistematic"a situa#iilor de risc.

Identificarea sistematic" va folosi baza de cuno!tin#e MEHARI a scenariilor de risc !i procedurileautomatizate descrise deja n capitolul anterior. Acest lucru se bazeaz"pe:

! analiz" preliminar" a mizelor de securitate, ntruchipat" de o scar" de valori a defec#iunilor !iclasificarea bunurilor primare !i secundare.

! Un audit de securitate.

Procedurile automatizate sunt folosite pentru a eviden#ia acele scenarii care ar putea avea o gravitateinacceptabil"(de obicei 3 !i mai mult) folosind tabelul de acceptabilitate a riscului.

Din baza de scenarii specific"!i evaluarea automatizat"a gravit"#ii lor, este u!or s"se selecteze scenariilecritice. Asta nseamn" acele scenarii care trebuiesc analizate folosind o abordare de analiz" a risculuiprecum s-a descris n capitolul anterior.

NOT$: Ar fi n#elept s"se ia n considerare, pentru aceast"selec#ie automat", un tabel al acceptabilit"#iicare este relativ sever. Acest tabel poate fi diferit atunci cnd este folosit pentru a identifica scenariicritice fa#" de cel folosit pentru identificarea gravit"#ii finale !i totale a situa#iei de risc. Lua#i nconsiderare tabelul (relativ sever) ar"tat mai jos:


37/55


Func#ia gravit"#ii (S) Poten#ialit"#ii (P) !i a Impactului (I)

5.3 Cele dou#abord#ri sunt complementare

n mod clar, cele dou"modalit"#i de identificare a situa#iilor de risc critice (selec#ia direct", folosind scarade valori a defec#iunilor, !i identificarea automat", folosind bazele de cuno!tin#e) ncep cu puncte devedere diferite !i vor eviden#ia, inevitabil, scenarii diferite.

Prima abordare va eviden#ia scenariile care sunt cel mai aproape de activit"#ile de baz"ale organiza#iei !ide problemele managerului, astfel nct s"fie mai relevante pentru utilizatori. A doua abordare este maidetaliat", de!i mai generic", !i va scoate la iveal"n plus acele scenarii care au un impact mai slab dar o

poten#ialitate mai mare care ar fi putut trece altfel nev"zute n folosirea unei abord"ri directe.

Cele dou"abord"ri sunt complementare !i ar trebui derulate simultan.

S = 3 S = 3 S = 4 S = 4

S = 2 S = 3 S = 3 S = 4

S = l S = 2 S = 3 S = 3

S = l S = l S = l S = 3

I=4

I=3

I=2

I=1

P=1 P=2 P=3 P=4


38/55


6 Utilizarea modulelor Mehari

Modulele MEHARI pot fi aplicate ntr-o mare varietate de moduri. La fel, exist"multe abord"ri demanagement al securit"#ii diferite care pot beneficia de MEHARI !i bazele sale de cuno!tin#e. Nu exist",astfel, motive pentru a impune o utilizare standard a modulelor.

Acest capitol #inte!te s"ilustreze valoarea ad"ugat"a MEHARI n managementul securit"#ii, prin treiabord"ri structurate pe care cei care le-au conceput au avut ocazia s"le implementeze, !i care !i-audovedit eficacitatea.

6.1 Planuri de securitate pe baz#de analiza riscului

n general, planurile de securitate sunt create pentru a defini, desf"!ura !i implementa sau consolidaservicii de securitate.

Aceast" subsec#iune va descrie planuri care sunt create folosind o analiz" a riscului organizat" !imetodic".

nainte de a merge mai departe, ar p"rea util s"se fac"distinc#ia ntre dou"niveluri diferite de decizie:! Mai nti, un nivel central de decizie, care asigur"consecven#a ac#iunilor !i faptul c"sunt potrivite

pentru mizele colective ale organiza#iei.! Un al doilea nivel este cel al unit"#ilor autonome, care iau decizii locale necesare pentru securitate.

