Информационная составляющая экономической безопасности

На современной стадии развития теории и практики управления рисками особую роль играют информационные риски, и это не случайно ввиду того, что ущерб от рисков, кражи конфиденциальной информации достигает внушительных размеров. Например, распространение или кража информации, составляющей ноу-хау предприятия, может привести к серьезным убыткам, исчисляемым в достаточно широких пределах. Величина ущерба в этом случае может быть определена только через какой-то промежуток времени, возможно, достаточно продолжительный. На момент утраты информации возможен лишь самый приблизительный подсчет убытков. На этом этапе можно прогнозировать потери, зависящие от того, как будут использовать эту информацию и какие меры противодействия предпримет пострадавшая организация. Требованиям однородности соответствует только часть рисков. К ним относятся отказы и сбои технических и программных средств. Риски, связанные с действиями человека, особенно злоумышленные, не отвечают требованиям однородности. В информационной безопасности большая доля рисков являются неоднородными. Например, сознательные злоумышленные действия персонала или сторонних лиц, использующих информацию в корыстных целях, искажающих ее, сознательно или бессознательно нарушающих достоверность информации, могут привести к критическим или катастрофическим рискам. Особенности защиты информации состоят и в том, что небольшая вероятность части рисков может привести к большому ущербу при их реализации. Описание таких рисков отсутствует, поэтому они практически не поддаются прогнозу.

Информация по рискам, подлежащим количественной оценке и идентифицированным ранее, не может быть привлечена по причине количественной неопределенности в отношении рисков, быстрого устаревания технических систем и условий проявления рисков. Технический прогресс вносит свой негативный вклад в борьбу с рисками. Информационные системы и их комплектующие поддерживают устойчивое разнообразие в управлении этими системами и оценке их эффективности. Вместе с повышением эффективности систем возрастают и риски. Известно, что чем сложнее техническая или иная система, тем в большей степени она подвержена риску несоответствия при функционировании. Даже на одном объекте идет постоянное совершенствование технической и программной структуры. Например, замена мониторов на базе электроннолучевой трубки мониторами на жидких кристаллах изменило характеристики рисков, связанных с побочными электромагнитными излучениями. Соответственно, утратила актуальность статистика по данным рискам, накопленная в конкретной информационной системе предприятия.

Основная проблема, которая сложно решается, состоит в том, что статистика по рискам собирается с трудом: не все страны готовы делиться этой информацией, множество информационных систем не являются адекватными друг другу, и информация по разнородным системам не подходит для оценки рисков. Следует отметить еще очень существенный момент в накоплении статистической информации и работы по обмену такой информацией: исследования показали, что огласке предают лишь 20% случаев проявления рисковых событий, остальные 80% не разглашаются по разным причинам — конфиденциальности этой информации, сокрытия фактов нарушений во избегании наказания. В России доступ к информации очень ограничен. Большинство объектов, имеющих крупные информационные сети и базы данных, являются закрытыми. Статистические данные, накопленные на базе систем, используемых в зарубежных странах, могут использоваться только для определения тенденций развития ситуации в области рисков.

Таким образом, статистические методы моделирования имеют ограниченное применение для исследования рисков. С помощью этих методов возможно решение частных задач исследования. Статистические методы моделирования могут применяться для изучения рисков в комбинации с неформальными методами исследования. Для управление рисками в условиях неопределенности используются методы мягких вычислений, таких как интервальный метод, нейронные сети, генетические алгоритмы. Вероятнее всего, эта тенденция будет продолжаться, и ученые разных стран будут использовать нестатистическую информацию, методы мягких вычислений, которые приведут к повышению степени неопределенности.

Информационная составляющая предприятия отличается большой неопределенностью информационных рисков. Кроме того, в ходе использования информационных систем предприятия необходимо постоянно улучшать системы управления информационными рисками. Это связано с тем, что появляются новые информационные риски, меняется законодательство, повышаются требования к системам информационного обеспечения предприятий, бизнес-процессы изменяются и усложняются, меняется структура рисков. Но главная причина заключается в том, что увеличивается убытки от информационных рисков за определенный период времени.

Адаптация предприятия к внешней среде приводит к изменению структуры и функций, поэтому меняется и совершенствуется система управления информационными рисками. Механизмы управления рисками имеют ограниченные возможности. Модернизация системы и разработка новых систем возможна либо за счет совершенствования имеющихся механизмов управления информационными рисками, либо за счет разработки новых. Разные механизмы управления требуют различных типов усовершенствования. Одни из них могут обойтись предприятию дешево, другие — дорого. Например, если требуются изменения существующих алгоритмов, программ, то только разработчики этих программ могут внести изменения в процессор, запоминающее устройство, что в большинстве случаев обходится дорого. Кроме того, современные средства защиты совмещаются (интегрированы) в электронные схемы, поэтому изменения не всегда можно осуществить.

