Analiza şi gestiunea riscului în sistemele informaţionale

G.Cernei , doctor in economie
T.Leahu, conferentiar, doctor in economie
S.Ohrimenco, professor, doctor habilitat in economie

Analiza riscului constituie un compartiment al abordării sistemice a luării deciziilor, realizării procedurilor şi acţiunilor practice în procesul de soluţionare a problemelor de avertizare (preântâmpinare), ori de reducere a pericolului întreruperii funcţionării sistemelor informaţionale. Esenţa gestiunii riscului se reduce la colectarea şi analiza informaţiilor privind funcţionarea sistemului informaţional în ansamblu şi a fiecărei componente a lui, la analiza riscului (pericolului) şi controlului funcţionării sistemului de securitate informaţională. Procedura analizei riscului este parte componentă declarativă a securităţii, expertizei, analizei economice în baza criteriilor “valoare – securitate-profit”; asigurării şi a altor categorii de analiză şi estimare a situaţiei securităţii sistemelor informaţionale.

Sarcina de bază a analizei riscului constă în oferirea informaţiilor obiective privind funcţionarea sistemului informaţional pentru acele persoane, care preeau decizii referitoare la securitatea celui de pe urmă.

În acest sens analiza examinată trebuie să formuleze răspunsuri la următoarele trei întrebări de bază:

1. Ce rău se poate produce? (identificarea pericolului)

2. Cât de frecvent aceasta poate să se întâmple? (analiza frecvenţei)

3. Care pot fi consecinţele? (analiza consecinţelor)

De asemenea analiza în cauză poate fi considerată drept remediu eficace, în cadrul şi graţie căreia sunt determinate modalităţile de abordare a depistării pericolelor şi riscurilor, se întreprind acţiuni de formulare a deciziilor obiective referitor la nivelul riscului posibil, la stabilirea exigenţelor şi recomandărilor privind reglarea securităţii examinate.

Sunt posibile mai multe variante ale strategiei securităţii funcţionării sistemului informaţional (S.Il.) în condiţii de luare a deciziilor în situaţii de incertitudine, dar de bază sunt următoarele trei.

Prima variantă constă în evitarea riscului. Ea se reduce la refuz de acţiuni ce ar conduce la anumit risc, precum şi din temeri de consecinţe defavorabile şi din motiv că cele întreprinse în principiu nu pot avea loc în procesul funcţionării S.Il. De exemplu, chiar şi în S.Il. local închis efectiv poate exista riscul pierderilor de informaţii provocate de intervenţii ale utilizatorilor atât la nivel fizic, cât şi logic şi semantic. Pe lângă aceasta, e necesar de ţinut cont de faptul, că S.Il. încorporează o mulţime considerabilă de componente, care dispun de colecţii de diverşi parametri tehnici (timpul prelucrării refuzului , probabilitatea refuzului ş.a. )

A doua variantă este acceptarea riscului.. Aşa strategie este legată de faptul că administratorul în mod conştient recurge la risc până atunci, când consecinţele riscurilor ce s-au produs nu vor conduce la pierderi irecuperabile. Varianta examinată nu poate fi considerată optimală, aşa acum nu exclude consecinţe fatale.

A treia variantă a strategiei securităţii S.Ie. se reduce la gestiunea riscului. Ea constă în determinarea şi estimarea, precum şi elaborarea acţiunilor (măsurilor) minimizării riscului. De menţionat că gestiunea riscurilor este un domeniu interdisciplinar specific, care solicită cunoştinţe fundamentale referitoare la teoria sistemelor complexe (compuse), teoria protecţiei informaţiei ş.a.

În aşa situaţie e necesar să fie elaborată aşa strategie de gestiune a riscurilor de diverse clase în baza următoarelor modalităţi de abordare:

• diminuarea riscului prin aplicarea remediilor simple şi accesibile, cum ar fi de exemplu, organizarea raţională a gestiunii parolelor utilizatorilor ce de multiple ori reduce pericolul accesului nesancţionat;

• evaziune de la risc prin intermediul acţiunilor de ordin organizatoric;

• schimbarea caracterului riscului pe contul funcţiei asigurării în cazurile apariţiei situaţiilor imprevizibile;

• acceptarea riscului contând pe strategia gestiunii lui.

