Реферат: Страхование информационных ресурсов Суродина Ольга Молдаская Экономическая Академия

Страхование информационных ресурсов

Суродина Ольга Молдаская Экономическая Академия

CIB-992

Отличительной чертой последних лет явилось бурное развитие информационных технологий. Уже сейчас успешность деятельности предприятия на рынке, вне зависимости от отрасли, к которой оно принадлежит, все больше зависит от его способности накапливать, эффективно обрабатывать и анализировать информацию самого различного характера. Поэтому и убытки, которые связаны с нарушением работы информационных систем (ИС) и утратой ценной информации, способны мгновенно парализовать деятельность как небольшого магазина, так и крупного промышленного предприятия.

Предотвращение и ликвидация угроз информационной безопасности основывается на разработке и реализации комплекса средств и механизмов защиты. Это могут быть организационные, экономические, технические, программные, социальные, правовые и иные механизмы, обеспечивающие локализацию и предотвращение угроз.
 К экономическим методам предотвращения угроз информационной безопасности можно отнести страхование, которое уменьшает финансовые потери страхователя в случае реализации риска.

^ Страховым риском можно назвать вероятность наступления и (или) объем ущерба (в результате оговоренного заранее события). Риск - это финансовая категория. Под риском понимается возможная опасность потерь, вытекающая из специфики тех или иных явлений природы и видов деятельности человеческого общества.
^ Информационный риск - это предполагаемое событие, ведущее к искажению, подделке, утечке, хищению, утрате информации и на случай наступления которого проводится страхование.

Итак, угрозы информационной безопасности можно классифицировать следующим образом:


косвенного воздействия

стихийные бедствия

техногенные

политические

социальные

развитие ИКТ




прямого воздействия

непреднамеренные

программные

ошибки ОС

ошибки специального ПО

ошибки прикладного ПО

непрограммные

ошибки персонала

ошибки ТО

преднамеренные

информационные

нарушение адресности и своевременности информационного обмена, противозаконный сбор и использование информации

несанкционированный доступ к информа­ционным ресурсам

манипулирование информацией (дезин­формация, сокрытие или искажение информа­ции);

незаконное копирование данных в инфор­мационных системах;

нарушение технологии обработки информа­ции.

программно-математические

тактические злоупотребления;

стратегические злоупотребления

физические

уничтожение или разрушение средств обра­ботки информации и связи

уничтожение, разрушение или хищение ма­шинных или других оригинальных носителей ин­формации

хищение программных или аппаратных клю­чей и средств криптографической защиты инфор­мации

воздействие на персонал;

поставка «зараженных» компонентов авто­матизированных информационных систем.

организационно-правовые

невыполнение требований законодательства и задержки в принятии необходимых норма­тивно-правовых положений в информационной сфере

неправомерное ограничение доступа к до­кументам, содержащим важную для граждан и организаций информацию

безалаберность

предательство

радиоэлектронные

воздействия на здания и сооружения

коммуникационные

Этот перечень может быть дополнен и детализирован в зависимости от содержания конкретных информационных ресурсов, состава и эксплуатации информационной системы, наличия средств обеспечения безопасности и многих иных факторов. Риски определяют возможный размер ущерба и служат основой оценки страховой стоимости информационных ресурсов.

Что может быть застраховано?

В качестве объектов страхования могут выступать:

^ Электронное оборудование
        - разветвлённых вычислительных, информационных систем, LAN/WAN сетей;
        - телекоммуникационных систем, систем связи и телефонии, систем АТС;
        - систем хранения информации;
        - систем бесперебойного питания;
        - систем управления доступом и систем технической безопасности;
        - подобного дорогостоящего оборудования, принадлежащего страхователю или

арендуемого страхователем.


