MEHARI 2007

Analiza mizelor de joc !i Ghidul Clasific"rii

MEHARI este marc! nregistrat! a CLUSIF

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

Recunoa!tere CLUSIF dore!te s" mul#umeasc" membrilor echipei de lucru care au contribuit la crearea acestui document. CLUSIF dore!te de asemenea s" mul#umeasc" dlui. Valentin P. M"z"reanu !i echipei sale (Alina Marin, Raluca Ungureanu) care au acceptat s" furnizeze aceast" traducere. Dl. Valentin P. M"z"reanu !i desf"!oar" activitatea n cadrul Facult"#ii de Economie !i Administrarea Afacerilor, Universitatea Al.I.Cuza Ia!i !i este director general al Paideia Consulting Ia!i. Pentru mai multe informa#ii despre activitatea dlui. Valentin P. M"z"reanu v" invit"m s" accesa#i www.managementul-riscurilor.ro. V" rug"m s" trimite#i ntreb"rile !i comentariile dumneavoastr" la adresa mehari@clusif.asso.fr

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

Cuprins
1 Introducere ..................................................................................................................................................................................... 4 2 Scara de valori a defec#iunilor........................................................................................................................................................ 6 2.1 Identificarea principalelor activit"#i !i obiectivele lor ................................................................................................................ 6 2.1.1 Rezultatele prev"zute........................................................................................................................................................... 6 2.1.2 Abordare.............................................................................................................................................................................. 6 2.2 Identificarea poten#ialelor defec#iuni.......................................................................................................................................... 6 2.2.1 Rezultate prev"zute ............................................................................................................................................................. 6 2.2.1.1 Poten#iale defec#iuni identificate la nivel func#ional .................................................................................................... 7 2.2.1.2 Poten#ialele defec#iuni identificate la nivel tehnic........................................................................................................ 8 2.2.2 Abordare.............................................................................................................................................................................. 8 2.3 Analiza mizelor de securitate: evaluarea gravit"#ii defec#iunilor identificate............................................................................. 9 2.3.1 Scara gravit"#ii..................................................................................................................................................................... 9 2.3.2 Criteriile defec#iunii !i praguri de criticalitate: rezultate elementare................................................................................. 10 2.3.3 Abordare............................................................................................................................................................................ 10 2.4 Scara de valori a defec#iunilor.................................................................................................................................................. 10 3 Clasificarea informa#iei !i a bunurilor ajut"toare ............................................................................................................................ 12 3.1 Identificarea elementelor care vor fi clasificate........................................................................................................................ 12 3.1.1 Identificarea elementelor legate de procesele de afaceri ................................................................................................... 12 3.1.2 Identificarea elementelor legate de serviciile comune....................................................................................................... 15 3.1.3 Identificarea infrastructurii ajut"toare comune care trebuie clasificat" ............................................................................. 15 3.2 Criteriile de clasificare ............................................................................................................................................................. 16 3.3 Procesul clasific"rii .................................................................................................................................................................. 16 3.3.1 Clasificarea bunurilor care sprijin" procesele de afaceri ................................................................................................... 16 3.3.2 Clasificarea elementelor legate de serviciile comune........................................................................................................ 17 3.3.3 Clasificarea elementelor de infrastructur" global" ............................................................................................................ 17 4 Construirea tabelului impactului intrinsec....................................................................................................................................... 18 5 Sfaturi practice ................................................................................................................................................................................ 20 5.1 Puncte importante care trebuiesc luate n considerare n crearea sc"rii de valori..................................................................... 20 5.1.1 Concentra#i-v" asupra aspectelor celor mai critice ............................................................................................................ 20 5.1.2 Excluderea controalelor existente...................................................................................................................................... 20 5.1.3 Consisten#a defec#iunilor de diferite tipuri ........................................................................................................................ 20 5.1.4 Aspecte strategice !i de luare a deciziilor ale sc"rii de valori............................................................................................ 20 5.2 Puncte importante n timpul clasific"rii.................................................................................................................................... 21 5.3 Limite pentru clasificare........................................................................................................................................................... 21 5.4 Planuri de ac#iune ..................................................................................................................................................................... 21 Anexa 1: Exemplu al unei sc"ri de valori (ntreprindere industrial")................................................................................................. 22 Anexa 2: Tabelul Impactului Intrinsec ............................................................................................................................................... 26

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

1 Introducere
Necesitatea unei analize a ceea ce este n joc pentru managementul riscului informa#ional a fost recunoscut" n documentul Concepte !i Mecanisme MEHARI. Aceast" analiz" trebuie s" ofere dou" seturi principale de rezultate: - Scara de valori a defec#iunilor, - Evaluarea sau clasificarea bunurilor legate de informa#ie. Din aceste dou" seturi de rezultate, se poate deduce tabelul impactului intrinsec, folosit pentru evaluarea scenariilor de risc oferite de c"tre MEHARI (vezi Ghidul MEHARI pentru Analiza Riscului). Procedura pentru analiza mizelor este descris" mai jos. Abordarea MEHARI const" n analizarea activit"#ilor ntreprinderii sau organiza#iei, !i astfel a proceselor sale de afaceri care au leg"tur" cu informa#ia, pentru a deduce ce defec#iuni ar putea avea loc, !i s" pentru a evalua ct de grave ar putea fi aceste defec#iuni. Apoi este posibil s" se evalueze bunurile legate de informa#ie.

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

Decizia de a ncepe o analiz" a mizelor

Analiza activit"#ilor !i scopurilor lor

Identificarea defec#iunilor

Analiza gravit"#ii fiec"rei defec#iuni: praguri critice

Scara de valori a defec#iunilor Scara de valori a defec#iunilor Identificarea bunurilor pentru clasificare

Clasificarea bunurilor

Clasificarea bunurilor Tabelul impactului intrinsec

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

2 Scara de valori a defec"iunilor

Acest proces este conceput pentru a oferi o scar" de valori pentru defec#iunile care ar putea afecta semnificativ activit"#ile unei entit"#i1. Analiza cuprinde patru stadii: - Analiza principalelor activit"#i !i scopurile lor - Identificarea defec#iunilor posibile pentru fiecare activitate, care poate fi realizat" la urm"toarele nivele: - Tehnic, - Func#ional. - O evaluare a nivelului gravit"#ii defec#iunilor, activitate cu activitate, - Determinarea unei sc"ri globale a valorilor pentru entitate.

2.1 Identificarea principalelor activit!"i #i obiectivele lor

Un bun punct de plecare este identificarea principalelor activit"#i ale domeniului care este analizat, descrierea lor, !i identificarea scopurilor lor sau cel pu#in rezultatele prev"zute.

2.1.1 Rezultatele prev#zute

Activit"#ile vor fi descrise n termeni func#ionali. Pe lng" o descriere func#ional", merit" s" se defineasc" rezultatele prev"zute sau scopurile activit"#ii. Aceste rezultate dorite ar trebui definite din punctul de vedere al entit"#ii, !i din acela al entit"#ilor client. Iat" un exemplu:
Func!ie Scopuri "i rezultate prev#zute

Creeaz" !i men#in o perspectiv" consolidat" a trezoreriei !i a Permite departamentului de contabilitate s" suplimenteze contabilitatea dup" necesit"#ilor ei. necesit"#i (!i s" evite pl"#ile nesus#inute).

2.1.2 Abordare
O identificare riguroas" !i exhaustiv" a activit"#ilor poate fi f"cut" printr-o analiz" a procesului n care ac#ioneaz" acestea. Acest lucru presupune identificarea tuturor proceselor din domeniul examinat, chiar !i sub-mp"r#irea lor n cte sub-procese este necesar pentru a eviden#ia diferitele dependin#e !i rezultate intermediare. Experien#a arat" c" o abordare global" !i mai intuitiv", dac" are un nivel destul de ridicat de sponsorizare a managementului, poate identifica rapid principalele func#ii !i scopurile lor. Acest lucru este suficient pentru necesit"#ile acestei abord"ri. Abordarea este astfel bazat# pe interviuri individuale (ntre 60 "i 90 de minute) cu manageri responsabili pentru diferite activit#!i n ntreprindere sau organiza!ie.

2.2 Identificarea poten"ialelor defec"iuni

Dup" ce sunt identificate activit"#ile, defec#iunile poten#iale sau cele suspectate asociate cu ele ar trebui aduse la lumin".

2.2.1 Rezultate prev#zute

Descrierea defec#iunilor ar trebui s" fie de a!a natur" nct gravitatea s" poat" fi evaluat".
Aceasta poate fi ns"!i compania sau o entitate opera#ional", pentru care sunt definite obiective de securitate, sau pentru un anumit proiect, unde riscurile specifice trebuiesc identificate. Analiza mizelor de joc !i Ghidul Clasific"rii 10 februarie 2008 6
1

Totu!i, trebuie men#ionat c" o defec#iune poate fi descris" n mai multe moduri. La nivelul elementului care deranjeaz" sau este deranjat n procesul care este examinat. Acesta ar putea fi, de exemplu, indisponibilitatea sistemului de management al trezoreriei sau baza de date asociat"; deci, la nivel tehnic. La nivelul procesului nsu!i (la nivel func#ional). De exemplu, incapacitatea de a oferi o privire consolidat" asupra necesit"#ilor trezoreriei.