Strategia gestiunii riscului de asemenea depinde de varietatea şi indicatorii cantitativi ai lui.

Actualmente sunt cunoscute următoarele varietăţi de riscuri şi indicatori ce-i caracterizează:

• risc individual – caracterizat în baza a aşa indicator cum este frecvenţa defectării unei componente a S.Il. (de exemplu, calculatorul, sistemul de operare, aplicaţia programată, baza de date ş. a.) provocată de influenţa anumitor factori de pericol;

• risc colectiv. Se caracterizează prin numărul întreruperilor (penelor) previzibile pe parcursul anumitui termen temporal (de exemplu, refuz în deservire, pierderea resurselor informaţionale ş. a.);

• risc potenţial – caracterizat prin distribuirea spaţială a frecvenţei influenţei negative de anumit nivel asupra S.Il.;

• risc social - caracterizat de frecvenţa evenimentelor negative, în urma cărora au suferit utilizatorii S.Il.

În practica funcţionării S.Il. deseori este utilizată noţiunea de “politică a riscului”, care se interpretează drept o totalitate de acţiuni (organizatorice, tehnice, administrative ş. a.) întreprinse cu scopul diminuării pericolului luării deciziilor în momentul formulării lor şi reducerii consecinţelor negative posibile.

Procesul de analiză a riscurilor include efectuarea următoarelor proceduri de bază în următoarea succesiunea:

• planificarea şi organizarea lucrărilor de analiză;

• identificarea (evidenţierea) pericolelor;

• elaborarea recomandărilor privind diminuarea riscului (gestiunea riscului).

La fiecare etapă se elaborează şi se perfectează anumită documentaţie. Aşa, de exemplu, la etapa de planificare şi organizare a lucrărilor de analiză e necesar:

• de descris motivele şi problemele ce au provocat necesitatea acestei analize;

• de determinat sistemul analizat şi de efectuat descrierea lui;

• de selectat grupul necesar de executori ai analizei în cauză;

• de determinat şi de descris sursele de informaţii privind securitatea S.Il.;

• de stabilit restricţiile circumstanţelor iniţiale, resurselor financiare şi a altor posibilităţi care predetermină profunzimea, plenitudinea şi nivelul de detaliere a risc-analizei;

• de pus la punct determinarea scopurilor risc-analizei;

• de selectat metodologia şi metodele analizei riscului;

• de determinat criteriile riscului admisibil.

Pentru diverse etape ale ciclului de viaţă a S.Il. de asemenea pot fi determinate scopuri concrete ale analizei riscului. Aşa, la etapa de proiectare (elaborare) a S.Il. scopurile risc-analizei pot fi următoarele:

• evidenţierea pericolelor existente şi estimarea cantitativă a riscului cu luarea în consideraţie a influenţei factorilor de bază;

• analiza admisibilităţii deciziilor oferite şi selectarea variantelor optimale de instalare a utilajului; a materialelor instructive privind acţiunile personalului în situaţii critice;

• asigurarea informaţională a procesului de elaborare a materialelor instructive privind acţiunile personalului în situaţii critice;

• estimarea propunerilor tehnologice alternative.

La etapa exploatării (funcţionării) şi modernizării (modificării) S.Il. risc-analiza urmăreşte următoarele scopuri de bază:

• stabilirea şi compararea coerenţei condiţiilor de funcţionare ale S.Il. cu exigenţele respective de securitate ale lui;

• precizarea (concretizarea) informaţiilor privind pericolele de bază;

• elaborarea recomandărilor organizării funcţionării sistemului de securitate informaţională;

• revizuirea în sens de performare a instrucţiunilor de exploatare şi de deservire tehnică, a planului de restiture şi a acţiunilor în situaţii excepţionale;

• estimarea eficacităţii modificărilor structurilor organizatorice, procedeelor activităţilor practice şi de deservire tehnică pornind de la principiile de securitate.

