Анализ методики CRAMM

Британская компания Insight Consulting выпустила решение CRAMM (Анализ Рисков и Метод Управления), которое было разработано Службой Безопасности Великобритании в целях использования в правительственных учреждениях, т.к. существующие в то время методы анализа ИБ оказались не пригодны для обработки критичной информации. Метод CRAMM можно условно разделить на три основополагающих этапа (рисунок 4).
1. На первом этапе устанавливается уровень критичности ресурсов и задается некоторый базовый уровень, в случае превышения которого риски считаются крайне важными и к системе предъявляется высокий набор требований.
2. На втором этапе осуществляется распознавание рисков и их оценка.
3

. Третий этап представляет с собой выборку контрмер.
Рисунок 4. Схема анализа по методу CRAMM
Грамотное использование метода CRAMM позволяет получить очень хорошие результаты, наиболее важным из которых, пожалуй, является возможность экономического обеспечения организации для обеспечения ИБ непрерывности бизнеса. Предпосылками такого утверждения можно считать ряд достоинств, присущих данному методу:
отлично организованный и многократно проверенный на конкретных рисках;
способен применяться в абсолютно всех стадиях выполнения аудита защищенности, содержит объемная базу по контрмерам, применяемым в области информационной безопасности;
метод является гибким и достаточно многофункциональным для его употребления в аудите информационной системы различной степени сложности и предназначения;
дает возможность создавать проект непрерывности бизнеса.
Рассматриваемое решение обладает, как и достоинствами, описанными выше, так и рядом недостатков:
в целях использования средства необходимо привлечение стороннего квалифицированного специалиста;
проверка системы, согласно данному способу, является довольно кропотливым делом и может занять месяцы беспрерывной работы;
на выходе огромное число бумажной документации, которая зачастую оказывается ненужной;
отсутствует возможность своего добавления в базу знаний, что вызывает некоторые проблемы при адаптации этого решения к нуждам определенного учреждения.
Таким образом, проведя анализ методики CRAMM можно сделать вывод, что это мощное средство, позволяющее производить анализ рисков и решать ряд других аудиторских задач: обследование ИС, проведение аудита в соответствии с требованиями стандарта BS 7799, разработка политики безопасности компании