Aceea!i defec#iune poate astfel s" fie descris" fie n ceea ce prive!te indisponibilitatea datelor necesare pentru a produce un rezultat specificat, fie n ceea ce prive!te incapacitatea de a executa sarcina care ar produce rezultatul. Prima dintre acestea este cunoscut" n MEHARI ca analiza la nivel tehnic a mizelor de securitate, iar cea din urm" este cunoscut" ca analiza func!ional# a mizelor de securitate.

2.2.1.1 Poten!iale defec!iuni identificate la nivel func!ional

La nivel func#ional, scopul este identificarea poten#ialelor defec#iuni care au un impact semnificativ asupra activit"#ilor ntreprinderii. Acestea vor fi de obicei defec#iuni ale proceselor. Urm"toarele criterii generice de profil ale defec#iunii procesului vor fi valabile de obicei: - Sincronizarea incorect": sarcinile sau activit"#ile care sunt planificate nu sunt terminate la timp; - Lipsa concordan!ei: sarcinile sau activit"#ile care sunt planificate nu sunt terminate n conformitate cu specifica#iile; - Lipsa completitudinii: sarcinile sau activit"#ile planificate sunt terminate doar par#ial (de!i p"r#ile terminate sunt conform cu specifica#iile); - Lipsa corectitudinii: sunt ndeplinite sarcini sau activit"#i adi#ionale care nu erau planificate sau specificate; - Lipsa discre!iei: informa#ia este dezv"luit" necorespunz"tor n timp ce sarcinile sau activit"#ile sunt ndeplinite; - Lipsa controlului: sarcinile sau activit"#ile sunt ndeplinite !i terminate dup" cum era planificat dar f"r" nici un control sau vizibilitate a execu#iei lor. Este astfel posibil s" se descrie o defec#iune n ceea ce prive!te sarcina sau activitatea implicat" de c"tre tipul de defec#iune. De asemenea este deseori util s" se descrie consecin#ele poten#iale, pentru a n#elege mai bine gravitatea lor. Astfel, folosind exemplul ipotetic al dezv"luirii necorespunz"toare a salariilor angaja#ilor, merit" s" se identifice consecin#ele poten#iale: ac#iunea de grev", obliga#ia de a da numeroase m"riri de salariu pentru anumite categorii de personal, de-motivarea personalului, !i a!a mai departe. De asemenea, dac" defec#iunea nchipuit" prive!te schimb"rile la plat", merit" identificarea faptului dac" consecin#ele poten#iale implic" sau nu frauda !i pierderea de bani, sau ac#iunea de grev" din partea personalului (sau de-motivarea acestora), sau necesitatea de a face corec#ii numeroase !i complicate. Fiecare defec!iune, la nivel func!ional, ar trebui descris# ca o schimbare n procesul de afacere. Astfel ea ar trebui descris# n ceea ce prive"te procesul sau activitatea n cauz#, precum "i prin tipul de defec!iune "i tipul poten!ialelor consecin!e.

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

Folosind exemplul managementului trezoreriei, men#ionat mai sus:

Func!ie
ntrzierea pl"#ii n conturile trezoreriei

Scopurile "i rezultatele a"teptate

Incapacitatea de a pl"ti furnizorii, implicnd o ntrerupere a livr"rilor !i astfel a produc#iei.

2.2.1.2 Poten!ialele defec!iuni identificate la nivel tehnic

La nivel tehnic, scopul este identificarea defec#iunilor semnificative n asigurarea bunurilor necesare pentru ntreprindere sau organiza#ie. Bunurile care sunt asigurate ar putea fi: - Bunuri fizice: ! Bunuri obi!nuite pentru orice ntreprindere (spa#iu pentru birouri, echipament pentru birouri, telefoane !i faxuri, alt echipament mai specific, etc.); ! Bunuri IT (servere, sta#ii de lucru, re#ele de date, etc.); ! Bunuri documentare n general, !i cele specifice pentru sarcin" sau activitate; ! Bunuri pentru comunicare (po!ta, re#ele de telefonie, etc.). - Bunuri soft: ! Date (fi!iere, baze de date, elemente de referin#" specifice cerin#elor activit"#ii); ! Programe (software de baz", aplica#ii, etc.) - Resurse umane !i bunuri: ! personalul necesar (competen#", delegare !i decizii, etc.). Tipurile clasice de defec#iuni sunt pierderea disponibilit"!ii, sau a integrit"!ii sau a confiden!ialit"!ii. La fel ca pentru defec#iunile la nivel func#ional, !i din acelea!i motive, este deseori util s" se descrie consecin#ele poten#iale, pentru a n#elege mai bine gravitatea acestora. Defec!iunile tehnice identificate astfel vor fi descrise n ceea ce prive"te degradarea care ar putea avea loc la nivelul bunurilor folosite de c#tre proces, "i al consecin!elor unei astfel de degrad#ri. Folosind exemplul anterior al trezoreriei, ob#inem:
Defec!iune
Baza de date a trezoreriei indisponibil" Managementul bazei de date a trezoreriei indisponibil

Consecin!e
ntrzieri ale pl"#ilor n conturi, care implic" o incapacitate de a pl"ti furnizorii, care la rndul ei duce la ntreruperea livr"rilor !i a produc#iei.

Not#: Exemplul folosit accentueaz" multiplicarea rezultatelor. O defec#iune dat" poate, efectiv, s" fie exprimat" fie la nivel func#ional sau la nivel tehnic. Totu!i, descrierile la nivel tehnic pot avea mai multe consecin#e, !i vor fi mai pu#in durabile deoarece depind de tehnologiile care sunt folosite. Este de aceea preferabil s" se dea prioritate descrierilor la nivel func#ional.

2.2.2 Abordare
Aici ar putea folosit" din nou o abordare foarte sistematic", pe baza unei analize a procesului !i a imagin"rii tuturor devia#iilor posibile din proces !i sub-procese: rezultate incoerente, ntrzieri n (sau absen#a) rezultate, indiscre#ie, etc. Experien#a arat" c" un nivel corespunz"tor al responsabilit"#ii n organiza#ie va identifica rapid principalele defec#iuni printr-o abordare mai global", care se reduce la a-i ntreba pe manageri de ce se tem cel mai mult sau care este cea mai mare grij" a lor. La nivel func#ional, ei cunosc procesul critic foarte bine. La nivel tehnic, chiar dac" nu pot face o list" exhaustiv" cu aplica#iile !i bazele de date folosite, pot cu siguran#" s" le descrie global folosind termeni generici care vor fi de ajuns (plat", pentru acele programe !i aplica#ii implicate, de exemplu). Descrierea defec!iunilor, fie la nivel func!ional sau tehnic, poate fi constituit# astfel prin interviuri individuale, dup# cum s-a men!ionat anterior, cu managerii diferitelor activit#!i din
Analiza mizelor de joc !i Ghidul Clasific"rii 8 10 februarie 2008

ntreprindere sau organiza!ie.

2.3 Analiza mizelor de securitate: evaluarea gravit!"ii defec"iunilor identificate

A treia faz" n determinarea sc"rii de valori a defec#iunilor vrea s# evalueze gravitatea defec!iunilor identificate anterior. Pentru a face asta, o scar" standard a gravit"#ii ar trebui folosit" ca referin#".

