Практикум по информационной безопасности: Учебно-методическое пособие, страница 23

где:

Вероятность - величина, определяющая частоту реализации угрозы в течение года.

Потенциальный ущерб  -  ущерб,   который  может  понести   организация  в  случае реализации угрозы.

Уязвимость   -   отсутствие,   недостаточность   и/или   неэффективность   контролей, предотвращающих    наступление    нежелательного    события    (величина,    обратная защищенности).

Значение вероятностиопределяется на основании следующих данных, перечисленных в порядке предпочтения:

•  статистические данные компании о состоявшихся нежелательных событиях;

•  заполненные опросные листы участников Рабочей группы;

•  общедоступные статистические сведения;

•  мнение экспертов.

Значение вероятности представляется для расчетов коэффициентом, согласно правилам, представленным в таблице ниже. Обычно при расчете рисков применяются приведенные там значения, но компания вправе применить собственную шкалу задания значений вероятностей.

Таблица 6. Правила задание значений вероятности реализации угрозы

Вероятность реализации угроз должна быть определена для каждого информационного актива во всех рассматриваемых областях ИТ рисков.

Потенциальный ущерб определяется на основании следующих данных, приведенных в порядке предпочтения:

•  статистические данные компании;

•  мнение владельца информационного актива:

•  общедоступные статистические сведения о нежелательном событии по другим организациям аналогичного размера и сектора рынка;

•  мнение экспертов.

В расчетах величина потенциального ущерба представляется коэффициентом, согласно правилам, приведенным в нижеследующей таблице. Установление уровня потенциального ущерба является результатом творческой деятельностью, зависящей от размера компании, ее финансового состояния, общей технической и производственной культуры организации и государства (государств), на территории которого (которых) функционирует организация. При задании шкалы потенциальных рисков учитываются национальные, государственные и международные (в том числе этические) особенности и особенности сред (например, среда Интернет), в которых существуют информационные активы.

Таблица 7. Описание и значения величин потенциального ущерба (пример).