NIST SP 800-30 оцінювання ризиків інформаційної безпеки

Що це таке

NIST Special Publication 800-30 Revision 1, "Guide for Conducting Risk Assessments," - документ методології, опублікований Національним інститутом стандартів і технологій у вересні 2012 року. Він задає, як проводити оцінювання ризику інформаційної безпеки: ідентифікувати джерела загроз і події, які вони могли б ініціювати, вразливості і схильні умови, що дали б тим подіям завдати шкоди, наскільки це ймовірно і наскільки поганим був би вплив, потім поєднати ймовірність і вплив у рівень ризику. Він підсилює ширший процес управління ризиками в NIST SP 800-39 і безпосередньо живить Risk Management Framework у NIST SP 800-37, де результати оцінювання ризику інформують категоризацію безпеки, відбір заходів, впровадження, оцінювання і рішення уповноважити систему до експлуатації.

NIST розробив настанову за своїми статутними обов'язками щодо федеральної інформаційної безпеки за FISMA, і документ каже, що він "satisfies the requirements of FISMA and meets or exceeds the information security requirements established for executive agencies", задані Office of Management and Budget. Його настанови застосовуються до федеральних інформаційних систем, інших ніж ті, що позначені як системи національної безпеки, хоча їх можна застосовувати і до систем національної безпеки за схваленням відповідного політичного органу. Поза федеральним урядом ніщо з цього нікого не зобов'язує безпосередньо: настанова каже, що її "may be used by nongovernmental organizations on a voluntary basis," і прямо заохочує уряди штатів, місцеві і племінні уряди та організації приватного сектора розглянути її застосування.

Кому це має бути небайдуже

Документ називає аудиторію за функцією, у власному Section 1.2: ті, хто має відповідальність нагляду за управлінням ризиками, ті, хто веде місії і бізнес-функції організації, ті, хто закуповує інформаційні технології, ті, хто проєктує і впроваджує інформаційні системи, ті, хто керує інформаційною безпекою день у день, і ті, хто насправді оцінює або аудитує ризик. Для когось поза федеральним урядом практичний тригер зазвичай - контракт замовника або анкета безпеки, що вже використовує цей словник, бо сам документ зобов'язання не створює.

Чотирикроковий процес

Зміст настанови - чотирикроковий процес, кожен крок складено з названих завдань із підсумком ключових дій.

Prepare задає контекст: мету оцінювання, його охоплення (які частини організації, який часовий горизонт, яка архітектура), припущення і обмеження, за яких воно йде, джерела інформації, що будуть використані, і модель ризику та аналітичний підхід (кількісний, якісний або напівкількісна суміш обох; орієнтований навколо загроз, активів і впливів або вразливостей).

Conduct - найдовший крок. Він проходить: ідентифікацію і характеристику джерел загроз, зловмисних джерел за спроможністю, наміром і націлюванням, незловмисних джерел (помилки, структурні відмови, стихійні лиха) за діапазоном наслідків; ідентифікацію подій загроз, які ті джерела могли б ініціювати, і наскільки кожна релевантна, спираючись на великий каталог зловмисних тактик і технік і представницькі незловмисні події на кшталт пожежі, повені чи вичерпання ресурсів; ідентифікацію вразливостей і схильних умов і оцінювання їхньої серйозності та поширеності; визначення ймовірності, що подію загрози ініційовано або вона відбувається, і ймовірності, що вона завдає шкоди, якщо так; визначення величини впливу на операції організації, активи, осіб, інші організації або Націю; і поєднання ймовірності та впливу в загальний рівень ризику.

Communicate результати особам, що ухвалюють рішення, і ділиться підтримувальною інформацією по організації, зазвичай через звіт оцінювання ризику, що охоплює мету і охоплення оцінювання, зроблені припущення, використану модель ризику та аналітичний підхід, обґрунтування суджень і пріоритезований перелік знайдених ризиків.

Maintain оцінювання через постійний моніторинг залучених факторів ризику, оновлюючи оцінювання, коли моніторинг, оцінювання заходів безпеки або інциденти змінюють картину.

Аудитор або рецензент шукає заповнені робочі таблиці за кожним із цих кроків (джерела і події загроз, вразливості і схильні умови, визначення ймовірності та впливу і результуючі рівні ризику), кожну з задокументованим обґрунтуванням, плюс звіт такого плану.

Що вирізняється

Три речі відділяють це від приписової контрольної таблиці стандарту. По-перше, немає обов'язкової методології: настанова прямо каже, що "organizations have maximum flexibility on how risk assessments are conducted." По-друге, вона наполягає на трьох рівнях оцінювання, організація, місійний/бізнес-процес і інформаційна система, і попереджає, що оцінювання ризику, які дивляться лише на рівень інформаційної системи, "tend to overlook other significant risk factors", видимі лише на рівні організації чи процесу. По-третє, "likelihood" тут - оцінене судження, а не статистична ймовірність: оцінювачі ризику "do not define a likelihood function in the statistical sense," вони призначають оцінку на основі доказів, досвіду і експертного судження.

Як це оцінюють

Сертифікації і схеми акредитації для SP 800-30 немає. Це настанова, що описує методологію, а не стандарт системи управління, і ніщо в ній не описує органу, що сертифікує відповідність їй.

Для федерального агентства нагляд іде через ширший режим FISMA, і документ конкретний щодо того, що той нагляд насправді перевіряє: Inspectors General, оцінювачі, аудитори і асесори "consider the intent of the security concepts and principles articulated within the specific guidance document and how the agency applied the guidance" до власної місії і середовища, а не аудитують дослівну відповідність шаблону. Оцінювання також живить конкретне рішення всередині того процесу: рішення authorizing official, за Risk Management Framework, чи експлуатувати систему в її поточній позиції безпеки. На що спирається те рішення (і будь-який пізніший перегляд) - заповнені таблиці ризику і звіт оцінювання ризику, що записує мету, охоплення, припущення, модель ризику і обґрунтування за кожним судженням. Поза федеральним урядом ніщо з цього не перевіряє, якщо контракт замовника не створює власної вимоги щодо цього.

Стандарти, на які посилається

NIST SP 800-30 сидить усередині родини публікацій NIST: він підсилює NIST SP 800-39 (батьківський процес управління ризиками) і живить NIST SP 800-37 (Risk Management Framework), спираючись на NIST SP 800-53 і SP 800-53A для заходів безпеки, які оцінювання ризику допомагає відібрати і оцінити, і на FIPS 199 і FIPS 200 для категоризації безпеки і мінімальних вимог, які оцінювання Tier 3 припускає вже на місці. Жоден із них ще не в нашому каталозі, тож їх названо тут, а не з посиланням.

Документ також називає ISO/IEC 27005, міжнародний стандарт управління ризиками інформаційної безпеки, поряд з ISO/IEC 31000 і ISO/IEC Guide 73, кажучи, що власні концепції "intended to be similar to and consistent with" тією родиною стандартів, щоб зменшити тягар на організації, що відповідають і ISO/IEC, і NIST.

Стандарти, на які він посилається

• ISO/IEC 27005Довідково

Інші стандарти в темі «Стандарти та методи управління ризиками»

• ISO 31000Управління ризиками за ISO 31000
• NIST SP 800-37NIST SP 800-37 рамка управління ризиками для інформаційних систем