2.3.1 Scara gravit#"ii

MEHARI identific" 4 nivele de gravitate sau criticalitate. Acestea sunt notate de la 1 la 4. Defini#iile lor generale sunt descrise mai jos: Nivelul 4: Vital La acest nivel, riscul poten#ial este foarte grav, !i chiar !i existen#a !i supravie#uirea entit"#ii (sau cel pu#in una din principalele sale activit"#i) este n pericol. Dac" o astfel de defec#iune ar avea loc, ar privi ntreaga for#" de munc", !i ar putea crede c" slujbele lor sunt n pericol. Pentru organiza#ii, precum serviciile publice, ale c"ror func#ie nu poate fi pus" la ndoial", acest nivel al gravit"#ii ar putea conduce la un transfer la alt departament guvernamental, sau la sectorul privat. Pentru companiile comerciale, !i n termeni financiari, merit" luat n considerare faptul c" o astfel de defec#iune ar genera pierderi de a!a nivel nct ac#ionarii s-ar retrage (!i ar rezulta n sc"deri drastice n pre#ul ac#iunilor). n medicina uman", acest lucru ar fi echivalent cu un accident sau o boal" extrem de grav", sau unde doctorii s-ar ab#ine s" se pronun#e. Dac" organiza#ia supravie#uie!te unei astfel de defec#iuni, ar exista consecin#e grave !i durabile. Nivelul 3: Foarte grav Aceste defec#iuni sunt considerate foarte grave la nivelul entit"#ii, de!i viitorul s"u nu ar fi supus riscului. La acest nivel al gravit"#ii, ntreg personalul (sau, cel pu#in, o mare parte) este preocupat de condi#iile de lucru !i rela#iile sociale, dar slujbele lor nu sunt supuse riscului. n termeni financiari, acest lucru ar avea un impact foarte negativ asupra profiturilor pentru acea perioad", de!i nu s-ar nregistra o retragere masiv" a ac#ionarilor. n ceea ce prive!te imaginea public", acest nivel de defec#iune d"uneaz" deseori imaginii organiza#iei n a!a m"sur" nct ar dura mai multe luni pentru a o reface, chiar dac" impactul financiar nu poate fi evaluat precis. Accidentele care duc la luni ntregi de dezordine organiza#ional" pentru o ntreprindere ar fi !i ele evaluate la acest nivel. Nivelul 2: Grav Defec#iunile de la acest nivel ar avea un impact clar asupra opera#iunilor entit"#ii, a rezultatelor ei sau a imaginii, dar sunt controlabile global. Doar o parte limitat" din personal ar fi implicat" n rela#iile cu consecin#ele defec#iunii, cu un impact semnificativ asupra condi#iilor lor de munc".

Analiza mizelor de joc !i Ghidul Clasific"rii

10 februarie 2008

Nivelul 1: Nesemnificativ La acest nivel, orice daun" care ar rezulta nu ar avea un impact semnificativ asupra rezultatelor sau imaginii entit"#ii, chiar dac" unii membri ai personalului sunt foarte implica#i n restabilirea statului ini#ial.

2.3.2 Criteriile defec"iunii !i praguri de criticalitate: rezultate elementare

Defec#iunile identificate nu au neap"rat o singur" !i unic" gravitate. Dimpotriv", n multe cazuri defec#iunile trebuiesc caracterizate de unul sau mai mul#i parametri care sunt esen#iali pentru nivelul de gravitate. De exemplu, o ntrziere n terminarea unui proces este o defec#iune a c"rei gravit"#i ar depinde de obicei de ntrzierea cantitativ" !i de num"rul de oameni asupra c"rora ntrzierea a avut un impact. Pentru fiecare defec!iune, ar trebui defini!i parametrii semnificativi, cu valorile pragului care mut# defec!iunea de un nivel al gravit#!ii la altul. Criteriile criticalit"#ii !i pragurile lor corespondente vor permite astfel evaluarea gravit"#ii fiec"rei defec#iuni, de la defec#iunea care are un impact minimal, la una care este vital" pentru entitatea n discu#ie. Ca un exemplu, !i folosind studiul de caz de mai devreme, defec#iunea ar produce urm"torul tabel:
Defec!iune Nivelul 1 Nivelul 2 Nivelul 3 Nivelul 4 Vital

Nesemnificativ Grav Foarte grav Incapacitatea de a men#ine conturile Durata: mai pu#in de 4 Durata: ntre 4 ore !i Durata: mai mult de 2 din banc" aprovizionate corespunz"tor, ore 2 zile zile deoarece bazele de date ale trezoreriei nu sunt disponibile.

2.3.3 Abordare
Identificarea criteriilor defec#iunilor !i evaluarea pragurilor criticalit"#ii vor fi realizate n timpul interviurilor cu managerii opera#ionali din ntreprindere. n timpul aceluia!i interviu (avnd durata ntre 60 !i 90 de minute) va fi definit" !i activitatea, precum !i identificarea poten#ialelor defec#iuni, !i determinarea criticalit"#ii ca func#ie a parametrilor semnificativi. Rezultatele elementare ale fiec#rui interviu vor consta deci ntr-o descriere a acestor activit#!i, o descriere a poten!ialelor defec!iuni, "i o evaluare a nivelului lor de gravitate.

2.4 Scara de valori a defec"iunilor

Va fi realizat" apoi o compila#ie a diferitelor rezultate pentru fiecare activitate. Un exemplu par#ial2 este ar"tat mai jos, pentru o activitate HR.

n exemplu, valorile !i criteriile sunt folosite doar pentru a ilustra principiul, !i nu ar trebui n nici un caz luate ca standarde pentru aplicarea n cazuri reale Analiza mizelor de joc !i Ghidul Clasific"rii 10 februarie 2008 10

Defec!iune

Nivelul

Nivelul 2

Nivelul

Nivelul 4 >

Nesemnificativ Pierderea < 0.1 M Falsificarea datelor de plat", conducnd la fraud" Dezv"luirea personale

Grav Foarte grav Vital Pierderea Pierderea ntre Pierderea 0.1 M & 1 M ntre 1 !i 10 10 M a

informa#iilor Dezv"luirea salariului Dezv"luirea Dezv"luirea tuturor salariilor repetat" unui angajat angaja#ilor salariilor tuturor angaja#ilor Plata trzie a salariilor ntrziere < 2 zile ntrziere ntre 2 ntrziere > 15 zile !i 15 zile Distrugerea datelor de $tergerea datelor $ tergerea baz " folosite pentru plata recente (din ultima datelor din salariilor (calcule & lun") anul anterior parametri)

$tergerea tuturor datelor, !i a urmelor istorice

Dup" ce s-a examinat astfel fiecare activitate, compilarea rezultatelor va oferi sc"ri de valori a defec#iunilor pentru fiecare activitate, !i la nivel global, corporativ al organiza#iei sau companiei. Scara de valori rezultant" reprezint" doar o compilare documentar" a tuturor tipurilor de defec#iuni !i pragurile lor critice, !i poate fi v"zut" ca un pas de formalizare. Experien#a a demonstrat c" compilarea tuturor tipurilor de defec#iuni, !i pragurile lor critice, pot scoate la iveal" discrepan#e care nu ar fi v"zute la nivelul activit"#ilor individuale. Un pas de consolidare este deci necesar. n orice caz, orice concluzii sau obiecte de ac#iune care pot fi deduse din scara de valori, sau o folosesc, vor fi luate n serios doar dac" scara de valori reflect" un adev"rat consens al opiniei managerilor entit"#ii. Este de aceea foarte recomandat s# existe o discu!ie adev#rat#, "i s# se caute un consens al opiniilor privind scara de valori, cu acordul managementului asupra ei. Rezultatul final va fi o scar# de valori a defec!iunilor validat#. Un exemplu complet este dat n Anexa 1.

Analiza mizelor de joc !i Ghidul Clasific"rii

11

10 februarie 2008

3 Clasificarea informa"iei !i a bunurilor ajut#toare

Scara de valori a defec#iunilor este rezultatul principal al analizei mizelor de securitate. Ea este direct legat" de activit"#ile !i procesele fundamentale ale ntreprinderii sau organiza#iei. Acestea fiind spuse, mecanismele de analiz" a riscului, !i anumite abord"ri mai sistematice folosite pentru alegerea solu#iilor sau construirea planurilor de ac#iune, necesit" ca defec#iunile (exprimate ini#ial n termeni dependen#i de activitate) s" fie reformulate n termeni tehnici lega#i de sistemul informa#ional, n cel mai larg sens al cuvntului. Exemple sunt: pierderea confiden#ialit"#ii a anumitor baze de date, indisponibilitatea unui server dat, etc. Aceast" reformulare const" n definirea sc"rii de valori sub forma unei clasific"ri. Aceast" formulare complementar" const" n: - Identificarea bunurilor care trebuiesc clasificate (informa#ii, componentele sistemului informa#ional, aparate, etc.). - Calificarea fiec"rui bun ca o func#ie a: ! Modului n care ar putea produce o defec#iune identificat" ! Gravit"#ii care rezult". Clasificarea sau estimarea informa#iei !i a bunurilor ajut"toare #inte!te s" produc" etichete care pot fi puse pe fiecare bun astfel nct persoanele care folosesc bunul s" fie informate de importan#a acestuia n securitate.

3.1 Identificarea elementelor care vor fi clasificate

Toate bunurile ar putea fi clasificate individual, fie c" sunt informa#ionale sau elemente ajut"toare (precum site, elemente de procesare, sau re#ea !i comunicare). n practic", este mai eficient s" se grupeze informa#iile, obiectele, sau bunurile care au roluri asem"n"toare, !i care necesit" acela!i tip !i nivel de protec#ie. Deci, o aplica#ie !i uneltele sale asociate, un set de tabele cu baze de date, etc., vor fi deseori grupate mpreun" din motive de clasificare. Nu toate obiectele care pot fi identificate ntr-o entitate ar trebui clasificate individual. Acestea ar trebui grupate. Aceste grupuri de informa!ii "i bunuri sunt cele care vor fi clasificate. Oricum, este practic !i eficient s" se fac" distinc#ia ntre: ! Elementele !i bunurile care sunt legate n mod deosebit de procese sau domenii de activitate date, pe de o parte; ! Elemente de infrastructur" !i servicii comune, folosite de diferite domenii de activitate, pe de alt" parte.

