CAM00401 2

110    & Wybrane metody i komputerowe narzędzia wspomagające

Pojęcie ryzyka jest rozumiane jako prawdopodobieństwo (możlj. wość) tego, że zagrożenie (jego sprawca) wykorzysta podatność i wy. woła następstwa dla instytucji. Metodyka NIST obejmuje trzy ele-men ty:

—    etap analizy ryzyka;

—    etap redukcji ryzyka;

—    wskazanie wzorcowych praktyk działania podczas eksploatacji wraz z bieżącą oceną ryzyka.

6.2.1. Analiza ryzyka

Przebieg analizy ryzyka pokazano na rys. 6.1. Odbywa się ona w dziewięciu krokach.

W pierwszym kroku jest opracowywana charakterystyka systemu

—    wytyczane są jego granice oraz identyfikowane elementy składowe. Pozwala to określić zakres podejmowanych działań podczas analizy ryzyka i później podczas akredytacji systemu. Identyfikowane są podstawowe elementy mające wpływ na wielkość ryzyka, takie jak:

—    sprzęt, oprogramowanie, interfejsy systemowe (połączenia wewnętrzne i zewnętrzne);

—    informacje, dane;

—    użytkownicy i personel obsługi;

—    misja realizowana przez system na rzecz instytucji - procesy biznesowe;

—    poziom krytyczności - na ile system i obecne w nim dane są krytyczne dla funkcjonowania instytucji; jakie jest ich dla niej znaczenie;

—    poziom wrażliwości - wymagany poziom ochrony poufności, integralności i dostępności.

Ponadto gromadzone są informacje dotyczące środowiska eksploatacji systemu, takie jak na przykład:

—    wymagania funkcjonalne systemu teleinformatycznego;

—    - dodatkowe informacje o personelu obsługi technicznej oraz o użyt

kownikach wykonujących za pomocą aplikacji zadania składające Się na misję instytucji;

zasady zawarte w polityce bezpieczeństwa, stanowiące podstawę do zarządzania (polityka bezpieczeństwa instytucji, wymagania federalne, prawne, zasady praktyczne);

—    architektura bezpieczeństwa systemu; topologia sieci;

—    zasady ochrony przechowywanej informacji (stosowane zabezpieczenia, dostępność, integralność, poufność);

przepływ informacji w systemie (wejście, wyjście, interfejsy); zabezpieczenia techniczne występujące (wbudowane) w systemie, takie jak: środki do uwierzytelniania, szyfrowania, kontroli dostępu, rejestracji zdarzeń;