În cazul selectării metodei de analiză a riscului e necesar de ţinut cont de complexitatea proceselor examinate, de gradul de asigurare cu date respective şi de calificarea specialiştilor preocupaţi de această analiză. Totodată, metodele de analiză mai simple şi mai clare trebuie să fie avantajate comparativ cu cele compuse, nu până la urmă clare şi metodic asigurate. În aşa context la etapa de planificare se solicită punerea la punct a tuturor deciziilor manageriale, care e necesar să fie luate şi datele (indicatorii) de ieşire ale risc-analizei ce sunt implicate în formarea lor. Criteriile riscului admisibil se determină în baza metodelor de analiză ale lui, disponibilităţii de informaţii necesare, posibilităţilor şi scopurilor analizei. Ele se pot conţine în documente normative juridice, ori pot fi determinate la etapa de planificare a risc-analizei, ori în procesul de obţinere a anumitor rezultate ale analizei. Exigenţele de bază înaintate faţă de selecţia criteriilor riscului admisibil în procesul de analiză constau în fondarea şi definitivitatea lor. 

În caz general, drept bază de determinare a gradului acceptibilităţii riscului trebuie să servească:

• legislaţia;

• regulile şi normele securităţii domeniului analizat;

• cerinţele suplimentare înaintate de organismele cu împuterniciri speciale în domeniu;

• informaţiile privind penele (avariile) ce deja s-au produs în domeniu şi consecinţele lor;

• experienţa practică de acceptibilitate a riscului în aceleaşi situaţii ori în situaţii similare.

Sarcina de bază a etapei de identificare a pericolelor constă în depistarea (în baza informaţiilor referitoare la securitatea obiectului protejat, datelor expertizelor ce au avut loc şi experienţei funcţionării sistemelor de categorie similară) şi descrierea exactă a tuturor pericolelor caracteristice pentru sistemul real. Etapa în cauză se consideră una din cele mai responsabile (decisive), aşa cum pericolele neidentificate în cadrul ei nu pot fi examinate şi dispar din câmpul vizual. Rezultatele analizei preliminare şi aplicării metodelor identificării pericolelor creează posibilităţi de a determina care elemente, blocuri ori procese ale sistemului tehnologic solicită analiză mai serioasă şi care din ele prezintă interes mai redus din punct de vedere al securităţii.

În finalul identificării pericolelor se perfectează lista evenimentelor nedorite, care conduc la pene (avarii). Această identificare de asemenea se finalizează cu determinarea direcţiilor posibile de continuare a activităţilor de securitate. Printre ele pot fi:

• decizia de stopare a analizei din motivul importanţei reduse a pericolelor;

• decizia de efectuare a unei analize mai detaliate a riscului;

• formularea recomandărilor de diminuare a pericolelor.

Dacă e necesar, după identificarea pericolelor se trece la etapa de estimare a riscului. La această etapă pericolele depistate e necesar să fie estimate din punct de vedere a coerenţei lor criteriilor riscului acceptat. Atât riscul admis, cât şi rezultatele estimării riscului pot fi exprimate calitativ (textual ori sub formă de tabele) şi cantitativ în baza calculării valorilor indicatorilor riscului. Important de menţionat, că aplicarea calculelor complexe şi costisitoare frecvent se soldează cu aşa valoare a riscului, a cărei precizie pentru sistemele informaţionale complexe este nesemnificativă. În acest sens, practica ne oferă date, conform cărora eroarea valorilor estimărilor probabilistice ale riscului, chiar şi în cazul dispunerii de toate informaţiile necesare, de regulă, poate fi nu mai mică de o ordine de mărime. În aşa situaţie estimarea cantitativă deplină a riscului este mai mult utilă pentru compararea surselor pericolelor şi pentru întreprinderea diverselor acţiuni de securitate, decât pentru formularea concluziei privind gradul securităţii sistemului. De aceea, în practică e necesar de aplicat în primul rând metodele calitative ale analizei riscului, bazată pe proceduri bine gândite, remedii auxiliare speciale (formulare, îndrumări metodice detaliate) şi experienţa practică a executorilor. Însă metodele cantitative totdeauna sunt foarte utile, în unele situaţii fiind unicele admisibile, ca de exemplu, pentru compararea pericolelor de diversă natură ori pentru ilustrarea rezultatelor obţinute. 