3.1.1 Identificarea elementelor legate de procesele de afaceri

Pentru acele elemente !i bunuri care sunt legate de procesele de afaceri sau domenii de activitate, este recomandat s" se nceap" cu o list" a proceselor sau activit"#ilor (sau aplica#iilor IT). Acestea ar trebui unite n grupuri omogene, dup" cum s-a explicat mai sus. Pentru fiecare proces, aplica#ie sau domeniu de activitate, ar trebui identificate bunurile care trebuiesc clasificate. De obicei, bunurile primare vor fi: Aplica#ii !i proceduri (ap), ex: sursa !i codul obiectului pentru procese IT. Pentru procesele care nu #in de IT, acest lucru ar necesita o descriere documentat" a procedurilor; Date ale aplica#iilor sau baze de date (da); Date care sunt transmise sau schimbate ntre aplica#ii (tm); Fi!iere desktop care sunt asociate cu procesul sau domeniul aplica#iei (fb); List"ri !i imprim"ri generate de aplica#ie (li); Documente !i arhive ale personalului p"strate de persoane implicate n proces (ec); Po!ta (electronic" sau de alt tip) legat" de procesul aplica#iei (cf); Diferitele componente ajut"toare ale arhitecturii IT sunt identificate pentru a indica dac" acestea sunt implicate n fiecare proces sau domeniu aplica#iei. Aceste componente ar putea fi:
Analiza mizelor de joc !i Ghidul Clasific"rii 12 10 februarie 2008

Servere de aplica#ie (ASA); Servere desktop (ASB); Re#elele folosite (fie cu larg" acoperire (WAN), locale(LAN), publice (PUB)); Orice echipament specific folosit (AED); PC-uri portabile !i orice alt echipament mobil (APM);

Tabelul completat va ar"ta oarecum ca partea superioar" a Proceselor de afaceri din tabelul T1 de mai jos3:

Este posibil s" se ia n considerare alte componente ajut"toare (spa#iile utile, loca#iile...) n coloane adi#ionale Analiza mizelor de joc !i Ghidul Clasific"rii 10 februarie 2008 13

Tabelul T1 (Exemplu) Procese de Afaceri sau domenii de activitate !i Servicii Comune

Tipuri de Aplica#ie !i/sau Date ale servicii proceduri aplica#iei (baze de date)

CLASIFICARE Date ale Fi!iere desktop List Document email sau post" aplica#iei n asociate "ri sau arhive fax Mesaje tranzit sau scrise de print mn" "ri

INFRASTRUCTUR% Indica#ie (printr-un 1 sau un nume) c" aplica#ia, procesul sau domeniul aplica#iei, necesit" disponibilitatea bunurilor citate (servere, re#ea, echipament specializat, dispozitive mobile sau portabile, etc.)

A Typ
Numele coloanei pentru Clasificare ~> Aap

Apli desk LA WA PD Dispoz . N N Echip. itive top N spec Serv serv. mobile
APM

Iap

Cap AAa IAa CAa Atm Itm

Ctm Afb

Ifb

Cfb

Cli

Aec

Cec

Acf

Icf

Ccf ASA ASB ARL ARE ARP AED

Procese de afaceri Procesul 1 : HR Procesul 2 : Managementul vnz"rilor Procesul 3 : Planificarea strategic" Procesul 4 : Domeniul financiar !i contabil Procesul 5: Procesul 6 : CAD/CAM Procesul 7 : site web comercial .../... Procesul N Servicii comune e-mail Serviciul po!tal Arhivarea fi!ierelor IT Arhivele documentelor Administrarea sistemului Ajutorul & spijinul utilizatorului MSG COU ARI ARD ADM HLP 3 3 2 3 3 3 3 3 3 3 1 1 1 1 1 3 3 2 3 3 3 3 1 1 1 1 1 1 1 1 1 1 1 3 1 1 1 1 1 2 2 1 1 1 1 1 1 1 1 1 1 3 1 3 1 1 1 1 1 1 1 1 3 2 1 2 2 2 3 2 1 1 1 Wa n 2 2 1 2 2 1 2 2 1 2 2 1 1 1 1 2 2 3 3 2 3 3 3 3 1 3 1 2 2 3 3 2 3 3 3 3 1 3 1 2 2 3 3 2 3 3 3 3 1 3 1 2 3 1 3 3 1 1 3 1 Uly sse 1 2 2 3 2 1 4 2 2 3 2 2 4 2 2 3 2 2 4 1 1 2 1 3 2 3 3 3 1 2 2 1 1 1 3 3 1 1 1 1 1 1 1 Inte rnet 1 1 1 3 1 2 2 4 1 1 RL C 1 1

Tabelul T1. Clasificarea bunurilor #i componentele ajut"toare. Analiza mizelor de joc !i Ghidul Clasific"rii 14 10 februarie 2008

Merit" men#ionat faptul c", n acest tabel componentele de infrastructur" (bunurile ajut"toare) sunt men#ionate pentru fiecare proces care le folose!te. Clasificarea se aplic" doar componentelor specifice proceselor entit"#ii: aplica#ii, proceduri !i diferite tipuri de date sau informa#ii. Clasificarea componentelor comune sau dedicate infrastructurii folosite pentru crearea, procesarea, transmiterea sau consultarea informa#iilor pot fi deduse logic din clasificarea elementelor func#ionale dependente. Ar trebui re#inut !i faptul c" componentele de infrastructur" men#ionate n tabel pot fi dedicate (precum serverele de aplica#ie) sau comune (precum re#eaua cu acoperire larg"). Acest tabel este important deoarece scoate la iveal", n timpul clasific"rii, constrngerile impuse de mizele de securitate ale fiec"rei activit"#i asupra IT !i arhitecturii comunic"rii. Acest lucru, n sine, poate conduce la necesitatea de a defini sub-domenii pentru anumite activit"#i (sau sub-procese), pentru a scoate la iveal" bunuri de infrastructur" specifice (de exemplu, pentru a eviden#ia activit"#ile care folosesc PC-uri portabile). Componentele de infrastructur" care sunt folosite de c"tre diferitele procese ar trebui identificate, aplica#ie cu aplica#ie: - Fie prin simpla observa#ie c" sunt folosite de c"tre aplica#ie, de c"tre un 1 (celul" altfel goal"); - Sau prin specificarea numelui lor: nume (sub) re#ea, nume server, etc. dac" este necesar s" se diferen#ieze elementele de aceea!i natur".

3.1.2 Identificarea elementelor legate de serviciile comune

Este posibil ntotdeauna ca anumite servicii comune s" nu fi fost identificate ca elemente critice n timpul analizei proceselor de afacere. Totu!i, ele pot fi critice (ntr-o m"sur" mai mic" sau mai mare) pentru ntreprindere sau organiza#ie ca ntreg. Acesta ar fi cazul cnd, de exemplu, ele ar putea influen#a planificarea sau strategia de dezvoltare IT, sau cnd ele ar putea avea un impact asupra imaginii profesionale a organiza#iei sau a serviciilor sale ajut"toare, fie pe plan intern sau extern. Mai jos este o list" non-exhaustiv" cu ce se consider" n general ca fiind servicii comune: - Po!ta electronic" (MSG); - Serviciile po!tale (COU); - Arhivarea fi!ierelor IT (ARI); - Arhivarea documentelor (ARD); - Administrarea sistemului pentru IT !i telecomunica#ii (ADM); - Servicii de ajutare a utilizatorului (HLP); - Etc. Aceste servicii comune ar trebui identificate !i clasificate, precum cele pentru procesele de afacere men#ionate mai sus. Ele sunt incluse n partea de jos a tabelului T1.