 ^ Информационные ресурсы
        - информация в любом виде - базы данных, библиотеки, архивы в электронной форме на технических носителях любого рода;
        - программные средства и комплексы, находящиеся в разработке или эксплуатации

^ Финансовые активы:
        - денежные средства в электронной форме в виде записей на счетах (системы клиент-

банк);
        - ценные бумаги в электронном виде.
Могут быть застрахованы косвенные убытки и непредвиденные расходы, связанные с наступлением страхового случая:


^ Убытки от временной приостановки коммерческой деятельности при наступлении страхового случая
        - недополученная прибыль за период вынужденного простоя;
        - текущие расходы по поддержанию бизнеса в период вынужденного простоя;

^ Дополнительные расходы по экстренному восстановлению бизнеса
        - временная аренда оборудования и процессинговых услуг у сторонних организаций;
        - расходы по срочной замене оборудования и программного обеспечения;
        - расходы по расследованию обстоятельств страхового случая;
        - расходы по защите репутации компании.


Полис может распространяться как на всю информационную инфраструктуру предприятия, так и на отдельные технологические участки


Взаимодействие клиента и страховой компании происходит, как правило последующей схеме:

1.Первичные переговоры.
На этом этапе определяется необходимый объем страховой защиты: виды, условия страхования, лимиты и страховые суммы.
^ 2.Формирование коммерческих предложений.
На этом этапе СК определяется стоимость страхования, готовится и согласовывается с клиентом проект страхового полиса.
^ 3.Проведение сюрвея.
Сюрвей (экспертиза рискозащищенности) проводится независимой организацией либо представителями страховой компании. Основная цель сюрвея - получить общее представление о рискозащищенности объекта..
^ 4.Подготовка отчета и рекомендаций по результатам сюрвея. Согласование сроков выполнения рекомендаций.(Возможен пересмотр рекомендаций)
5.Подписание договора страхования (полиса).


Основные этапы анализа рисков.

^ Определение границ исследования

Прежде всего должны быть установлены границы исследования. Следует разделить рассматриваемые ресурсы и внешние элементы, с которыми осуществляется взаимодействие. Ресурсами могут быть средства вычислительной техники, программное обеспечение, данные. Примерами внешних элементов являются сети связи, внешние сервисы и т.п.

Ресурсы должны быть проанализированы с точки зрения оценки воздействия возможных атак (спланированных действий внутренних или внешних злоумышленников) и различных нежелательных событий естественного происхождения.


^ Построение модели информационной технологии

Между ресурсами, очевидно, существуют взаимосвязи. Например, выход из строя какого-либо оборудования может привести к потере данных или выходу из строя другого критически важного элемента системы. Подобные взаимосвязи необходимо учитывать, для чего строится модель организации с точки зрения ИБ.

Эта модель обычно строится следующим образом. Для выделенных ресурсов определяется их ценность как с точки зрения ассоциированных с ними возможных финансовых потерь, так и с точки зрения ущерба репутации организации, дезорганизации ее деятельности, нематериального ущерба от разглашения конфиденциальной информации и т.д. Затем описываются взаимосвязи ресурсов, определяются угрозы безопасности и оцениваются вероятности их реализации.

^ Выбор контрмер

На основе построенной модели можно обоснованно выбрать систему контрмер, снижающих риски до допустимых уровней и обладающих наибольшей ценовой эффективностью. Частью системы контрмер должны являться рекомендации по проведению регулярных проверок эффективности системы защиты.

^ Управление рисками

Обеспечение повышенных требований к ИБ предполагает соответствующие мероприятия на всех этапах жизненного цикла информационных технологий. Планирование этих мероприятий производится по завершении этапа анализа рисков и выбора контрмер. Обязательной составной частью этих планов является периодическая проверка соответствия существующего режима ИБ политике безопасности, сертификация информационной системы (технологии) на соответствие требованиям определенного стандарта безопасности.

В настоящее время используются два подхода к анализу рисков — базовый и полный вариант. В простейшем случае анализ рисков производится по упрощенной схеме: рассматривается стандартный набор наиболее распространенных угроз без оценки их вероятности и обеспечивается минимальный или базовый уровень ИБ.