Una din condiţiile importante de estimare a riscului este asigurarea ei cu informaţii necesare. În cazul insuficienţei de date statistice, în practică se recomandă aplicarea estimării de expertiză şi metodelor de aranjare după rang a riscului, care se bazează pe aprecieri simpliste. Aşa modalităţi de abordare solicită aranjarea evenimentelor examinate după dimensiunile probabilităţii, gravitatea consecinţelor şi riscului în câteva grupe (categorii, ranguri), cum ar fi, de exemplu, cu nivel de risc mare, mediu şi mic. De regulă, nivelul mare al riscului se consideră inadmisibil, nivelul mediu al riscului necesită efectuarea anumitor totalităţi de activităţi de diminuare a lui, pe când riscul de nivel mic este admisibil, iar nivelul nesemnificativ al lui în general nu se examinează.

Analiza consecinţelor include estimarea influenţei pericolelor şi riscului asupra utilizatorilor sistemului informaţional, stării resurselor informaţionale şi a altor resurse ale acestui sistem. Prognosticul consecinţelor necesită estimarea efectelor fizice ale fenomenelor nedorite. În legătură cu aceasta e necesar de aplicat modelele proceselor avariate şi criteriile afecţiunii obiectelor influenţate examinate, de a se clarifica în natura şi exigenţele specifice ale lor.

La etapa estimării riscului e necesar de examinat incertitudinea şi exactitatea rezultatelor lui. Sunt cunoscute o mulţime de incertitudini legate de estimare a riscului. De regulă, sursele de bază ale incertitudinilor sunt neajunsurile informaţiilor privind fiabilitatea hard-ului (valori excesive ale erorilor) şi erorilor umane, precum şi intenţiile preluate, admisibilităţile modelelor procesului aplicat avariat. Pentru a interpreta obiectiv rezultatele estimării riscului există necesitatea conştientizării incertitudinilor şi motivelor lor. Analiza incertitudinii se reduce la transferul incertitudinii parametrilor iniţiali şi a intenţiilor aplicate în cadrul estimării riscului în incertitudinea rezultatelor. Sursele incertitudinii trebuie să fie identificate (evidenţiate) şi prezentate în rezultatele riscului. 

În caz de necesitate, la etapa finală a estimării în cauză se determină gradul riscului sistemului informaţional în ansamblu în baza analizei şi generalizării indicatorilor riscului evenimentelor stabilite.

Etapa finală de analiză a riscului constă în elaborarea recomandărilor de diminuare a lui (gestiunea riscului). Aceste recomandări sunt orientate spre recunoaşterea riscului existent drept admisibil ori ele să indice acţiunile de diminuare a riscului (ori, în caz general, să indice acţiuni de gestiune a lui).

Acţiunile de diminuare a riscului pot fi de caracter tehnic, programatic şi organizatoric. În selectarea categoriei de aşa acţiuni importanţa decisivă aparţine estimării generale a eficienţei acţiunilor ce influenţează riscul.

La stadiul funcţionării sistemului informaţional acţiunile organizatorice pot compensa posibilităţile limitate pentru întreprinderea acţiunilor esenţiale programatico-tehnice privind diminuarea pericolului. În cadrul elaborării acţiunilor de diminuare a riscului e necesar de ţinut cont de faptul, că în cazul limitării posibile de resurse, în primul rând trebuie să fie elaborate cele mai simple şi mai puţin сostisitoare recomandări, precum şi recomandările de perspectivă.