3.1.3 Identificarea infrastructurii ajut#toare comune care trebuie clasificat#

n ceea ce prive!te bunurile ajut"toare dedicate (cele folosite de c"tre procesele de aplica#ie pentru a crea, procesa, transmite !i consulta informa#ia), clasificarea lor poate fi dedus" cu u!urin#" din cea a datelor !i informa#iilor. Astfel, un server care g"zduie!te o aplica#ie (date sau program) va avea acela!i nivel de clasificare pentru un criteriu dat (disponibilitate, de exemplu) precum aplica#ia care este g"zduit". n ceea ce prive!te bunurile comune, nivelul clasific"rii, pentru fiecare criteriu (A, I, C), este nivelul maxim indus din toate procesele de aplica#ie dependente. Anumite elemente ale infrastructurii generale ar trebui totu!i identificate separat. Acestea sunt cele ale c"ror clasificare nu va depinde doar de clasificarea acelor procese care le folosesc. Acestea ar fi bunuri de infrastructur" ale c"ror modificare ar avea o influen#" asupra IT-ului !i a comportamentului utilizatorului sau a imaginii de corpora#ie a organiza#iei !i a serviciilor sale ajut"toare (pe plan intern sau extern). Astfel de bunuri de infrastructur" merit" o evaluare complementar" a nivelelor lor critice. Acestea ar fi n mod tipic: - re#ea local" (RL);
Analiza mizelor de joc !i Ghidul Clasific"rii 15 10 februarie 2008

- re#ea cu acoperire larg" (RE); - re#ea de telefonie (RT); - servere de aplica#ie (SV) !i comune (SS); - periferice (inclusiv, de exemplu, serviciile de imprimare, !i serverele lor de printare) (PF); - portaluri c"tre servicii externe (ex. Internet) (PA); - spa#iul util (ET). Aceste bunuri de infrastructur" ar trebui examinate n mod specific, !i apoi pot fi documentate ntr-un nou tabel (T2), cu coloane specifice. Un exemplu este ar"tat mai jos:
Tabelul T2 (Exemplu) Componente de infrastructur" FUNC&IE Op#ional (descriere) Subclasa infrastruct cablare &echip. CLASSIFICATION Fi!iere de Biblioteca configurare programul ui sistemului A Afc 3 3 2 3 2 I Ifc 3 3 3 2 3 C Cfc 3 2 3 1 1 A Alp 1 1 1 1 1 1 1 I Ilp 2 2 2 2 3 2 2 C Clp 1 1 1 1 1 1 1

A Numele coloanei pentru formulele de clasificare LAN-uri WAN-uri Re#ea de telefonie Servere de aplica#ie & servere de date Servere IT sau de serviciu de re#ea (DNS, LDAP, server de autentificare, etc.) Periferice Portaluri de acces Mediu global de lucru SCA RL RE RT SV SS PF PA ET Aeq 2 2 3 2 2 1 2 2

I leq 3 2 2 2 2 1 2 1

Tabelul 2: Clasificarea infrastructurii comune

3.2 Criteriile de clasificare

Pierderea disponibilit"#ii, integrit"#ii, sau a confiden#ialit"#ii4 unui bun poate avea consecin#e opera#ionale !i de afaceri care trebuiesc evaluate. Tabelele de mai sus trebuiesc completate cu o valoare (de la 1 la 4) pentru fiecare tip de bun !i criteriu. Consecin#ele pierderii disponibilit"#ii, integrit"#ii, sau a confiden#ialit"#ii pentru datele aplica#iei sunt afi!ate n coloanele Ada, Ida, Cda, ale tabelului T1. Acela!i lucru se aplic" pentru datele office asociate (Afb, Ifb, Cfb); Pentru printuri, de obicei doar confiden#ialitatea este luat" n discu#ie (Cli). Totu!i, pentru documentele scrise !i arhive, disponibilitatea poate fi ad"ugat" la confiden#ialitate (Aec, Cec). Pentru aplica#ii !i programe, principala preocupare o reprezint" pierderea disponibilit"#ii sau a integrit"#ii (Aap, Iap). Totu!i, confiden#ialitatea (Cap) poate reprezenta !i ea o preocupare pentru anumite aplica#ii care ofer" avantaj competitiv pentru entitate. Po!ta, fie ea electronic" sau nu, este rareori considerat" la nivelul domeniului aplica#iei, cu excep#ia confiden#ialit"#ii. Disponibilitatea serverului de po!t" este acoperit" n alt" parte, ca parte a serviciilor comune (rndul MSG +coloana ASA din Tabelul T1). Pentru cablare !i componentele infrastructurii, fi!ierele de configurare !i bibliotecile de programe, principala preocupare o reprezint" pierderea disponibilit"#ii sau a integrit"#ii, cu excep#ia cazurilor specifice (vezi Tabelul T2). Pentru fi!ierele de configurare, se aplic" toate criteriile.

3.3 Procesul clasific!rii

3.3.1 Clasificarea bunurilor care sprijin# procesele de afaceri
Pentru fiecare grup" de bunuri care sprijin" procesele de afaceri sau un domeniu de activitate, va fi
Este posibil s" se defineasc" cauzele adi#ionale ale defec#iunii, !i astfel criteriile de clasificare. Cel de-al treilea este de obicei dovada sau valoarea dovezii. Analiza mizelor de joc !i Ghidul Clasific"rii 10 februarie 2008 16
4

realizat" o analiz" pentru a determina dac" o pierdere a confiden#ialit"#ii ar putea conduce la una sau mai multe posibile defec#iuni, !i, dac" acesta este cazul, la ce nivel al defec#iunii. Dac" din pierderea confiden#ialit"#ii pentru un bun ar putea rezulta mai multe defec#iuni poten#iale, este re#inut cel mai nalt nivel al acestora (pe o scar" de la 1 la 4) pentru criteriul de confiden#ialitate. Acela!i lucru este valabil pentru alte criterii (disponibilitatea !i integritatea) care rezult", pentru fiecare grup" de bunuri identificat", ntr-o valoare a clasific"rii pentru fiecare criteriu (Disponibilitate, Integritate Confiden#ialitate). Scopul clasific"rii este astfel de a defini, pentru grupurile de bunuri identificate, etichete care vor ar"ta nivelurile consecin#elor unei pierderi a disponibilit"#ii, integrit"#ii sau confiden#ialit"#ii pentru fiecare clas" de bunuri.

3.3.2 Clasificarea elementelor legate de serviciile comune

Aceea!i abordare este valabil" !i pentru serviciile comune. Merit" totu!i observat faptul c" n acest caz no#iunea disponibilit"#ii datelor aplica#iei reprezint" mai degrab" o disciplin" global" care #inte!te s" ofere p"strarea complet" a datelor (de exemplu, ntreaga baz" de mesaje a serviciului po!tal), n timp ce n partea de activitate, este mai degrab" o chestiune de disponibilitatea n ceea ce prive!te timpul de r"spuns necesar. Pentru aceste servicii comune, poate fi necesar o rentoarcere la abordarea analizei mizelor (precum !i pentru scara de valori a defec#iunilor), pentru a evalua impactul unei schimb"ri a serviciilor.

3.3.3 Clasificarea elementelor de infrastructur# global#

De asemenea, pentru elementele de infrastructur" global", eforturile ar trebui concentrate asupra impactului total al schimb"rii elementelor. Impactul particular asupra afacerii a fost analizat de c"tre scara de valori a defec#iunilor !i n timpul cre"rii tabelului T1. n particular, ar trebui evaluat impactul indisponibilit"#ii fi!ierelor de configurare (Tableul T2), lund n considerare timpul care poate fi necesar pentru a reconfigura toate componentele implicate. Acest lucru ar putea fi necesar dac" exist" o pierdere general" a configura#iei sau a fi!ierelor cu parametri, oricare ar fi motivul pentru asta, ca parte a unui plan de rezerv"/refacere, etc. Indisponibilitatea fiec"rui fi!ier de configurare (la nivelul unei activit"#i individuale) care este deja evaluat la nivelul procesului aplica#iei (care ar putea avea un impact mult mai mic).

Analiza mizelor de joc !i Ghidul Clasific"rii

17

10 februarie 2008

4 Construirea tabelului impactului intrinsec

n timpul procesului MEHARI de analiz" a riscului, este introdus" no#iunea de impact intrinsec al unui scenariu. Aceasta reprezint" evaluarea consecin#elor producerii unui scenariu de risc independent de orice m"suri de securitate (Vezi documentul Concepte Generale !i Mecanisme Principale MEHARI, precum !i Ghidul Analizei Riscului). Mai exact, baza de cuno!tin#e MEHARI se refer" la un tabel al impactului intrinsec, care poate fi completat cu informa#ii din tabelele de clasificare discutate mai devreme. Un extras din acest tabel (ar"tat n Anexa 2) este dat mai jos:
Tabelul Impactului Intrinsec Clasificarea datelor, informa!iilor "i componentelor infrastructurii Datele #i informa!iile D01 Fi!iere cu date sau baze de date ale aplica#iilor D07 Po!ta !i faxurile .../... Infrastructura IT #i cea telecom R02 Echipament !i leg"turi LAN S01 Mainframe-uri, servere de informa#ii,........ A I C

Procesul pentru completarea tabelului impactului intrinsec beneficiaz" de tabelele de clasificare a bunurilor (T1 !i T2) care au fost definite !i descrise n sec#iunea anterioar". n total, procesul const", pentru fiecare rnd al tabelului impactului intrinsec, !i pentru fiecare criteriu de clasificare (A, I sau C) n: - selectarea elementelor relevante din tabelele de clasificare; - identificarea, pentru fiecare element selectat, a nivelului maxim de clasificare, !i copierea acestuia n tabelul impactului intrinsec; Elementele selectate sunt ar"tate n tabelul T3 de mai jos, unde fiecare cmp arat": - n coloanele A, I, sau C, cea mai mare valoare g"sit" n coloane identice ale tabelelor T1 !i T2; - n coloana Condi#ie, criteriul pentru selectarea rndurilor din tabelele T1 !i T2 astfel nct s" fie extrase din fiecare tabel doar acele elemente care sunt att n rndurile ct !i n coloanele selectate.

