CAM00404 2

113

t& Metodyka zarządzania ryzykiem opracowana w instytucie NIST

Przykład 2

podatność    —> czynnik sprawczy    —> działanie

nie zainstalowano —> nieautoryzowany —» nieautoryzowany

poprawek w systemie użytkownik (haker) dostęp do informacji

wrażliwej

Do identyfikacji podatności danego systemu pomocnymi mogą być:

—    publikacje producentów dotyczące podatności;

—    dokumentacja z poprzedniej analizy ryzyka;

—    raporty z audytu i eksploatacji systemu, anomalie i incydenty oraz wyniki przeglądów;

—    źródła internetowe - NIST publikuje własną listę podatności NIST I-CAT pN41];

—    centra reagowania;

—    inne publikacje.

Wielu ważnych informacji szczegółowych o podatnościach konkretnego systemu może dostarczyć tak zwana metoda proaktywna, oparta na wspomaganych komputerowo testach bezpieczeństwa systemu. Stosuje się następujące metody postępowania:

•    Skanowanie podatności - sprawdzane są często takie usługi, jak FTP czy sendmail.

•    Testowanie i ocena bezpieczeństwa (ST&E - Security Test and Etmlu-ation) - sprawdzana jest skuteczność zabezpieczeń systemu w środowisku eksploatacyjnym na zgodność ze specyfikacją wymagań, polityką i standardami.

•    Testy penetracyjne umożliwiają spojrzenie na zabezpieczenia systemu od strony rzeczywistego czynnika zagrożeń - z perspektywy intruza.

Trzecim elementem pomocnym przy identyfikacji podatności jest opracowanie listy kontrolnej wymagań bezpieczeństwa, na podstawie jednego lub kilku dostępnych źródeł referencyjnych (normy, przepisy, zalecenia), specyficznych dla dziedziny zastosowań i przepisów prawa.

Czwarty krok analizy ryzyka według NIST obejmuje analizę istniejących i zaplanowanych zabezpieczeń, jako czynnika zmniejszającego prawdopodobieństwo wystąpienia zdarzeń niekorzystnych. Zabezpieczenia (Controls) obejmują środki techniczne i pozatechniczne. Dzielą się na dwie kategorie:

—    prewencyjne - zapobiegają naruszeniom zasad polityki bezpieczeństwa (np. środki do kontroli dostępu, szyfrowania, uwierzytelniania);

—    detekcyjne - ostrzegają przed próbami naruszeń polityki (np. dzienniki zdarzeń, środki wykrywania włamań, sumy kontrolne i funkcje skrótu).