ГОСТ Р ИСО/МЭК ТО 13335-3-2007 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента безопасности информационных технологий

     8.2 Неформальный подход

Второй вариант подхода предусматривает проведение неформального анализа риска, основанного на практическом опыте конкретного эксперта. Неформальный подход предполагает использование знаний и практического опыта специалистов, а не структурных методов.

Этот подход обладает следующими достоинствами:

- не требует использования значительных средств или времени. При его использовании эксперт не должен приобретать дополнительные знания по своей специальности, а затраты времени на анализ риска при этом меньше, чем при проведении детального анализа риска.

Однако данный подход имеет и свои недостатки:

- при отсутствии хотя бы одного элемента базового подхода (первый вариант стратегии анализа риска) или комплексного перечня контрольных операций увеличивается вероятность пропуска ряда важных деталей у всех систем информационных технологий, действующих в организации;

- могут возникнуть трудности при обосновании необходимости реализации защитных мер, определенных по результатам анализа риска, проведенного подобным подходом;

- для экспертов, не обладающих значительным опытом работы в области анализа риска, не существует готовых рекомендаций, которые могли бы облегчить их работу;

- подходы организации к анализу риска в прошлом были продиктованы исключительно оценкой уязвимости систем, т.е. потребность в мерах обеспечения безопасности основывалась на наличии у этих систем уязвимостей без анализа того, существуют ли угрозы, способные реализовать наличие этих уязвимостей (без обоснования реальной необходимости в использовании защитных мер);

- результаты проведения анализа могут в какой-то мере зависеть от субъективного подхода, личных предубеждений эксперта и, кроме того, могут возникнуть проблемы в случае, если специалист, который проводил неформальный анализ, покидает организацию.

С учетом приведенных выше недостатков второй вариант подхода к анализу риска для многих организаций будет неэффективным.