Procesul de gestiune a riscului poate fi realizat de următoarele acţiuni efectuate în următoarea succesiune:

• evidenţierea riscului ipotetic;

• estimarea riscului;

• selectarea metodelor de gestiune a riscului;

• aplicarea metodelor selectate;

• estimarea rezultatelor.

Baza metodologică de realizare a analizei riscului include în sine următorii paşi efectuaţi în următoarea succesiune.

Pasul 1 Determinarea şi descrierea tuturor activelor sistemului informaţional, printre ele de bază fiind hard-ul, soft-ul şi datele. Totodată, se stabileşte valoarea nominală a acestor active cu luarea în consideraţie a termenului de exploatare, valorii de restituirii (înlocuire) şi alţi criterii subiectivi.

Pasul 2 Formarea listei ameninţărilor posibile şi probabile. Drept ameninţare se consideră orice acţiuni, care ar provoca deschideri neancţionate, distrugeri, modificări şi refuz de deservire. Prin urmare, în cadrul acestei etape are loc identificarea mulţimii de ameninţări cu concretizarea cât mai satisfăcătoare a probabilităţii (frecvenţei) lor şi a pierderilor aşteptate.

Pasul 3 Calcularea dimensiunilor pierderilor posibile în cazul producerii ameninţărilor probabile.

Pasul 4 Determinarea remediilor posibile de opunere şi verificarea ameninţărilor, evidenţierea remediilor, costul şi eficienţei lor.

Pasul 5 Calcularea şi determinarea rezultatelor financiare, obţinute de la realizarea fiecărui remediu de opunere ameninţărilor, prin contrapunerea cheltuielilor şi profitului de la efectuarea lor.

Pasul 6 Determinarea şi formularea recomandărilor privind selectarea remediilor de opunere şi de verificare a ameninţărilor. În cazul selecţiei metodelor de opunere şi verificare a acestor ameninţări e necesar de ţinut cont de tipul S.Il., caracterul ameninţărilor (posibile şi potenţiale), scopurile analizei, criteriile riscului admisibil, dispunerea de recurse necesare pentru efectuarea analizei, de informaţii respective, de experienţa şi calificarea executorilor ş.a.

Metoda (complexul de metode) selectat e necesar să satisfacă următoarele exigenţe:

• să fie bine fondat din punct de vedere ştiinţific şi coerent S.Il. analizat;

• să se soldeze cu aşa rezultate în aşa formă, care ar contribui la claritatea evidentă a caracterului riscului şi a căilor de diminuare a lui;

• să fie iterabilă şi verificabilă.

La stadiul de identificare a ameninţărilor pot fi aplicate următoarele metode de analiză a riscului:

• “Ce se va întâmpla, dacă….?”;

• lista verificărilor;

• îmbinarea metodelor “ Ce se va întâmpla, dacă …?“ şi “lista verificărilor”;

• analiza pericolului ameninţărilor şi a consecinţelor lor;

• analiza arborelui refuzurilor (penelor, stopărilor);

• analiza arborelui evenimentelor;

• alte metode echivalente.

Metoda listei verificărilor (Check-List) şi “Ce se va întâmpla, dacă…?” (What It.) ori combinarea lor se referă la grupa metodelor calitative de estimare, bazate pe studierea condiţiilor de funcţionare şi exigenţilor existente ale S.Il., componentelor lui ori a proiectului de modernizare a acestui sistem.

Lista verificărilor conţine o totalitate de întrebări şi răspunsuri privind coerenţa S.Il. exigenţelor securităţii şi indicaţiile de asigurare a ei. La rândul său, analiza “Ce se va întâmpla, dacă …?” conţine informaţii iniţiale mai extinse şi rezulte privind consecinţele posibile ale riscurilor. Aceste metode sunt eficiente în cazurile aplicării formularelor special elaborate, blanchetelor unificate, care în practică contribuiesc la facilitarea efectuării analizei, obţinerea şi reprezentarea rezultatelor. De menţionat de asemenea că aceste metode se deosebesc prin consumuri reduse şi eficienţă evidenţă comparativ cu studierea tehnologiilor standarde de prelucrare a datelor.