Процедура анализа рисков.


Полный вариант анализа рисков применяется в случае повышенных требований к ИБ. В отличие от базового варианта в том или ином виде оцениваются ресурсы, характеристики рисков и уязвимостей. Как правило, проводится анализ соотношения стоимость/эффективность нескольких вариантов защиты.

^ Методология анализа рисков в ИС с повышенными требованиями в области ИБ


Процесс анализа рисков делится на несколько этапов:

идентификация информационных ресурсов;

выбор критериев оценки и определение потенциального негативного воздействия на ресурсы и приложения;

оценка угроз;

оценка уязвимостей;

оценка рисков;

оценка эффективности существующих и предполагаемых средств обеспечения информационной безопасности.

Степень риска зависит от ряда факторов:

ценности ресурсов;

вероятности реализации угроз;

простоты использования уязвимости для реализации угроз;

существующих или планируемых к внедрению средств обеспечения ИБ, которые уменьшают число уязвимостей, вероятность возникновения угроз и возможность негативных воздействий.



Кроме критериев, учитывающих финансовые потери, коммерческие организации могут применять критерии, отражающие:

ущерб репутации организации;

неприятности, связанные с нарушением действующего законодательства;

ущерб для здоровья персонала;

ущерб, связанный с разглашением персональных данных отдельных лиц;

финансовые потери от разглашения информации;

финансовые потери, связанные с восстановлением ресурсов;

потери, связанные с невозможностью выполнения обязательств;

ущерб от дезорганизации деятельности.

Могут использоваться и другие критерии в зависимости от профиля организации. К примеру, в правительственных учреждениях прибегают к критериям, отражающим специфику национальной безопасности и международных отношений.


^ Оценка характеристик факторов риска.

Ресурсы должны быть проанализированы с точки зрения оценки воздействия возможных атак (спланированных действий внутренних или внешних злоумышленников) и различных нежелательных событий естественного происхождения. Кроме того, необходимо идентифицировать уязвимости — слабые места в системе защиты, которые делают возможной реализацию угроз.

Вероятность того, что угроза реализуется, определяется следующими основными факторами:

привлекательностью ресурса (этот показатель учитывается при рассмотрении угрозы умышленного воздействия со стороны человека);

возможностью использования ресурса для получения дохода (показатель учитывается при рассмотрении угрозы умышленного воздействия со стороны человека);

простотой использования уязвимости при проведении атаки.

В настоящее время известно множество методов оценивания угроз, большинство из которых построены на использовании таблиц. Такие методы сравнительно просты в использовании и достаточно эффективны. Однако не существует какого-либо "лучшего" метода, для разных организаций наиболее подходящими оказываются разные методы. Важно, чтобы организация выбрала для себя подходящий метод, который обеспечивал бы воспроизводимые результаты.


^ Табличные методы, учитывающие только стоимостные характеристики ресурсов

В методах данного типа ценность физических ресурсов оцениваются с точки зрения стоимости их замены или восстановления работоспособности (т.е. количественных показателей). Эти стоимостные величины затем преобразуются в качественную шкалу, которая используется также для информационных ресурсов. Программные ресурсы оцениваются тем же способом, что и физические, на основе определения затрат на их приобретение или восстановление.

Если для информационного ресурса существуют особенные требования к конфиденциальности или целостности (например, если исходный текст имеет высокую коммерческую ценность), то оценка этого ресурса производится по той же схеме, т.е. в стоимостном выражении.

Количественные показатели информационных ресурсов оцениваются на основании опросов сотрудников компании (владельцев информации), т.е. тех, кто может оценить ценность информации, определить ее характеристики и степень критичности. На основе результатов опроса производится оценивание показателей и степени критичности информационных ресурсов для наихудшего варианта развития событий. Рассматривается потенциальное воздействие на бизнес - процесс при возможном несанкционированном ознакомлении с информацией, изменении информации, отказа от выполнения обработки информации, недоступности на различные сроки и разрушении.

