Оценка эффективности инвестирования в информационную безопасность предприятия на основе нечетких множеств

Информационная безопасность сегодня требует пристального внимания со стороны руководства, поскольку на многих предприятиях внедрены или планируются к внедрению системы автоматизации, компьютерного учета и автоматизированного планирования — все они имеют дело с базами данных, информацией, собранной централизованно и представляющей собой удобную мишень для злоумышленников. Но защита информации — это сложная и затратная задача. Помимо высоких инвестиций, необходимо решить противоречие между доступностью информационных ресурсов, то есть их удобством — одним из основных преимуществ информатизации — и необходимой степенью защиты. Так как защитные меры приводят к снижению удобства использования информационных ресурсов и несут неявную и зачастую плохо вычисленную выгоду, решения в пользу безопасности принимаются лишь в случае личностного влияния сторонника защиты информации. Другим стимулом может послужить компрометация безопасности — пока угрозы не реализуются, убедить руководство инвестировать в информационную безопасность очень сложно. Но если инцидент уже случился, то строить системы безопасности, как правило, бесполезно.

Сегодня требуется количественная, оценка рисков и преимуществ, основанная на рациональных математических моделях. В данной работе предложена методика оценки эффективности инвестиций в информационную безопасность на предприятии, основанная на нечетких множествах.

Актуальность темы

диссертационного исследования.

Актуальность работы обусловлена растущими информационными активами предприятий и автоматизацией производственных процессов. Эти факторы обуславливают необходимость принятия решений об инвестировании в информационную безопасность в условиях неопределенности.

Зачастую решения в данном случае принимаются без достаточных сведений об угрозах из-за отсутствия статистических данных и даже информации о стоимости информационного актива, а, следовательно, и последствия компрометации информационной безопасности, известны лишь в некотором приближении. Из-за этого неизбежны экспертные оценки, добавляющие еще одну грань к неопределенности. Аппарат нечетко-множественной оценки позволяет учитывать все эти факторы при построении математической модели.

Можно сказать, что такая субъективизация неопределенности приводит нас к понятию риска. При объективно существующей неопределенности риски для каждого предприятия отличны. Именно поэтому и необходима оценка рисков.

Сегодня анализ рисков информационной безопасности является неотъемлемым элементом целостного обеспечения информационной безопасности. Федеральный закон № 152 «О персональных данных» признает данную процедуру обязательной для всех операторов персональных данных, а поскольку современное предприятие неразрывно связано с информационными технологиями, то можно сказать, что эта процедура обязательна для любого предприятия. Анализ рисков также обязателен в соответствии со стандартами ISO 27 001 (ГОСТ Р ИСО/МЭК 27 001) и NIST 800.

Информация является одним из наиболее ценных активов современного предприятия и ее защите уделяется порой немало внимания и средств. Но сколько инвестиций в информационную безопасность достаточно для обеспечения надежной защиты? Ответ на данный вопрос возможен лишь в том случае, если анализ рисков неразрывен с прогнозом, причем риски прогнозируются с учетом планируемых к внедрению средств защиты. Безусловно, необходимы достоверные данные об активах самого предприятия и о его окружении, что и составит начальные условия при оценке эффективности инвестирования в информационную безопасность.

Хотя к настоящему времени проблема информационной безопасности не является чем-то новым, общепринятых подходов к оценке и прогнозированию рисков до сих пор не существует. Исследования и результаты работ по этому направлению зачастую являются коммерческой тайной крупнейших современных предприятий. Однако доступные исследования, как, впрочем, и сам факт защиты информации о методиках оценки информационной безопасности, указывают на актуальность исследований в данной области.

Степень разработанности проблемы.

Рождением математического аппарата нечетких множеств можно считать публикацию статьи Лотфи Заде «Fuzzy Sets» в 1965 г. в журнале Information and Control.

Развитие нёчетко-множественного подхода рассматривается в трудах отечественных и зарубежных авторов: А. Н. Аверкина, Р. А. Алиева, А. Е. Алтунина, А. Н. Борисова, М. П. Власова, С. Готвальда, Д. Дюбуа, Дж. Клира, А. Кофмана, А. И. Орлова, Д. А. Поспелова, X. Циммермана, где исследуются методы оптимизации и принятия решений в условиях неопределенности.