Aceasta este o situa#ie clasic" pentru organiza#iile mari, dar devine mai comun", pentruorganiza#iile mp"r#ite n Unit"#i de Afaceri separate, fiecare responsabil" pentru propriilerezultate.

Deciziile la primul nivel sunt strategice, n timp ce cele de la al doilea nivel sunt de natur"opera#ional".

Un alt mod de a distinge ntre aspectele strategice !i opera#ionale este de a lua n considerare caracterul petermen lung sau scurt al deciziilor.

! Nivelul strategic prive!te deciziile pe termen lung, cele care sunt asociate cu func#iile de baz"aleorganiza#iei !i sunt independente de procesele sau tehnologia care este implementat".

! Nivelul opera#ional se ocup"cu deciziile de zi cu zi care pot fi schimbate ca func#ie a proceselorsau tehnologiei care evolueaz".

Nivelul strategic asigur" consecven#a deciziilor n timp accentund importan#a deciziilor care au unimpact pe termen lung.

NOT$:

Distinc#ia ntre deciziile strategice !i cele opera#ionale poate fi neadecvat"sau inaplicabil"pentru anumitesitua#ii.O astfel de distinc#ie este, totu!i, adecvat"pentru viziunea organiza#iilor mari cu multe unit"#i separate.Ea poate fi de asemenea adecvat" pentru ac#iunile pe termen lung. Este, totu!i, util s" facem aceast"distinc#ie din motive de consecven#"sau cicluri de planificare.Pentru ac#iunile selectate sau limitate, distinc#ia oficial"dintre deciziile strategice !i opera#ionale poateaduce o complexitate mai mare, !i ar trebui deci ignorat".Totu

!i, indiferent de stilul de management sau abordare, este logic s

" distingem ntre principiile

fundamentale care conduc ac#iunile pe termen lung din planurile opera#ionale pe termen scurt.


39/55


6.1.1 Abordarea la nivel strategic: identificarea elementelor permanente !iindependente ale planurilor de securitate opera"ionale

Scopurile nivelului strategic sunt:! S" defineasc" scopurile de securitate care vor ghida managerii care iau deciziile privind

managementul riscului,! S"identifice tipurile de solu#ii care ar trebui implementate ca o prioritate.

Ea reprezint"deci o perspectiv"global", strategic"care r"spunde la dou"nevoi diferite:! S"implice managementul sau unitatea de top al companiei n selec#ia obiectivelor de securitate.

Acest lucru implic"acceptarea de c"tre ei a unui anumit num"r de riscuri !i adoptarea uneltelor demanagement adecvate pentru nivelul lor.

! S" ofere managerilor de securitate, !i managementului n general, elemente adecvate pentru amen#ine consecven#a n deciziile opera#ionale care sunt luate.

Exist"trei componente principale la acest nivel, care pot constitui trei pa!i separa#i atunci cnd se creeaz"un plan strategic:! Crearea sau validarea formal"a unei politici de securitate a corpora#iei.! Fixarea #elurilor de securitate !i convenirea asupra parametrilor de m"surare a riscului.! Crearea sau validarea formal"a unei carte de management al securit"#ii a corpora#iei.

Con#inutul acestor elemente diferite va fi descris mai jos. Observa#i c"aceste elemente pot fi considerateca fiind independente de planurile opera#ionale, dat fiind faptul c", pentru ac#iuni care sunt limitate ntimp sau spa#iu, anumite aspecte pot fi considerate de prisos, !i pot fi ignorate.

6.1.1.1 Politica de securitate

Politica de securitate dicteaz"orient"rile generale de securitate ale organiza#iei.

Este un document de baz"important care ar trebui distribuit c"tre ntreg personalul. Ar trebui, deci, s"fieindependent n totalitate de orice metod"sau tehnologie de lucru profesional".

Crearea unei politici de securitate nu face ntotdeauna parte din crearea planurilor de securitate. ntr-adev"r, este preferabil ca ac

Documents

MEHARI 2007 Concepte Si Mecanisme