Разрабатывается система показателей в балльных шкалах (пример - четырехбалльная (от 1 до 4), приведенная ниже). Таким образом, количественные показатели используются там, где это допустимо и оправданно, и качественные показателей там, где количественные оценки невозможны, например, при угрозе человеческой жизни.

По каждой группе ресурсов связанной с данной угрозой, оценивается уровень угрозы (вероятность реализации) и уровень уязвимости (степень легкости, с которой реализованная угроза способна привести к негативному воздействию). Оценивание производится в качественных шкалах.

Значения ресурсов, показатели угроз и уязвимостей, относящиеся к каждому типу негативных воздействий сравниваются при помощи матрицы, которая должна быть построена до процедуры оценивания. Пример матрицы приводится ниже.

Показатель риска измеряется в шкале от 0 до 8. Каждому значению должно быть поставлено в соответствие описание, позволяющее однозначно его трактовать разным людям и понимать где проходит граница между значениями.

Например, возможно следующее определение уровней риска:

1 - риск практически отсутствует, хотя теоретически возможны ситуации, при которых событие наступает. Однако таких случаев в мировой практике до сих пор не зафиксировано.

2 - событие наступает чрезвычайно редко. До сих пор в мировой практике было зафиксировано одно или несколько событий подобного рода.

……

8 - событие скорее всего наступит. Маловероятно, чтобы оно не наступило.

^ Ценность рессурса

Уровень угрозы

Низкий

Средний

Высокий

Уровни уязвимостей

Уровни уязвимостей

^ Уровни уязвимостей




H

C

B

H

V

B

H

C

B

0

0

1

2

1

2

3

2

3

4

1

1

2

3

2

3

4

3

4

5

2

2

3

4

3

4

5

4

5

6

3

3

4

5

4

5

6

5

6

7

4

4

5

6

5

6

7

6

7

8


Для каждого ресурса рассматриваются относящиеся к нему уязвимые места и соответствующие им угрозы. Если уязвимость существует, но нет связанной с ней угрозы, или существует угроза, не связанная с какими либо уязвимыми местами, то в такой ситуации рисков нет. Однако надо иметь в виду, что в дальнейшем ситуация может измениться.

Каждая строка в матрице определяется показателем ресурса, а каждый столбец - степенью опасности угрозы и уязвимости. Например, ресурс имеет ценность 3, угроза имеет степень "высокая", а уязвимость - "низкая". Показатель риска в данном случае будет 5. Предположим, что ресурс имеет ценность 2, например для модификации, уровень угрозы - низкий а уровень уязвимости - высокий. Тогда показатель риска будет 4.

Размер матрицы, учитывающей количество степеней опасности угроз, и степеней опасности уязвимостей и категорий параметров ресурсов может быть другим и определяется конкретной организацией.


^ Ранжирование угроз.

В матрице или таблице можно наглядно отразить связь факторов негативного воздействия и вероятностей реализации угрозы с учетом показателей уязвимостей. Рассмотрим пример оценки угроз. В качестве базовых используем следующие показатели, обозначения и шкалы:

^ А - нарушаемые принципы безопасности:

1 - нарушение конфиденциальности личной, служебной и другой доверительной информации;

2 - нарушение целостности и достоверности хранимых данных с помощью специальных программ;

3 - нарушение доступности системы, данных и услуг всем уполномоченным пользователям;

^ 4 - несоблюдение законов, правил, лицензий, договоров и этических норм при использовании информации.

Б - возможность предотвращения - оцениваются возможности предотвращения угрозы для конкретной АИС в реальных условиях:

1 - легко; 2 - трудно; 3 - очень трудно; 4 - невозможно.

В - обнаружение угрозы - оценивается возможность обнаружения угрозы (автоматическая или ручная):

1 - легко; 2 - трудно; 3 -невозможно.

