COMPUTERWORLD
Specializovaný týdeník o výpočetní technice

Seriál
o bezpečnosti
a informačním soukromí

Část 17 - CW 27/97

Analýza rizik

Alena Hönigová, Dave Chariton

Motto: Jediným důvodem, proč všechny počítače na světě dosud nezhavarovaly ve stejnou chvíli je, že nejsou ještě všechny navzájem propojeny.

Každý z nás se pravděpodobně určitou formou analýzy rizik ve svém životě již zabýval: při pojišťování domácnosti odhadujeme pravděpodobnost návštěvy zloděje, výši škody, která nám může vzniknout, a tedy částku, na kterou byt pojistíme; pro snížení rizika např. přidáme na vstupní dveře do bytu dokonalejší zámek nebo si necháme nainstalovat poplašné zařízení.

Rychlé zavedení informačních technologií do denní činnosti organizací s sebou přineslo i nové druhy rizik, kterých si vedení organizace obvykle není vědomo; neuvědomuje si ani svoji odpovědnost v tomto směru. Problémy obvykle začne řešit až ve chvíli, kdy dojde k prvnímu "maléru" a následným ztrátám. Teprve potom jsou zkoumány příčiny "maléru" a přijímána rozhodnutí, jak se v budoucnu takovým problémům vyhnout. Řešením je provést analýzu rizik; v praxi to znamená rozhodnout, jak ji provádět, kdo by ji měl provádět a jak často by se měla provádět, tj. jakou formu analýzy rizik zvolit, zejména se zřetelem na její spolehlivost a účinnost.

Cílem analýzy rizik je nalezení optimálního poměru mezi možnými ztrátami a náklady vynaloženými na bezpečnostní opatření, která by tyto ztráty měla omezit. Analýza rizik se proto nezabývá čistě jen samotnou analýzou, jak by z názvu mohlo vyplývat, ale zahrnuje několik souvisejících činností:

-- určení, případně odhad rizik;
-- vlastní analýza rizik;
-- řízení a kontrola rizik.

Určení či odhad rizika závisí na možných hrozbách a zranitelnostech systému. Nalezení všech potenciálních hrozeb a určení typu a účinnosti protiopatření není snadný úkol, protože zde hraje roli mnoho faktorů. Jiné hrozby jsou prioritní např. pro vládní organizace, jiné pro školy nebo nemocnice. Řada hrozeb je naopak charakteristická pro všechny organizace, nezávisle na typu jejich činnosti; tyto hrozby lze rozdělit do následujících skupin:

-- Vnější vlivy: zatopení vodou (včetně vody unikající z rozvodů); následky vichřic (např. padající předměty); požár (včetně blesku); zemětřesení apod.

-- Chybná funkce infrastruktury: dodávky elektrické energie; telekomunikace; veřejná doprava; vytápění nebo klimatizace.

-- Poruchy HW, SW, dat: komunikační zařízení; počítačové sítě; počítače; vstupně-výstupní zařízení; SW; datové soubory.

-- Neúmyslná lidská chyba: uživatelé; operátoři (obsluha); ostatní personál.

-- Zneužití a kriminální činy:

* Realizované z vnějšího prostředí: hackeři a viry; vloupání; žhářství; sabotáž.

* Realizované zevnitř organizace: krádeže nebo zničení HW; krádeže nebo zničení SW nebo dat; zneužití SW nebo dat; žhářství; stávka; využívání vybavení organizace pro soukromé účely.

Kromě určení potenciálních hrozeb je nutné také určit nebo odhadnout četnost nebo pravděpodobnost uskutečnění dané hrozby. Např. stávka železničářů může mít pro některou organizaci poměrně značné následky, ale četnost jejího výskytu nebyla až dosud v naší zemi příliš vysoká. Pravděpodobnost, že dojde k zemětřesení, je v naší republice

velice nízká.

Protiopatření

Jakmile jsou určeny hrozby a jejich četnost, resp. pravděpodobnost, je nutno stanovit a posoudit vhodná protiopatření, která by měla tyto hrozby zcela nebo částečně eliminovat.

Ne vždy je potřebné a účelné omezit rizika úplně. Každé protiopatření něco stojí a náklady na ně je třeba posoudit vůči možným ztrátám. Jestliže náklady na protiopatření dosahují výše možných ztrát, nebo je dokonce převyšují, je výhodnější dané riziko akceptovat.

Protiopatření nemusí riziko zcela potlačit, ale spíše omezit na úroveň, která je již přijatelná. V případě, že existuje více možných způsobů, jak určité riziko potlačit, je výhodnější zvolit řešení s lepší návratností investic.

Někdy je však nutné rizika zcela vyloučit, a to bez ohledu na náklady. Např. pro banku je určitě nepřijatelná situace, kdy nemá zaručenu integritu svých peněžních transakcí, bez ohledu na jejich výši.