Analiza mizelor de joc !i Ghidul Clasific"rii

18

10 februarie 2008

Formulele Tabelului Impactului Intrinsec Clasificarea datelor, informa!iilor #i a componentelor infrastructurii Date !i informa"ii D01 D02 D03 D04 D05 D06 D07 D08 DU Fi!iere de date sau date de baze ale aplica#iilor Fi!iere desktop depozitate pe server de acces comun Fi!iere desktop depozitate pe o sta#ie de lucru personal" Informa#ii scrise de mn" sau printate de#inute de c"tre utilizatori, arhive personale List"ri sau print"ri cu aplica#ii IT Mesaje trimise, date n tranzit Po!t" !i Faxuri Arhive istorice, arhive cu valoare de dovad" Date !i informa#ii publicate pe site-uri web publice A I C Condi!ie 1 2 2 1 1 1 1 3 2 2 !i 4 Regul"

T1 : coloana Ida T1 : coloana Afb T1 : coloana Ifb T1 : coloana Afb T1 : coloana: Ifb T1 : coloana Aec T1 : coloana Atm T1 : coloana Itm T1 : coloana Acf T1 : coloana Icf T1 : coloana Aec T1 : coloana AAa T1 : coloana Ida

T1 : coloana Cda T1: coloana Cfb Rnduri precum ASB # "" T1: coloana Cfb Rnduri precum ASB = "" T1: coloana Cec T1: coloana Cli T1: coloana Ctm T1: coloana Ccf

Rndurile Typ ARI !i ARD T1: coloana Cda Rnduri precum ARP # "" T1 Rnduri precum ARE # "" T2Rndul:SCA=RE T1 Rnduri precum ARL # "" T2 Rndul: SCA = RL T2 Rndul: SCA = RE T2 Rndul. SCA = RE T1 Rnduri precum ASA # "" T2 Rndul: SCA = SV sau SS T2 Rndul: SCA = SV T1 Rnduri precum AED# "" T2 Rndul: SCA = PF T1: coloana Cap

Infrastructura IT !i a comunica"iilor R01 Link-uri !i echipament WAN (sisteme de re#ea !i software- T1 : coloana AAa T1 : coloanele T2 : coloana Aeq Cda, Ida !i lap ul lor) T2 : coloana leq R02 Link-uri !i echipament LAN (sisteme de re#ea !i software- T1 : coloana AAa T1 : coloana T2 : coloana Aeq Cda, Ida !i lap ul lor) T2 : coloana leq R03 Date de configurare WAN T2 : coloana Afc T2 : coloana Ifc T2 : coloana Cfc R04 Date de configurare LAN T2 . coloana Afc T2 : coloana Ifc T2 : coloana Cfc S01 Mainframe-uri, servere de aplica#ii, !i periferice centrale T1 : coloana AAa T1: coloana Cda, dedicate, servere de fi!iere comune T2 : coloana Aeq Ida and lap T2 : coloana leq S02 Fi!iere de sistem !i de configurare a serverului T2: coloana Afc T2: coloana Ifc T2: coloana Cfc S03 A01 Infrastructura general" E01 Mediul de lucru al utilizatorului E02 Echipament de telecomunica#ii oral sau analogic I01 ntreaga instala#ie a camerei IT sau de telecomunica#ii T1: coloanele Afb !i Aec T2 : coloana Aeq T2 : coloana Aeq T2: coloana Ieq T1: coloanele Aap !i AAa T2 : coloana Aeq Echipament pentru terminal disponibil utilizatorilor (PCuri, periferice, dispozitive speciale) T1 : coloana AAa T2 : coloana T1: coloana Aap T1: coloana Iap

2 !i 4 4 4 2 !i 4 4 2 !i 4 1 1 !i 4 4 1

Toate rndurile T1 T2 Rndul: SCA = ET T2 Rndul: SCA = RT

Ultima parte a Tabelului T3 corespunde impacturilor intrinseci care nu depind de clasificarea unui bun. De fapt, necesit" evaluarea impactului intrinsec a unor tipuri de scenarii mai deosebite. n practic", acestea vor privi indisponibilitatea personalului sau neaderen#a la legi sau directive. Aceast" parte ar trebui s" fie subiectul unei analize specifice care s" ia n calcul consecin#ele posibile ale unui scenariu de risc !i impactul intrinsec direct evaluat, n mod independent de orice clasificare.

Analiza mizelor de joc !i Ghidul Clasific"rii

19

10 februarie 2008

5 Sfaturi practice
5.1 Puncte importante care trebuiesc luate n considerare n crearea sc!rii de valori
5.1.1 Concentra"i-v# asupra aspectelor celor mai critice
Este important s# v# concentra!i asupra principalelor defec!iuni, "i nu s# ncerca!i s# lua!i n considerare fiecare scenariu de risc posibil. Primul scop al securit"#ii, indiferent de abordarea folosit", este cel de a evita producerea problemelor grave sau foarte grave. Acestea reprezint" riscuri care trebuie, de aceea, s" fie identificate !i examinate. Acesta este motivul pentru care este foarte recomandat ca managementul de top !i cei responsabili pentru o activitate dat" s" fie implica#i direct n procesul de evaluare. Nu ar trebui delegat niciodat" unui delegat. n practic", pentru fiecare activitate, cel mai bine este s" se concentreze un num"r mic de defec#iuni critice (de obicei ntre 3 !i 8).

5.1.2 Excluderea controalelor existente

n al doilea rnd, dar la fel de important, defec#iunile care par imposibile la prima vedere nu ar trebui ignorate. Este ntlnit prea des cazul n care managementul alung" din minte producerea poten#ial" a unui accident care ar putea pierde toate datele importante, prin pretextul c" datele sunt computerizate !i deci arhivate de c"tre sistemul IT. Defec!iunile, "i gravitatea lor, ar trebui identificate "i evaluate f#r# a lua n considerare controalele de securitate existente, chiar dac# acele m#suri sunt implementate solid. Altfel, acest lucru ar putea conduce la concluzia c" nimic nu este supus riscului, !i c" controalele de securitate nu sunt necesare, !i deci pot fi scoase din calcul. De asemenea, natura mai mult sau mai pu!in probabil# a unui eveniment care conduce la defec!iune nu ar trebui luat# n considerare n timpul acestei faze a abord#rii.

5.1.3 Consisten"a defec"iunilor de diferite tipuri

Un alt punct important n determinarea criteriilor !i a pragurilor critice este de a men#ine o consisten#" ntre diferite tipuri de defec#iuni care au nivele de gravitate echivalente. Cu acest scop n minte, este recomandat s" se defineasc" axe strategice care pot fi folosite ca referin#" pentru a asigura consisten#a nivelelor de gravitate pentru diferite defec#iuni. Una din axele de evaluare poate fi financiar". Astfel, echivalentele financiare ar fi c"utate pentru fiecare tip de defec#iune. De asemenea, o ax" de serviciu pentru public ar reprezenta referin#a pentru compararea impactului individual, m"rimea popula#iei etc.

5.1.4 Aspecte strategice !i de luare a deciziilor ale sc#rii de valori

Deseori, gravitatea unor defec#iuni nu poate fi evaluat". Acest lucru ar putea fi din cauz" c" consecin#ele indirecte sunt greu de identificat, sau din cauz" c" este prea greu s" evaluez" serios eficien#a ac#iunilor care ar putea fi realizate n situa#ia dat". n unele situa!ii, gravitatea defec!iunii poate fi rezultatul unei simple decizii. Nu exist# o evaluare formal# ci o decizie strategic# pentru ntreprindere sau organiza!ie care spune c# o defec!iune dat# ar trebui considerat# ca fiind grav#, foarte grav#, sau vital#.

Analiza mizelor de joc !i Ghidul Clasific"rii

20

10 februarie 2008

5.2 Puncte importante n timpul clasific!rii

Mai nti, este important s" se grupeze corespunz"tor bunurile cu scopurile similare pentru a nu trebui s" se analizeze cantit"#i mari de obiecte. Un bun punct de plecare este gruparea aplica!iilor n domenii. n al doilea rnd, este recomandat s" se planifice un pas de consolidare !i validare la nivelul fiec"rei entit"#i, precum !i pentru scara de valori.