Г - возможность нейтрализации / восстановления. Оцениваются усилия необходимые для нейтрализации угрозы (для принципов безопасности А1 и А4) или восстановления нормальной работы (для принципов безопасности А2 и А3):

1 - легко; 2- трудно; 3 - очень трудно; 4 - невозможно.

Д - частота появления. Данная оценка отражает сравнительную характеристику частоты появления конкретной угрозы в сравнении с другими угрозами:

0 - неизвестна; 1 - низкая; 2 - средняя; 3 - высокая; 4 - сверх высокая.

Е - потенциальная опасность - оценивается опасность угрозы с точки зрения ущерба, который может понести АИС в случае реализации угрозы:

1 - низкая; 2 - высокая; 3 - сверх высокая.

Ж - источник появления:

1 - внутренний; 2 - внешний.

Под внутренним источником понимается воздействие внутренних факторов, таких, как персонал, сбои и т.п. К внешним относят такие факторы, как стихийные бедствия, техногенные факторы (например, отключение электроэнергии), преднамеренные воздействия отдельных нарушителей или групп на безопасность АИС.

З - уровень необходимых знаний - оценивается уровень профессиональной подготовки нарушителей для подготовки и реализации соответствующей угрозы:

^ 1 - фундаментальные знания системной организации ресурсов, протоколов связи и др.;

2 - знание операционной системы;

3 - знание языков программирования;

^ 4 - элементарные знания в области вычислительной техники.

И - затраты на проектирование и разработку злоупотребления:

1 - большие; 2 - средние; 3 - незначительные затраты.

К - простота реализации:

1 - очень трудно; 2 - трудно; 3 - относительно нетрудно; 4 - легко;

Л - потенциальное наказание в рамках существующего законодательства. Следует отметить, что здесь необходимо рассматривать такие аспекты, как дисциплинарные взыскания, гражданская и уголовная ответственность:

^ 1 - строгое наказание (вплоть до уголовной ответственности);

2 - незначительное наказание;

3 - наказание отсутствует.