Rozhodnutí, která rizika jsou přijatelná a která je nutno omezit a do jaké míry, je úkol pro vedení organizace. Samotné rozhodnutí je ale pouze jedním z kroků, za kterým musí následovat další. Je třeba určit konkrétní odpovědnosti uvnitř organizace za implementaci přijatých protiopatření, stanovit způsob jejich implementace a konkrétní časové termíny implementace.

Proces analýzy a řízení rizik není a nemůže být statický. Nové technologie přinášejí nová rizika a stará mohou odstranit. Uvažuje-li např. organizace o připojení své lokální sítě na Internet, bude asi jedním z prvních kroků důkladná analýza rizik. Některá protiopatření mohou být neefektivní, neúčinná nebo časem přestanou být nezbytná. Proto je třeba přijatá řešení pravidelně vyhodnocovat a revidovat, tj. proces analýzy rizik pravidelně v určitém intervalu opakovat.

V USA je analýza rizik povinná pro vládní organizace. Metodologie analýzy je upravena standardem FIPS č. 65, který se stal základem většiny moderních kvantitativních metodologií. Základem je kvantitativní odhad možných ztrát s přiřazením určitého faktoru dle výše ztrát, a odhad pravděpodobnosti, že ke ztrátě dojde. Z nich se potom odvozuje očekávaná roční ztráta, která organizaci hrozí, pokud nepřijme žádná protiopatření. Analýzy a řízení rizik na vládní úrovni se také týká rozhodnutí prezidenta Clintona (PDD-29) ze září roku 1994.

Nástroje

Pro zefektivnění a zjednodušení procesu analýzy a řízení rizik byly vyvinuty různé SW nástroje; nejznámějšími jsou CRAMM, RISCWATCH, MARION, AnalyZ, COBRA SARA. Většina těchto programů je zaměřena na určitou oblast činnosti a tedy i na specifická rizika této činnosti; např. MARION je zaměřen na oblast pojišťovnictví, COBRA vychází z potřeb finančních institucí, CRAMM pochází z vládního sektoru. Hlavním přínosem SW nástrojů je snadné zaznamenávání informací do databází, pohodlný přístup k datům a rychlá manipulace se zpracovávanými daty. Uživatel může sledovat vliv různých kombinací bezpečnostních opatření na případné ztráty a vybrat si pro něho nejvýhodnější řešení.

Např. metodologie CRAMM dělí úkoly analýzy rizik do tří etap:

1. etapa:

-- identifikace fyzických, datových a SW aktiv;

-- odhad hodnoty těchto aktiv podle možných ztrát;

-- určení nejdůležitějších aktiv.

2. etapa:

-- sloučení aktiv do skupin;

-- stanovení hrozeb vůči těmto skupinám;

-- odhad zranitelností;

-- stanovení úrovně požadavků na bezpečnost pro jednotlivé skupiny.

3. etapa:

-- vypracování programu protiopatření k ochraně vybraných aktiv s danou úrovní bezpečnosti;

-- porovnání s existujícím programem protiopatření a provedení úprav a změn;

-- provedení analýzy nákladů na protiopatření a hodnoty aktiv.

O tom, že podceňování analýzy rizik se nevyplácí, se můžeme pravidelně dočíst v agenturních zprávách z celého světa. V loňském roce byl např. napaden WWW server Ministerstva spravedlnosti USA. Hackeři doplnili domovskou stránku ministerstva protivládními útoky, hákovým křížem, pornoobrázky a dalšími "vylepšeními". Mluvčí ministerstva sdělil, že se nepodařilo zjistit, kdo útok provedl, ani jakým způsobem byl útok realizován. Využití nové technologie -- WWW serveru - s sebou přineslo nové možnosti zranitelnosti a hrozeb, které nebyly předmětem dostatečné analýzy. V tomto případě šlo pouze o neoprávněnou změnu veřejných informací. Mnohem vážnější důsledky může mít neoprávněná změna textu návrhu zákona, předkládaného parlamentu nejmenované země ke schválení.

Ve známém filmu "Síť" byl úmyslně modifikován lékařský záznam jednoho z vysoce postavených činitelů ministerstva obrany: negativní výsledek testu na AIDS byl změněn na pozitivní. Tento člověk kvůli výsledku testu spáchal sebevraždu. Jedná se jen o filmovou fikci nebo je tato hrozba reálná?

Analýza rizik

Analýza rizik -- angl. risk analysis -- je jedním ze základních prvků bezpečnosti IT a měla by být povinně prováděna každou organizací pracující s citlivými informacemi. Je zarážející, že některé tuzemské firmy nabízející služby (včetně školení!) v oblasti bezpečnosti IT nevěnovaly dostatečnou pozornost již překladu samotného termínu a používají zásadně nesprávný překlad -- "riziková analýza", který má z jazykového hlediska zcela jiný význam.

S analýzou rizik úzce souvisí další oblasti bezpečnosti IT, jako jsou havarijní plány a plánování obnovy činnosti,

o kterých bude pojednávat jeden z dalších dílů seriálu.


Seriál je rovněž dostupný na www.idg.cz/computerworld/bvsk/


| COMPUTERWORLD - seriál o bezpečnosti | COMPUTERWORLD | IDG CZ homepage |