5.3 Limite pentru clasificare

n mod clar, procesul care a fost descris, fie el crea#ia sc"rii de valori sau clasificarea, se pliaz" unei entit"#i cu independen#" decizional" !i propriile sale scopuri. Aceasta ar putea fi afiliat" (na#ional sau regional) unui grup de corpora#ii, sau unei unit"#i de afaceri, sau unui serviciu opera#ional sau func#ional cu o responsabilitate bine definit". Scara de valori a defec#iunilor !i clasificarea informa#iilor !i a bunurilor care sunt definite pentru o entitate sunt evident valabile pentru acea entitate. Totu!i, care este valoarea lor n afara acelei entit"#i? Prin defini!ie, clasificarea definit# pentru o entitate reprezint# mijlocul de a mp#r!i "i comunica sensibilitatea unui bun care apar!ine acelei entit#!i. Aceast# clasificare este valabil# n ntreprindere. De fapt, aceasta este o regul" a schimbului de elemente (mai ales informa#ii) ntre entit"#i. Dac" o entitate A (o agen#ie mic", de exemplu) consider" c" confiden#ialitatea informa#iei este vital", !i o clasific" ca atare, nu este posibil ca entitatea B (sediul central de exemplu) s" regndeasc" clasificarea !i s" decid" c" informa#ia nu este sensibil". Dac" s-ar permite ca lucrul din urm" s" aib" loc, atunci entitatea A ar trebui s" decid" s" nu transmit" informa#ii entit"#ii B. Aceast" no#iune de limite ale valabilit"#ii pentru clasificare este deosebit de important" n managementul securit"#ii pe baza unei reguli stabilite numite Cadrul de referin#" n securitate. n exemplul de mai sus, precau#iile sau controalele de securitate care vor fi aplicate ca func#ie a clasific"rii sunt cunoscute. Ar fi stupid ca o entitate s" protejeze informa#iile aliniate la un nivel al clasific"rii !i ca alte entit"#i s" aplice alte reguli de protejare pentru aceea!i informa#ie. n mod deosebit, ar fi periculos pentru o alt" entitate s" decid" de una singur" c" informa#ia nu trebuie protejat" la nivelul hot"rt de o alt" entitate.

5.4 Planuri de ac"iune

Aici, vom acoperi construirea planurilor de securitate direct din analiza mizelor. Totu!i, merit" observat faptul c" interviurile individuale care contribuie la crearea sc"rii de valori, mpreun" cu o !edin#" a managementului, n care sunt discutate cele mai grave defec#iuni, ar trebui s" dea na!tere la planuri de ac#iune urgente. Orice manager ar fi frustrat s" petreac" timp cu o analiz" !i identificare a vulnerabilit"#ilor, doar ca s" afle c" nu reiese nimic de aici. Ar trebui, deci s# fie ntocmit un plan de ac!iune pentru ac!iunile cele mai urgente. Acest lucru ar trebui poate discutat "i aprobat ntr-o "edin!# a managementului, imediat dup# ce analiza mizelor este terminat#.

Analiza mizelor de joc !i Ghidul Clasific"rii

21

10 februarie 2008

Anexa 1: Exemplu al unei sc#ri de valori (ntreprindere industrial#)

1. Managementul finan!elor "i al bugetului
Defec!iune Nivelul Nesemnificativ Pierdere < 1 M 1 Nivelul 2 Grav Pierdere ntre 1 M !i10M Nivelul Foarte grav 3 Nivelul 4 Vital Pierdere ntre 10 !i 100 Pierdere > 100 M M

Pierdere financiar# Fraud# sau delapidare

Fraud" sau delapidare n achizi#ionarea !i plata corespondent" sau n managementul livr"rii. Incapacitatea global" de a factura pentru o perioad" de mai pu#in de o s"pt"mn" Incapacitatea global" de a factura pentru o perioad" cuprins" ntre o s"pt"mn" !i o lun". Pierderea informa#iilor privind livr"rile efectuate ntr-o zi. Indisponibilitatea pe termen lung a sistemului de memento. 1 Nivelul 2 Grav Dezv"luirea planurilor pe termen lung ale unui afiliat. Dezv"luirea bugetului Dezv"luirea rapoartelor lunare Nivelul Foarte grav Dezv"luirea informa#iilor privind evolu#ia strategic" Dezv"luirea planurilor pe termen lung consolidate ale ntreprinderii 3 Nivelul 4 Vital Incapacitatea global" de a factura pentru o perioad" mai mare de o lun". Pierdea complet" a dovezii livr"rii pentru o ntreag" s"pt"mn".

Incapacitatea de a factura bunurile livrate

Defec"iunea procesului de memento al clien"ilor

Indisponibilitatea temporar" a sistemului de memento.

2. Strategie Indica!ii generale Management "i urm#rire

Defec!iune Nivelul Nesemnificativ Dezv#luirea datelor sau a informa"iilor privind planurile pe termen lung sau cele strategice.

Indisponibilitatea analizei rezultatelor sau a sistemului intern de raportare

Indisponibilitatea procesului de raportare lunar"

Incapacitatea de a face rapoarte sau analiza rezultatelor pentru mai mult de 2 luni

Coruperea datelor rapoartelor lunare Defec!iune

de

raportare

!i

a Coruperea datelor elementare sau informa#ii m"rite pe baza unor date elementare.

3. Dezvoltarea afacerii managementul clientului

Nivelul Nesemnificativ Dezv#luirea informa"iilor privind opera"iunile de dezvoltare a afacerii Dezv#luirea condi"iilor financiare 1 Nivelul 2 Grav Nivelul 3 Foarte grav Nivelul 4 Vital

Dezv"luirea notelor !i sumarelor directorilor privind dezvoltarea afacerii Dezv#luirea condi"iilor Dezv#luirea financiare specifice unui documentelor anumit client strategiei de fixare a pre"ului Dezv#luirea unor elemente Dezv#luirea ale bazei de informa"ii a informa"iilor despre clien"ilor to"i clien"ii Dezv#luirea condi"iilor financiare pentru to"i clien"ii.

Dezv#luirea informa"iilor despre client

Analiza mizelor de joc !i Ghidul Clasific"rii

22

10 februarie 2008

4. Cercetare "i dezvoltare

Defec!iune Nivelul Nesemnificativ Dezv#luirea informa"iilor tehnice Dezv"luirea modelelor de simulare 1 Nivelul 2 Grav Dezv"luirea buletinelor tehnice curente Dezv"luirea informa#iilor despre specifica#iile sau procedurile interne !i despre evolu#ia curent" Nivelul Foarte grav Dezv"luirea buletinelor tehnice n cazuri excep#ionale Dezv"luirea informa#iilor asupra impactului evolu#iei tehnice, rezultnd n nchiderea unit"#ilor. 3 Nivelul 4 Vital

nc#lcarea acordurilor de confiden"ialitate

nc"lcarea acordurilor de nc"lcarea acordurilor de confiden#ialitate cu confiden#ialitate cu partenerii furnizorii cheie de tehnologie Pierderea arhivelor a memorandumurilor !i a buletinelor tehnice privind dezvoltarea tehnic".

Pierderea expertizei

5. Managementul procesului industrial Proiecte pentru evolu!ie - ntre!inere

Defec!iune Nivelul Nesemnificativ Pierderea arhivelor de documente a proiectului de evolu"ie Pierderea documenta"iei tehnice pentru echipamentul existent Pierderea arhivelor proiectului pe durata de via#" a proiectului. Pierderea copiilor n original a planurilor echipamentului care au fost aprobate de c"tre autorit"#ile competente. 1 Nivelul 2 Grav Pierderea total" a arhivelor pe termen lung privind echipamentul !i modific"rile f"cute la acesta. Nivelul Foarte grav 3 Nivelul 4 Vital

Defec"iune care conduce la folosirea planurilor de instalare incorecte n timpul evolu"iei !i actualiz#rilor

Dezv#luirea informa"iilor tehnice

Erori n, sau schimb"ri la planurile de instalare existente, sau defec#iunea managementului de schimbare. Dezv"luirea temelor de Dezv"luirea tuturor munc" !i a programului de dosarelor pre-proiectului cercetare a pre-proiectului (inclusiv pozi#ionarea strategic" a proiectului) Indisponibilitatea uneltelor interne de planificare Indisponibilitatea uneltelor de management al ordinii pentru mai pu#in de o s"pt"mn" Indisponibilitatea uneltelor de management al ordinii pentru proiect pentru mai mult de o s"pt"mn"

Indisponibilitatea uneltelor de management al proiectului

Defec"iune n managementul de ntre"inere

Pierderea bazei de date a ac#iunii de ntre#inere planificate

Indisponibilitatea uneltelor de management al ntre#inerii pentru mai pu#in de o lun" Pierderea datelor tehnice !i istorice necesare pentru planificarea ntre#inerii

Indisponibilitatea uneltelor de management al ntre#inerii pentru mai mult de o lun" Schimb"ri ale parametrilor uneltelor de management al ntre#inerii

Analiza mizelor de joc !i Ghidul Clasific"rii

23

10 februarie 2008

6. Produc!ie "i livrare - Logistic#

Defec!iune Nivelul 1 Nesemnificativ Nivelul 2 Grav Nivelul 3 Foarte grav Nivelul 4 Vital Produc#ia oprit" pentru mai mult de 3 luni. Pierderea unui element critic, conducnd la pierderea produc#iei pentru mai mult de 3 luni.