Таблица 3. Оценки угроз безопасности ЭИС




^ Угрозы безопасности

А

Б

В

Г

Д

Е

Ж

З

И

К

Л

Ком-плексная оценка

Общесистемные угрозы

1

Недоступность информации

2

2.5

1.0

3.0

1.5

2.5

1.0

3.5

2.5

2.5

2.5

2.83

2

Ошибки пользователя

1,2,3

3.0

2.5

3.5

2.0

2.5

1.0

4.0

3.0

2.5

1.5

2.98

3

Ошибки программного обеспечения

1,2,3

3.5

2.5

3.0

2.0

2.0

1.0

0.0

3.0

2.5

1.5

2.75

4

Неправильная маршрутизация

2

2.0

1.5

4.0

2.0

2.0

2.0

1.0

1.5

1.5

1.5

2.65

5

Аппаратные сбои

1,2,3

4.0

1.5

1.5

2.5

1.5

1.0

0.0

3.0

1.5

2.5

2.65

6

Перегрузка трафика

3

1.5

1.0

1.5

1.0

1.5

1.5

1.0

2.5

1.5

2.5

2.48

7

Отказ в обслуживании

3

3.0

1.5

2.5

3.0

2.0

1.5

3.5

2.5

3.0

2.5

2.95

Программные злоупотребления

1

Программы открытия паролей

1

3.0

2.5

1.5

2.5

2.0

1.5

3.0

2.5

3.0

2.5

2.90

2

Программы захвата паролей

1

2.5

1.5

2.0

1.5

1.5

1.5

2.0

2.5

2.5

2.5

2.70

3

Люки

1,2,3

3.5

2.5

3.5

0.5

3.0

1.5

2.0

2.0

3.5

2.5

2.93

4

Логические бомбы

2

3.5

2.5

3.0

0.5

2.5

1.5

2.0

2.0

3.5

2.5

2.88

5

Троянские кони

1,2,3

3.5

2.5

3.5

0.5

3.0

1.5

2.0

2.5

2.5

2.5

2.90

6

Репликаторы

2

2.5

1.0

1.5

0.5

2.5

2.0

2.0

2.0

2.5

2.5

2.65

7

Программные закладки

1

2.5

2.5

2.5

1.5

2.5

1.5

1.0

2.0

3.0

2.5

2.78

8

Скрытые каналы

1

3.5

2.5

3.5

0.5

1.5

1.5

2.0

2.5

1.5

2.5

2.78

9

Компьютерные вирусы

2

2.5

1.5

2.0

3.0

1.5

2.0

2.0

2.0

3.5

1.5

2.78

10

Работа между строк

4

2.5

2.5

2.5

1.5

2.5

1.5

1.5

1.5

2.5

2.5

2.75

11

Маскарад

1,2,3

3.0

2.5

3.5

1.5

2.0

2.0

4.0

3.0

2.5

2.5

3.03

12

Подкладывание свиньи

1,2,3

3.0

2.5

2.5

1.5

2.5

2.0

1.5

1.5

1.5

2.5

2.75

13

Пинание

2

4.0

1.0

1.5

1.5

1.5

2.0

3.0

3.0

2.5

2.5

2.83

14

Раздеватели - пиратство

4

3.5

2.5

3.5

1.5

1.5

2.0

1.5

1.5

3.5

1.5

2.83

15

Повторное использование объектов

1

2.5

2.5

3.0

1.5

2.0

1.0

4.0

1.0

2.5

2.5

2.83

16

Суперзаппинг

1,2,3

2.5

2.5

2.5

1.5

3.0

1.5

3.5

2.5

2.0

2.5

2.90

17

Атаки салями

2

2.5

2.5

3.5

0.5

1.5

1.0

1.5

1.5

2.0

1.5

2.60

18

Воздушные змеи

2

1.5

1.0

1.5

2.5

2.0

2.0

3.5

1.5

1.5

1.5

2.63

Другие злоупотребления

1

Злоупотребления информацией

1,2,4

2.5

1.5

2.5

1.5

2.5

1.5

4.0

2.5

3.5

2.5

2.93

2

Перехват ПЭМИН

1

3.5

3.0

4.0

0.5

1.5

2.0

4.0

2.0

2.5

2.5

2.98

3

Перехват информации

1

3.5

2.5

3.5

3.0

2.5

2.0

1.0

1.5

2.5

2.5

2.93

4

Анализ трафика

1

3.5

2.5

2.5

1.5

1.5

2.0

1.5

1.5

1.5

2.5

2.73

5

Сетевые анализаторы

1

4.0

2.5

2.5

1.5

1.5

2.0

1.5

1.5

2.0

2.5

2.78

6

Умышленное повреждение данных и программ

2

2.0

2.0

2.5

1.0

2.5

1.0

3.5

2.5

1.5

1.0

2.68

7

Повреждение аппаратных средств

2

3.5

1.5

2.5

1.5

2.0

1.5

0.0

2.0

1.0

1.0

2.53

8

Кража информации

1,2,3

2.0

2.5

3.5

1.5

2.0

1.5

2.5

2.0

1.5

1.0

2.70

9

Другие виды мошеничества

2

2.0

2.0

3.5

1.5

2.5

1.5

2.5

2.0

2.5

2.0

2.80

Комплексная оценка угрозы может быть рассчитана следующим образом:

, (1)

где - оценка i-й угрозы по j-му параметру; m - количество параметров оценки;

- максимальная оценка по j-му параметру;


^ Разделение рисков на приемлемые и неприемлемые.

Другой способ оценивания рисков состоит в разделении их только на приемлемые и неприемлемые риски. Подход основывается на том, что количественные показатели рисков используются только для того, чтобы их упорядочить, и определить, какие действия необходимы в первую очередь. Но этого можно достичь и с меньшими затратами.

