Riscuri

Riscurile sistemului informatic sunt urmarea:

1.Vulnerabilitatilor sistemuluideterminata de:-accesibilitatea la sistem prin aceasta intelegand accesul fizic siaccesul la retea;-numarul de utilizatori ai sistemului;

-solutiiletehnice implementate.2.Complexitatii:-organizatiei;-sistemuluiinformaticprinariadecuprindere,functiilesistemului si solutiile IT utilizate.

Evaluarea riscurilor in vederea proiectarii controalelor ale sistemului3.Ciclului de viata a sistemului:-fiecareietape din ciclul de viata ii sunt specifice anumiteriscuri;-perenitateasistemuluiinformaticdeterminaocrestereariscurilor legate de exploatare.4.Nivelului de incredere oferit de:-controlul intern;-nivelul de pregatire a personalului;-calitatea managementului;-climatulde munca existent.5.Calitatii documentatiei existente:-completitudineadocumentatiei;

Factorii determinanti pentru riscurile sistemului

Pentru fiecare risc identificat pot fi specificate trei niveluri de riscsi anume: scazut, mediu si mare fiind necesara precizarea factorilor caredetermina respectivul nivel de risc.n urma evaluarii unui sistem informatic pot fi identificate urmatoareleriscuri:Riscul asociat accesului fizicNIVEL RISCDESCRIERE

MAREResursele informationale sunt accesibile tuturorangajatilor.

MEDIUResursele informationale sunt in birouri organizate cuacces limitat de personal.

SCAZUTResursele informationale sunt in zona cu acces strictcontrolat.

Riscul asociat retelei de comunicatii13NIVEL RISCDESCRIERE

MARESistem conectat la reteaua publica.

MEDIUSistemconectatlareteaprivata.Comunicareacuexteriorul cu linii dedicate.

SCAZUTNici o conexiune cu mediul exterior.

Nivel de vulnerabilitateNumardeutilizatoriautorizatiRISCUL ACCESIBILITATII

MAREMEDIUSCAZUT

Majoritatea utilizatori autorizatiMAREMAREMEDIU

50 % utilizatori autorizatiMAREMEDIUSCAZUT

NumarlimitatdeutilizatoriautorizatiMEDIUSCAZUTSCAZUT

Riscul complexitatii organizationaleMAREErorile din sistem afecteaza intreaga organizatie

MEDIUErorile din sistem afecteaza anumite compartimente

SCAZUTErorile din sistem afecteaza un compartiment.

Riscul functiilor sistemului14MAREFunctii multiple ce se intersecteaza

MEDIUFunctii multiple independente

SCAZUTSistemul realizeaza o singura functie.

Riscul asociat personaluluiMAREPersonalul nu a fost verificat inainte de angajare sinici in prezent

MEDIUPersonalul este verificat imediat dupa angajare

SCAZUTPersonalul este verificat inainte de angajare.

Riscul asociat personalului de specialitateMARE0 singura persoana se ocupa de tot sistemul

MEDIUExista 2-3 persoane ce asigura functionarea siintretinerea sistemului

SCAZUTExista mai mult de 3 persoane implicate infunctionarea sistemului.

Riscul asociat managerilorMARENici o preocupare a managerilor

MEDIUManageri preocupati numai de securitateasistemelor

SCAZUTManageri implicati activ si constant in asigurareasecuritatii ca urmareaevenimentelor produse intrecut.

Riscul asociat ciclului de viataMARESistem implementat de cel mult unansi durata deviata este de cel putin 20 ani.

MEDIUSistem cu durata de viata mai mare de 4 ani.

SCAZUTSistem cu durata de viata intre 1-4 ani.

Riscul asociat documentatieiMARENu exista documentatie.

MEDIUDocumentatia exista, dar nu reflecta realitatea dinsistem.

SCAZUTDocumentatia este actualizata si este disponibila.

Pierderile cauzate de riscurile prezentate deunsistem informatic pot consta din:-fraude produse prin intermediul sistemului

-divulgarea neautorizata a informatiilor

-furtul de echipamente si informatii

-distrugerea fizica a echipamentelor

-distrugerea unor fisiere continand date

-intreruperiale procesarii datelor etc.

Pierderile inregistrate de organizatie ca urmare a produceriiriscurilor aferente sistemului informatic pot fi anticipate. Determinarea acestor pierderi potentiale trebuie facuta tinandu-se seama de urmatoareleelemente:-impactul unor riscuri in planul pierderilor cauzate poate fimare, dar probabilitatea producerii unor astfel de riscuri este mai redusa (exemplu: producerea unui cutremur);

-pierderile cauzate de producerea unui anumit risc sunt devalori medii, dar frecventa de producere a acestor amenintarieste mare;-pierderile pot fi ocazionale;-potexista atacuri asupra sistemului informatic, dar acestea sanuconducalaproducereadeefectenegative(exemplu:detectarea la timp a unor incercari de intruziune in sistem).

------------------------------------------------------------------------------------------Pierderea determinata de producerea unui anumit risc poate fiexprimatavaloricprincalculareaindicatoruluipierdereanticipata anualizata(PAA) care reprezinta valoarea medie a pierderii estimata lanivelul unui an calendaristic.

Dar fiecare amenintare prezinta o anumitarata de aparitieprobabila la nivelul unui an calendaristic si acest lucruvatrebui sa fie luat in calculul PAA. Mai trebuiesaavem in vedere faptul ca pentru fiecare pereche activ-amenintare putem determina unfactor de vulnerabilitatecalculat ca raport intre pierderea curenta generata de o singura producerea riscului si valoarea totala a pierderilor potentiale aferente unui anumitbun.Factorul de vulnerabilitatevalua valori in intervalul [0, 1].Rezulta capierderea anticipata anualizata(PAA), determinata pentruunanumit bun ca urmare a producerii unei anumite amenintari seva putea determina astfel:PAA = RA x PP xFVunde:RA = rata aparitieiPP = pierderea potentialaFV = factor de vulnerabilitateValoarea totala a pierderilor anticipate la nivelul unui ancalendaristic este data deformula :PATA =PAAiunde:PATA = pierderea anticipata totala anualizata

i = perechea bun - amenintare pentru care s-a calculat PAA.Oaltaposibilitate de evaluare a impactului riscurilor poate fi datade formula:Risc = Amenintari x Vulnerabilitati x Impacturi.In acest caz, se pleaca de la o clasificare cantitativa15a celor trei factori determinanti ai riscului (A, V, I):

-Risc mare = 3-Risc mediu = 2

-Risc redus = 1

-Risc inexistent = 0

Rezultacaimpactuldeterminatalrisculuiestecurpins inintervalul [0, 27].Exemplu :- Riscul furtului unui calculator (PC) care nuarestocate in hard-discullocal date sau aplicatii importante poate fi:Risc =3x1x1=3=risc mediu

Am precizat valoarea 3 la amenintare deoarece accesul fizic la calculatornuestecontrolat corespunzator.-Daca insa datele stocate local ar prezenta importanta deosebita:Risc =2x3x3= 18=> risc mareAm precizat valoarea 2 la amenintare considerand ca solutiile de securitate asiguraunrisc mediu.