Модель и метод структурированной оценки риска при анализе информационной безопасности

Актуальность. Бурное внедрение информационных технологий в структуры современных организаций стало объективной реальностью. Нам всех управленческих уровнях имеется желание расширить свои коммуникационные и информационные возможности за счет внедрения современных информационных технологий. В результате информационные структуры организаций разрастаются: локальные сети организаций подключаются к Internet, объединяются в офисные многоярусные структуры, разрастаются до уровня распределенных корпоративных сетей.

Внедрение средств вычислительной техники в структуру управления современных предприятий и организаций является, безусловно, прогрессивным процессом, поэтому вполне объяснимо, что до определенного момента не возникает вопросов и опасений, связанных с использования информационных технологий. Следствием этого часто является стихийный рост информационной инфраструктуры организации, которая по мере приобретения средств вычислительной техники разрастается «вширь», приобретая неструктурированный гетерогенный характер. Это в свою очередь приводит к неконтролируемому росту уязвимостей системы и увеличению возможностей доступа к управленческой и производственной информации со стороны внешних и внутренних нарушителей. ИС становится потенциально опасной для своих собственников, своего рода «миной замедленного действия».

До определенного момента не возникает вопросов и об оценке величины риска, рост которого следует рассматривать как обратную сторону процесса информатизации. Проблема усугубляется тем, что вопросы информационной безопасности, обычно, отдаются на откуп специалистам по информационным технологиям, которые часто не в состоянии определить реальных последствий для организации угроз информационной безопасности. Менеджеры предприятия, которые могли бы оценить реальные последствия угроз, часто имеют недостаточных знаний в области информационных технологий, чтобы оценить связанные с этим риски.

Таким образом, в организации часто не оказывается специалиста, который мог бы оценить реальные риски, связанные с использованием информационных технологий, хотя, очевидно, что оценка риска нужна не только с точки зрения безопасности уже сложившейся инфраструктуры, но и для правильной оценки перспектив использования и развития информационных технологий. Более того, своевременную оценку риска следует рассматривать не только как функцию управления ИС, но и как защиту организации в целом, ее способности выполнять свои функции. Следовательно, процесс управления рисками следует рассматривать не как техническую функцию, которую можно поручить техническим специалистам, а как основную управляющую функцию организацию. согласно современным международным стандартам в области ИБ подсистема управления рисками ИБ должна быть обязательным компонентом общей системы обеспечения информационной безопасности организации.

Целью работы является получение структурированной оценки рисков состояния ИБ в ИС на предприятиях и в организациях.

Объектом исследования данной работы являются ИС предприятий, обладающие гетерогенной многоуровневой структурой.

Предмет исследования составляют методы и модели аналитических исследований, позволяющие произвести оценку рисков состояния ИБ в объекте исследования.

Научная новизна работы состоит в том, что на основе разнородных методов оценки рисков ИБ, анализ которых был проведен в рамках данной работы, был разработан структурированный подход к решению проблемы ИБ в ИС, обладающих сложной инфраструктурой.

Практическая ценность работы заключается в том, что работа определяет способ получения качественных и количественных оценок величин риска с максимальными возможностями учета априорных данных и результатов предварительных исследований характеристик и свойств ИС. Полученные оценки риска могут быть использованы при разработке Концепции обеспечения ИБ на этапе формирования ИС и для поддержания уровня риска на приемлемом уровне на этапе эксплуатации ИС.

Данная работы может быть полезна аналитиком в области информационной безопасности, у которых возникает задача обобщения большого количества данных о характеристиках и свойствах исследуемой системы специалистам, эксплуатирующим ИС или отвечающим за состояние ИБ, для контроля и поддержания допустимого уровня безопасности. Она рекомендуется также менеджерам для определения объема и стоимости работ по оценке рисков.

Краткий обзор содержания работы:

В первой главе рассмотрены основные методы и средства оценки текущего уровня информационной безопасности: дан обзор методов и методик управления информационными рисками, рассмотрены стандарты в области информационной безопасности и методы оценки затрат и инвестиций в информационную безопасность.

Во второй главе предлагается модель структурированной оценки риска при построении системы информационной безопасности, позволяющая, вне зависимости от метода оценки затрат и инвестиций, создать эффективную и экономически оправданную систему защиты информации.

В третьей главе описывается метод выполнения аналитических работ по структурированной оценке рисков.

В заключении приведены основные результаты исследования и полученные выводы, их анализ и возможности практического применения.