Матрица, используемая в данном подходе, содержит не числа, а только символы Д (риск допустим) и Н (риск недопустим). Например, может быть использована следующая матрица:


Показатель ресурса

Показатель частоты




0

1

2

3

4

0

Д

Д

Д

Д

Н

1

Д

Д

Д

Н

Н

2

Д

Д

Н

Н

Н

3

Д

Н

Н

Н

Н

4

Н

Н

Н

Н

Н


Вопрос о том, как провести границу между приемлемыми и неприемлемыми рисками остается на усмотрение пользователя. Данная процедура позволяет сравнивать и ранжировать по приоритету угрозы с различными негативными воздействиями и вероятностями реализации.

Для анализа возможного ущерба предлагается использовать метод Монте-Карло (имитационное моделирование). Практическое применение данного метода продемонстрировало широкие возможности его использования особенно в условиях неопределённости и риска. Данный метод особенно удобен для практического применения тем, что удачно сочетается с другими экономико-статистическими методами, а также с теорией игр и другими методами исследования операций.


Алгоритм имитационного моделирования


1.Ранжирование угроз, выбор наиболее опасных


^ Угрозы безопасности

А

Б

В

Г

Д

Е

Ж

З

И

К

Л

Ком-плексная оценка

Ошибки пользователя

1,2,3

3.0

2.5

3.5

2.0

2.5

1.0

4.0

3.0

2.5

1.5

2.98

Перехват ПЭМИН

1

3.5

3.0

4.0

0.5

1.5

2.0

4.0

2.0

2.5

2.5

2.98

Перехват информации

1

3.5

2.5

3.5

3.0

2.5

2.0

1.0

1.5

2.5

2.5

2.93

…

….

…

…

…

…



















….


2. Задаётся характер распределения вероятностей угроз. В общем случае рекомендуется использовать нормальное распределение.


3. На основе выбранного распределения проводится имитация выбранных угроз, с учётом полученных значений рассчитывается возможный ущерб


4. На основе полученных в результате имитации данных рассчитываются критерии, количественно характеризующие риск ИС (матожидание ущерба, дисперсия, среднеквадратическое отклонение и др.).


Информация и страховые тарифы.

Правильное и обоснованное определение страховых тарифов при защите информации исключительно важно. Владелец информационных ресурсов, в зависимости от соотношения величины тарифа и вероятности нанесения ущерба — события, от которого предусматривается введение страховой защиты, окажется в одной из трех принципиально различных ситуаций и должен принимать решение.

Случай, когда ущерб перекладывается в основном на страховую кампанию; для страхователя - владельца информационного ресурса существует конечная критическая страховая стоимость информации, при которой его риск в среднем становится нулевым. Соответственно, страхователь должен добиваться внесения в договор страхования в качестве страховой суммы величину не меньшую, чем указанное критическое значение.

Случай, ущерб перекладывается поровну на обе стороны. Страхователю безразлична величина страховой суммы, поскольку она не оказывает влияния на уровень его риска. (практически не возможно точность расчетов не позволит)

Случае, когда ущерб перекладывается в основном на страхователя, а его риск растет пропорционально увеличению размера страховой стоимости информации.

Попытаемся оценить в какую из трех ситуаций попал страхователь.

Для этого уточним следующие величины:

1.Величина ущерба при наступлении страхового случая – U (Включая затраты на восстановление)

2.Вероятность наступления страхового случая – Р*.

3.Эффект от соблюдения рекомендаций СК в рамках страхового полиса – Er ( т.к. чаще всего СК имеет своей целью приблизить вероятность наступления страхового случая к 0, “руками” страхователя. Поэтому было бы разумно предварительно оценить, как эти рекомендации повлияют на эффективность системы.)

4. Безусловная франшиза - F.

