· Рівня погроз, яким піддається організація і видимість організації із зовнішнього світу

· Уразливості організації до наслідків потенційних інцидентів з безпекою

· Державних законів і вимог вищестоящих організацій, які можуть явно визначати необхідність проведення того або іншого виду аналізу риски або диктувати застосування конкретних засобів забезпечення безпеки для конкретних систем, додатків або видів інформації.

Відзначимо, що тут не враховується цінність інформації або фінансові наслідки інцидентів з безпекою. У минулому такі оцінки вартості були

потрібні як складова частина формального аналізу риски в спробі здійснити оцінку щорічного прибутку при витратах на безпеку. У міру того, як залежність державних і комерційних організацій від глобальних мереж ставала більшою, втрати від інцидентів з безпекою, які практично неможливо оцінити в грошах, стали рівними або більшими, ніж обчислювані витрати. Час адміністраторів інформаційної безпеки може ефективніше витрачено на забезпечення гарантій впровадження "достатньо хорошої безпеки", чим на розрахунок вартості чого-небудь гіршого, ніж повна безпека.

Для організацій, діяльність яких регулюється законами, або які обробляють інформацію, від якої залежить життя людей, можуть виявитися прийнятнішими формальні методи оцінки риски. У Інтернеті є ряд джерел інформації з цього питання. Наступні розділи містять методологію для швидкої розробки профілю риски вашої організації.

3.1. Загрози/видимість

Загроза - це будь-яка подія, яка потенційно може завдати шкоди організації шляхом розкриття, модифікації або руйнування інформації, або відмови в обслуговуванні критичними сервісами. Погрози можуть бути ненавмисними, такими як ті, що викликаються помилками людини, збоями устаткування або програм, або стихійними лихами. Умисні погрози можуть бути розділені на ряд груп - від логічних (отримання чого-небудь без грошей) до ірраціональних (руйнування інформації). Типовими погрозами в середовищі Інтернету є:

· Збій в роботі одніієї з компонентів мережі -Збій із-за помилок при проектуванні або помилок устаткування або програм може привести до відмови в обслуговуванні або компрометації безпеки із-за неправильного функціонування однієї з компонент мережі. Вихід з ладу брандмауера або помилкові відмови в авторизації серверами аутентифікації є прикладами збоїв, які роблять вплив на безпеку.

· Сканування інформації - неавторизований перегляд критичної інформації зловмисниками або авторизованими користувачами може відбуватися, використовуючи різні механізми - електронний лист з невірним адресатом, сумісне використання декількома людьми одного ідентифікатора і так далі.

· Використання інформації не за призначенням - використання інформації для цілей, відмінних від авторизованих, може привести до відмови в обслуговуванні, зайвим витратам, втраті репутації. Неавторизоване видалення, модифікація або розкриття інформації - спеціальне спотворення інформаційних цінностей, яке може привести до втрати цілісності або конфіденційності інформації.

· Проникнення - атака неавторизованих людей або систем, яка може привести до відмови в обслуговуванні або значних витрат на відновлення після інциденту.

· Маскарад -попытки замаскуватися під авторизованого користувача для крадіжки сервісів або інформації, або для ініціації фінансових транзакцій, які приведуть до фінансових втрат або проблем для організації.

Наявність загрози необов'язково означає, що вона завдасть шкоди. Щоб стати ризиком, загроза повинна використовувати вразливе місце в засобах забезпечення безпеки системи (розглядаються в наступному розділі) і система повинна бути видима із зовнішнього світу. Видимість системи - це міра як інтересу зловмисників до цієї системи, так і кількості інформації, доступної для загального користування на цій системі.

Всі організації, що мають доступ до Інтернету, в деякій мірі видимі для зовнішнього світу хоч би за допомогою свого імені в DNS. Проте, деякі організації видимі більш, ніж інші, і рівень видимості може мінятися регулярним чином або залежно від яких-небудь подій. Оскільки багато погроз, заснованих на Інтернеті, є імовірними за своєю природою, рівень видимості організації безпосередньо визначає вірогідність того, що ворожі агенти намагатимуться завдати шкоди за допомогою тієї або іншої загрози.

У Інтернеті цікаві студенти, підлітки-вандали, кримінальні елементи, промислові шпигуни можуть бути носіями загрози. У міру того як использованеи глобальних мереж для електронної комерції і критичних завдань збільшується, число атак кримінальних елементів і шпигунів збільшуватиметься.

3.2. Вразливість/наслідки

Організації по-різному уразливі до ризику. Політики безпеки повинні відображати уразливість конкретної організації до різних типів інцидентів з безпекою і робити пріоритетними інвестиції в області найбільшої уразливості.

Є два чинники, що визначають уразливість організації. Перший чинник - наслідки інциденту з безпекою. Майже всі організації уразливі до фінансових втрат - усунення наслідків інцидентів з безпекою може зажадати значних вкладень, навіть якщо постраждали некритичні сервіси. Проте, засоби перенесення загрози(страхування або пункти в договорах) можуть гарантувати, що навіть фінансові втрати не приведуть до кризи організації.

3.3. Матриця профілю

Одним з важливих кроків при визначенні можливих наслідків є ведення реєстру інформаційних цінностей, що обговорюється детальніше в пункті 3.4.

Хоча це і здається простим, підтримка точного списку систем, мереж, комп'ютерів і баз даних, що використовуються в організації, є складним завданням. Організації повинні об'єднати цей список з результатами робіт по класифікації даних, що розглядаються в, в ході яких інформація, що зберігається в онлайновому режимі, класифікується по ступеню важливості для виконання організацією своїх завдань.

Серйозніші наслідки виникають, коли порушується внутрішня робота організації, що приводить до збитків упущених можливостей, втрат робочого

часу і робіт по відновленню роботи. Найсерйозніші наслідки - це коли зачіпаються зовнішні функції, такі як доставка продукції споживачам або прийом

замовлень. Ці наслідки інциденту з безпекою безпосередньо викликають фінансові збитки через

порушення роботи служб, або із-за потенційної втрати довіри клієнтів в майбутньому.

Другий