Produc"ia oprit# (nici un sistem nu este Nici un fel de produc#ie Nici un fel de produc#ie Nici un fel de produc#ie disponibil, pierderea unui element critic) pentru mai mult de o pentru o perioad" ntre 1 ntre 1 !i 3 luni. s"pt"mn" s"pt"mn" !i 1 lun". Pierderea unui element Pierderea unui element critic, conducnd la critic, conducnd la pierderea produc#iei pentru pierderea produc#iei pentru o perioad" ntre 1 !i 3 luni mai pu#in de 1 lun". Uneltele de indisponibile management al produc"iei Uneltele de management al produc#iei indisponibile pentru mai pu#in de o s"pt"mn" Uneltele de management al Uneltele de management al produc#iei indisponibile produc#iei indisponibile pentru o perioad" cuprins" pentru mai mult de o lun" ntre o s"pt"mn" !i o lun"

Coruperea uneltelor de management al produc"iei sau falsificarea parametrilor de management

Modificarea managementului de produc#ie conducnd la neconformitatea produselor

Modificarea managementului de produc#ie conducnd la accidente sau la deteriorarea uneltelor de produc#ie

Incapacitatea de a asigura logistica pentru Incapacitatea de a asigura Incapacitatea de a asigura livrarea produselor livr"rile critice pentru mai livr"rile critice pentru mai pu#in de o s"pt"mn" mult de o s"pt"mn"

7. Rela!iile cu p#r!ile ter!e (altele dect comerciale)

Defec!iune Nivelul Nesemnificativ Dezv#luirea informa"iilor asupra rezultatelor corpora"iei Defec"iune n procesul pentru consolidarea conturilor anuale ntrziere n publicarea conturilor de mai pu#in de 2 s"pt"mni 1 Nivelul 2 Grav Nivelul Foarte grav 3 Nivelul 4 Vital

Publicarea prematur" a Publicarea prematur" a rezultatelor unui afiliat conturilor consolidate ntrziere n publicarea Pierderea total" a tuturor conturilor de mai mult de elementelor financiare 2 s"pt"mni necesare pentru producerea conturilor anuale

Dezv#luirea notelor sau a memoriilor privind riscurile, opera"iunile sau mecanismele fiscale Pierderea elementelor istorice care justific# o opera"iune fiscal# Plata trzie a taxelor !i impozitelor

Dezv"luirea notelor sau a memoriilor privind riscurile, opera#iunile sau mecanismele fiscale n func#ie de con#inutul notei sau al memoriului Pierderea elementelor istorice care justific" o opera#iune fiscal" Indisponibilitatea uneltelor de calcul a pl"#ii taxelor Pierderea autoriza#iilor oficiale pentru a opera Pierderea documentelor oficiale sau a arhivelor care sunt cerute din punct de vedere legal de c"tre procedurile administrative (taxe, export)

Pierderea documentelor oficiale sau a arhivelor

Analiza mizelor de joc !i Ghidul Clasific"rii

24

10 februarie 2008

8. Managementul reclama!iilor aspecte legale "i penale

Defec!iune Nivelul Nesemnificativ Dezv#luirea probelor sau argumentelor legate de o reclama"ie. Dezv#luirea a p#r"i dintr-o expunere penal# privind personalul 1 Nivelul 2 Grav Nivelul 3 Foarte grav privind o Nivelul 4 Vital

Dezv"luirea informa#iilor Dezv"luirea informa#iilor privind o reclama#ie n curs. reclama#ie excep#ional".

Dezv"luirea a p"r#i dintr-o Dezv"luirea a p"r#i expunere penal" curent" dintr-o expunere penal" n circumstan#e excep#ionale Pierderea sau dispari#ia Pierderea sau dispari#ia contractelor originale originalelor unor acorduri specifice, declara#ii de inten#ie, etc.

Pierderea sau dispari"ia originalelor unor documente

9. Managementul HR
Defec!iune Nivelul Nesemnificativ Dezv#luirea informa"iilor personale Dezv"luirea salariului unui angajat ntrziere < 2 zile 1 Nivelul 2 Grav Dezv"luirea salariilor ntreg personalului Nivelul Foarte grav Dezv"luirea repetat" a salariilor ntreg personalului 3 Nivelul 4 Vital

ntrzieri la plata salariilor

ntrzieri ntre 2 !i 15 zile ntrzieri > 15 zile $tergerea tuturor datelor, inclusiv a datelor istorice

Distrugerea datelor de baz# privind plata $tergerea datelor recente $tergerea datelor pentru salariilor (calcule !i parametri) (nu mai vechi de o lun") ntregul an

10. Sistemul informa!ional

Defec!iune Nivelul Nesemnificativ Indisponibilitatea re"elei !i a serverelor (date comune !i personale) Indisponibilitatea sistemului de e-mail Indisponibilitatea re"elei de telefonie Pierderea arhivelor 1 Nivelul Grav 2 Nivelul Foarte grav 3 Nivelul 4 Vital

Indisponibilitatea pentru Indisponibilitatea pentru mai pu#in de o lun" mai mult de o lun" Indisponibilitatea sistemului de e-mail Indisponibilitatea re#elei de telefonie Pierderea serverelor de date, sau a arhivelor de email Coruperea tabelului drepturilor de acces !i crearea drepturilor de administrare Dezv"luirea rapoartelor directorilor sau a informa#iilor detaliate privind securitatea sistemului !i sl"biciuni necorectate.

Crearea ilicit# a drepturilor de administrare asupra sistemului

Dezv#luirea informa"iilor despre sistem sau arhitectur#

Analiza mizelor de joc !i Ghidul Clasific"rii

25

10 februarie 2008

Anexa 2: Tabelul Impactului Intrinsec

Tabelul Impactului Intrinsec
Nivelul clasific"rii datelor, informa!iilor #i al componentelor de infrastructur" Date "i informa!ii D01 Fi!iere de date sau baze de date accesate de aplica#ii D02 Fi!ierele !i datele office comune D03 Fi!iere office personale (pe PC, etc.) D04 Informa#ii !i date scrise sau printate p"strate de utilizatori !i arhive personale D05 List"ri sau documente printate D06 Mesaje trimise, screen view-uri, etc. (date par#iale) D07 Po!ta !i faxuri D08 Documente sau arhive patrimoniale folosite ca dovezi D09 Date !i informa#ii publicate pe site-uri publice sau interne Infrastructur# : telecomunica!ii "i sisteme R01 Echipament !i cablaj pentru re#eaua cu larg" acoperire (sisteme de re#ea !i software asociat) R02 Echipament !i cablaj pentru re#eaua local" (sisteme de re#ea !i software asociat)
R03 Date de configurare pentru WAN R04 Date de configurare pentru LAN S01 Sisteme principale, servere care g"zduiesc aplica#ii !i echipamentele lor periferice, servere de

fi!iere comune
S02 Fi!iere de configurare legate de sistemele !i serverele principale S03 Sta#ii de lucru !i terminale (PC, imprimante locale periferice, interfe#e specifice, etc.)

A01 Software, package sau middleware pentru aplica#ii (cod executabil) A02 Cod surs" A03 Fi!iere de configurare legate de aplica#ii A04 Aplica#ii !i software al utilizatorului sau clientului Infrastructura general# E01 Spa#iul de lucru !i mediul utilizatorului E02 Echipamente folosite pentru schimburile orale (telefon, etc.) 101 Totalitatea camerei computerelor !i premise telecom Impacturi intrinseci (obiecte globale sau nelegate de un anumit obiect) Indisponibilitatea personalului P01 Echipe de speciali!ti (legat de afaceri) P02 Personalul pentru opera#iuni IT Neconformarea legal# "i reglementar#
C01 Neconformarea la legi !i reglement"ri privind protec#ia vie#ii private C02 Neconformarea la legi !i reglement"ri privind controalele financiare C03 Neconformarea la legi !i reglement"ri privind drepturile de proprietate intelectual" C04 Neconformarea la legi !i reglement"ri privind protec#ia sistemului informa#ional C05 Neconformarea la legi !i reglement"ri privind punerea n pericol a personalului !i a siguran#ei

publice !i a mediului

Analiza mizelor de joc !i Ghidul Clasific"rii

26

10 februarie 2008