5.Стоимость страхования – S(включает в себя стоимость выполнения рекомендаций).

6.Эффект от участия СК в экстренном восстановлении функций ИС - Ev, (косвенная эффективность - временные затраты на восстановление и др.)

^ Ожидаемые затраты


Без страхования

При страховании



U


P*1 - показатель риска.




F+S-Er+Ev


P*2- показатель риска.



Очевидно, что Р1 > Р2 , т.к. Р2 снижается за счет соблюдения рекомендаций СК, поэтом целесообразно сравнивать не ^ U и (F+S-Er+Ev),

а скорее (U* P*1 ) и (F+S-Er+Ev)* P*2.

Обобщенная же модель риска основывается на функциональных зависимостях между стоимостью ^ S, вероятностью преодоления системы защиты информации и нанесения ущерба собственнику P и размером возникающего при этом ущерба U.

-вероятность наступления страхового случая

Pi – вероятность появления i-ой угрозы;

pi – вероятность преодоления системы защиты i-ой угрозой;

mi – количество успешных попыток преодоления системы защиты i-ой угрозой;

ni – общее количество попыток преодоления системы защит i-ой угрозой;

S – стоимость страхования от i-ой угрозы;

a,b,c - коэффициенты пропорциональности;

, - интервалы стоимости страхования (не является непрерывной величиной)





P(S)









S



s1

s2

0

Рис. 1. Зависимость уровня риска от стоимости страхования.

Типичная зависимость уровня риска от стоимости страхования, полученная при условии того, что вероятность нанесения ущерба S уменьшается с ростом стоимости S приведена на рис. 1. При некоторой стоимости s2 риск имеет наименьшее значение. Эта стоимость является оптимальной. Дальнейший, сверх оптимального значения, рост затрат на страхование будет вести к увеличению экономических потерь собственника информации.

После проведенного анализа возможны три стратегии:

1.Отказатся от страхования за невыгодностью сего мероприятия.

2.Путём переговоров со СК попытаться повлиять на размеры S, F или рекомендации.

3.Ошибившись в расчётах, застраховать ИС.


Если владелец информационных ресурсов, не проводит тщательного анализа и не оптимизирует размер выделяемых на страхование средств, практически всегда оказывается в экономическом проигрыше.

Эффективность этого метода во многом зависит от точности определения страховой стоимости защищаемых информационных ресурсов, а также степени соответствия тарифной ставки вероятности несанкционированных действий. Реализации страхования информации мешает проблема отсутствия достаточно точных практических методик по определению ее стоимости и обоснованию тарифов. Необходимо приложение дополнительных усилий для разработки практических методик оценки стоимости информации.


Литература.

О.В.Голосов, С.А.Охрименко, А.В.Хорошилов, В.П.Божко, К.С.Дрогобыцкая, В.П.Тихомиров "Введение в информационный бизнес" Финансы и статистика 1996

Черней Г.А.«Оценка угроз безопасности автоматизированным информационным системам»

Охрименко С.А., Черней Г.А. «Угрозы безопасности автоматизированным информационным системам (программные злоупотребления)»

И.Н. Кузнецов. «Учебник по информационно-аналитической работе. Информация сбор, защита, анализ» Москва,. Яуза, 2001

Баутов А. Н., Козлов В. И. «Страховая стоимость информационных ресурсов. Анализ нормативной базы.» Страховое дело, 2001, № 7

Лукьяненко И. "Computerworld Россия", 2001, № 19

Уитли М. http://www.osp.ru/ecom/2001/04/032.html"eCommerce World", 2001, № 4

Цыганов А. http:// www.osp.ru/ecom/2001/04/044.html"eCommerce World", 2001, № 4

Максименко С. Страхование информационных рисков http://www.rbc.ru/insurance/risk.html

С.В. Симонов «Анализ рисков в информационных системах. Практические аспекты» «Безопасность компьютерных систем» март-апрель 2001г