Analiza categoriilor şi consecinţelor refuzurilor (F.M.E.A.- Failure Mode and Effect Analysis) se aplică în scopuri de estimare calitativă a securităţii S.Il. Particularitatea caracteristică a acestei metode constă în studierea componentelor S.Il. de pe poziţiile categoriilor şi motivelor refuzurilor, a consecinţelor lor. E posibilă şi extinderea acestei metode până la analiza cantitativă a categoriei, consecinţelor şi situaţiei critice a refuzului. Fiecare categorie de refuzuri se aranjează în depindere de următoarele două caracteristici:

• probabilitatea (frecvenţa) refuzului; 

• gravitatea consecinţelor refuzului.

Rezultatele analizei se prezintă sub formă tabelară (matriceală) cu enumerarea categoriilor şi motivelor refuzurilor posibile, frecvenţei lor, situaţiilor critice provocate de ele, remediilor de depistare şi recomandărilor de diminuare a pericolelor ameninţărilor.

În procesul acestei analize apare necesitatea în detalierea (concretizarea) categoriilor şi a frecvenţei (probabilităţii) lor referitor la componentele S.Il. şi constituantelor lor: hard-ul, soft-ul, utilaj de comunicaţie şi soft-ul lui; resursele informaţionale şi personalul. Cu aşa prilej se recomandă de a aplica următoarele criterii ale refuzurilor în depindere de gravitatea consecinţelor:

• catastrofal;

• critic;

• necritic;

• cu consecinţe foarte reduse.

Metoda analizei pericolului şi a capacităţii de funcţionare (H.A.Z.O.R.- Hazard and Operability Study) se reduce la studierea influenţei abaterilor proceselor tehnologice de la parametrii stabiliţi din punct de vedere a apariţiei pericolelor.

Pe parcursul analizei pentru procesele tehnologice se determină abaterile posibile de pe poziţii de apariţie a pericolelor şi motivelor lor, precum şi recomandările de neadmitere a lor. Caracteristica abaterilor are loc prin intermediul a aşa cuvinte – cheie, cum sunt “nu”, “mai mare”, “mai mic”, “tot aşa ca şi”, “altul”, “altfel decât”, “invers” ş.a.

Rezultatele analizei se înregistrează în blanchetele tehnologice (tabele). Metoda în cauză contribuie la depistarea neclarităţilor şi inexactităţilor în instrucţiunile de securitate. Totodată, metoda are şi anumite neajunsuri, aşa cum analiza combinărilor evenimentelor este anevoioasă.

Metodele logico- grafice de analiză a arborilor refuzurilor şi evenimentelor. În cadrul analizei arborelui evenimentelor (E.T.A. – Event Tree Analysis) are loc elaborarea algoritmului construirii (prezentării) succesiunii evenimentelor (scenariul evoluţiei situaţiei de avarie).

Analiza arborilor refuzurilor (F.I.A.- Fault Tree Analysis) este orientată spre depistarea combinărilor refuzurilor (stopărilor, staţionărilor) utilajului (de calcul şi de comunicaţie), resurselor programate, erorilor personalului şi a acţiunilor (mediului, anturajului) externe (tehnogene), care conduc la situaţii avariate.

Metoda este aplicată în scopuri de analiză a motivelor posibile ale situaţiilor de avarii şi pentru calcularea frecvenţei lor.

Atât metoda arborilor refuzurilor, cât şi metoda evenimentelor sunt foarte voluminoase după manopera1 lor şi, de regulă, sunt aplicate pentru efectuarea analizei proiectelor de modernizare a S.Il.