Предприятия, деятельность которых связана с государственными тайнами, подпадают под требования национальных стандартов. Все объекты информационной безопасности и механизмы системы управления информационными рисками принимаются в расчет. Системы управления этими предприятиями проходят сертификацию в специальных лицензированных сертификационных центрах. Управление информационными рисками банковских учреждений, предприятий, представляющих угрозу здоровью граждан или окружающей среде, регламентируются государством.

Соблюдение стандартов дает возможность внедрить наиболее совершенную систему управления информационными рисками. Сертифицированные средства защиты проходят соответствующие проверки характеристик и гарантируют отсутствие не декларированных возможностей.

В целях совершенствования систем информационных рисков и повышения эффективности их деятельности менеджмент компании анализирует эффективность использования средств и делает выводы о необходимости частичной или комплексной модернизации технических средств с учетом оценки новых рисков. Анализу подвергаются другие возможные риски, которые могут реализоваться в будущем. Для систематизации рисков применяется шкала убывания ущерба за рассматриваемый период. Риски характеризуются таким показателем, как опасность риска, который вычисляется как произведение величины предполагаемого ущерба на вероятность наступления риска в будущем периоде. Ущерб может выражаться как в денежной форме, так и в нематериальной.

Часть рисков не являются статистическими, их повторяемость не имеет закономерности, поэтому наступление рискового события предсказать сложно. В этом случае применяются экспертные методы. Для оценки совокупности рисков составляются пессимистический и оптимистический прогнозы.

К. Г. Скрипкин заметил, что большинство информационных рисковых событий не являются однородными. Они с трудом поддаются даже приближенному количественному измерению. Оценка этих видов риска затруднена и тем, что нет достаточной информации (сопоставимые данные отсутствуют ввиду разнообразия структуры рисков) для их идентификации. Поэтому в таких случаях определяют и фиксируют только причины рисков, а не само рисковое событие. Причины рисков для предприятий одной отрасли, как правило, характеризуются одними и теми же источниками рисков и сходными механизмами реализации и не зависят от особенностей системы информационных рисков. Накопление информационной базы оценки причин рисков имеет существенное значение. Ввиду открытости причин возникновения рисков в пределах одной отрасли и накопления статистических данных работа с информационными рисками становится более эффективной.

На каждую информационную систему действуют свои специфические факторы риска, поэтому очень важно определить не только их влияние на экономические показатели предприятия, но и вероятность наступления события с учетом особенностей системы управления риском и специфики предприятия. Например, ведется статистика попыток взлома системы защиты от несанкционированного доступа. Зная вероятность такой попытки, а также вероятность наступления несанкционированного доступа, можно рассчитать вероятность риска, которая равна произведению данных вероятностей.

Накопление данные о рисках предприятий одной отрасли, их повторяемость и закономерность (однородные риски) позволяет достигнуть количественной измеримости большей части рисков. Как правило, в пределах одной отрасли существуют свои специфические информационные риски. Они оказывают существенное влияние на качество информации. Например, в банковской сфере главные информационные риски связаны с обслуживанием клиентов, обработкой данных о клиентах и партнерах, банковской тайной. В производственной сфере основными являются риски, связанные с бесперебойной работой оборудования, поставками сырья и материалов, сбытом продукции. Статистика величин ущерба помогает более точно определить ущерб от однородных рисков. Исследование различных ситуаций помогает анализировать основные характеристики риска и определять тенденции изменения ущерба в будущем. Информация об ущербе сопоставляется за несколько предыдущих лет и корректируется на величину вероятности средней величины на будущий период. Это обеспечивает более точные прогнозы величины будущего ущерба. Информацию об убытках в прошедшем периоде также следует корректировать, учитывая модернизацию информационных систем. Для оценки информации об ущербе и вероятности совершения событий используются:

• • регрессионный анализ;
• • метод корреляции;
• • методы интерполяции и экстраполяции;
• • факторный анализ и моделирование.

Для получения оптимальной системы управления информационными рисками необходимо создать такие механизмы противостояния информационным рискам, которое бы минимизировали затраты на внедрение управления систем информационных рисков (СИР). Это возможно лишь при условии усовершенствования и выработки новых методов и инструментов управления информационными рисками. Одним из возможных вариантов решения этой задачи является разработка множества усовершенствованных и замещаемых механизмов.

Страхование информационных рисков — основной метод защиты от ущерба, однако на практике он применяется совсем недавно. Поэтому в ближайшее время возможно применение нескольких подходов: с применением системы страхования, частичное страхование отдельных рисков, без применения страхования.