Conform Recomandărilor Organizaţiei Internaţionale de Standardizare (I.S.O.), clasificarea ameninţărilor pentru sistemele informaţionale e necesar să fie efectuată în baza a aşa criterii, cum sunt scopurile realizării ameninţărilor şi modalităţilor de influenţă a lor. Aceste criterii, în final, se reduc la stabilirea mecanismelor ameninţărilor şi remediilor de atac pentru fiecare bloc informaţional sau mijloc tehnic a sistemului băncii de date şi realizarea acţiunilor necesare de protecţie a resurselor respective.

După scopurile urmărite ameninţările pot fi sistematizate în următoarele categorii:

• violarea integrităţii informaţiilor, ultimele fiind pierdute ori falsificate în consecinţa eliminării ori modificării ocazionale sau nesancţionate;

• violarea accesibilităţii informaţiilor ori capacităţii de funcţionare a sistemului examinat; modificarea (schimbarea) incorectă, nesancţionată ori ocazională a regimurilor de funcţionare a componentelor aceluiaşi sistem, modificarea ori substituirea falsă a celor de pe urmă, ceea ce poate să conducă la obţinerea unor rezultate eronate, la refuzul sistemului de a prelucra fluxul informaţional ori la reţineri inadmisibile a furnizării informaţiilor, precum şi la refuzuri de a deservi;

• violarea confidenţialităţii informaţiilor; informaţiile păstrate şi prelucrate de S.Il. dispun de valoare semnificativă şi din acest motiv aplicarea ei nesancţionată poate pricinui mari daune, inclusiv şi încălcarea legislaţiei privind secretul bancar;

• violarea valorii şi semnificaţiei juridice a informaţiilor, ceea ce în ultimul timp, concomitent cu constituirea bazei normative privind securitatea informaţiilor în Republica Moldova, capătă o importanţă tot mai evidentă; de exemplu, această bază este foarte actuală pentru documentele electronice de plată şi pentru asigurarea evidenţei riguroase a oricăror servicii informaţionale. Această evidenţă constituie baza economică ce asigură funcţionarea oricărui S.Il. comercial şi contribuie la respectarea strictă a reglamentării şi înregistrării (memorizării) acceselor la informaţii în toate cazurile de recurs (adresări) la resursele informaţionale ale S.Il. De asemenea există necesitatea şi în notarizarea (înregistrare cu valoare juridică) informaţiilor oferite şi utilizate în cazurile oricăror litigii între comanditarii şi executorii activităţilor de deservire informaţională.

După modalitatea de influenţă a obiectului pot fi distinse următoarele categorii de ameninţări:

• influenţă directă (nemijlocită) a obiectului atacat, cum ar fi, de exemplu, accesul imediat la colecţiile de date, programa aplicativă în consecinţa unei erori, ori intenţionat;

• influenţă a sistemului de delimitări a mandatelor (împuternicirilor) şi autorizărilor (inclusiv şi uzurparea privelegiilor). În cazul acestei modalităţi de influenţă acţiunile nesancţionate se referă la drepturile utilizatorilor, iar însăşi accesul la obiect se efectuează ulterior pe cale reglamentată;

• influenţă mediată (prin intermediul altor utilizatori);

• influenţă “mascarad” (în cazul când utilizatorul într-un mod oarecare îşi însuşeşte atribuţiile (mandatele, împuternicirile) altor utilizatori ai S.Il.);

• “folosire oarbă” (în cazul când un utilizator impune altuia efectuarea amunitor acţiuni necesare, despre care ultimul poate nici să nu bănuiască). În aşa situaţie realizarea ameninţării se produce prin intermediul “virusului computerial” ori a “identificatorului programei aplicative”.

Aşa cum sistemele informaţionale economice se caracterizează prin volume excesive şi structură compusă, asigurarea securităţii şi fiabilităţii lor are importanţă primordială. Prin intermediul analizei riscurilor se contribuie la majorarea calităţii informaţiilor acestor sisteme, iar această majorare, la rândul său, conduce la performanţele conducerii, care, în final, influenţează direct îmbunătăţirea rezultatelor activităţilor unităţilor economice.