Нечетко-множественный аппарат в применении к задачам экономики и инвестирования рассматриваются в работах следующих иностранных и отечественных исследователей: Дж. Бакли, Дж. Бояджиева, А. О. Недосекина, Б. Б. Оразбаева, А. С. Птускина П.В. Севастьянова, А. М. Хил Лафуэнте, и других.

Оценка рисков информационной безопасности и методика оценки эффективности инвестирования в средства защиты нашли отражение в трудах ряда зарубежных авторов, таких как С. Вей, Дж. Гарибальди, И. Коскосас, М. Кремонини, А. Мицци, В. Соненрейх, К. Су Ху, Дж. Н. Шин, Г. Шрайен и другихкроме того, в отечественной литературе в трудах Р. М. Алгулиева, А. Н. Атаманова, П. А. Балашова, П. М. Деревянко, В. И. Завгородного, Н. А. Королевой, А. С. Мизнова, В. М. Нечунаева, Э. Р. Рагимова, А. Ф. Чипига и других.

Анализ работ по данной тематике позволяет сделать вывод о необходимости проведения дальнейших теоретических и практических исследований в области оценки эффективности инвестирования в информационную безопасность с применением аппарата нечетких множеств.

Большинство исследователей не акцентируют внимание на специфику неопределенности начальных условий при постановке подобных задач и не учитывают данную неопределенность при моделировании, в результате чего отсутствует комплексный подход к решению задач оценки эффективности инвестирования в информационную безопасность предприятия. Поэтому, данная диссертационная работа посвящена комплексной оценке эффективности инвестирования в информационную безопасность предприятия.

Цель исследования.

Целью диссертационного исследования является разработка теоретических и методологических основ оценки эффективности инвестирования в информационную безопасность предприятия.

Данная цель исследования предопределила постановку и последовательное решение следующих взаимосвязанных задач:

1. Определить возможности применения методов теории нечетких множеств для моделирования системы оценки эффективности инвестирования в информационную безопасность;

2. Проанализировать исторические методы оценки эффективности инвестирования в информационную безопасность предприятия в условиях неопределенности и риска;

3. Классифицировать угрозы информационной безопасности предприятия, и разработать теоретическую модель реализации угроз;

4. Разработать модель оценки начальных условий с учетом теории нечетких множеств;

5. Разработать модель оценки эффективности инвестирования в информационную безопасность предприятия.

6. Алгоритмизировать модель оценки эффективности инвестирования в информационную безопасность предприятия;

7. Провести апробацию данной модели в условиях реального предприятия.

Объектом исследования является информационная безопасность предприятия, связанные с ней информационные активы предприятия и средства их защиты.

Предметом исследования является построение модели и алгоритма оценки эффективности инвестирования в информационную безопасность предприятия на основе теории нечетких множеств.

Методологической и теоретической основой исследования являются труды зарубежных и отечественных ученых, посвященные применению методов теории нечетких множеств для оценки эффективности инвестирования. Математический аппарат исследования основан на теории нечетких множеств и финансовом анализе. В процессе диссертационного исследования использовались методы анализа и синтеза, гипотетико-дедуктивные и индуктивные методы научного познания.

Практические расчеты в рамках настоящего исследования производились с использованием таких прикладных программных средств как MS Excel, Microsoft Visual Studio (C#), ARIS.

Тема и содержание диссертации принадлежат к области исследований научной специальности ВАК 08.00.13 — Математические и инструментальные методы в экономике (раздел 1. «Математические методы», подраздел 1.4. «Разработка и исследование моделей и математических методов анализа микроэкономических процессов и систем: отраслей народного хозяйства, фирм и предприятий, домашних хозяйств, рынков, механизмов формирования спроса и потребления, способов количественной оценки предпринимательских рисков и обоснования инвестиционных решений», а также радел 2. «Инструментальные средства», подраздел 2.11. «Развитие экономических методов обеспечения информационной безопасности в социально-экономических системах»).

Информационная база исследования включает открытые статистические данные, связанные с информационной безопасностью.

Научная новизна диссертационной работы состоит в развитии концепции применения теории нечетких множеств для оценки эффективности инвестирования в информационную безопасность.

Научную новизу составляют следующие основные результаты, выносимые на защиту:

1. Классифицированы угрозы информационной безопасности предприятия и предложена модель выявления этих угроз, позволяющая найти базовые элементы начальных условий математической модели оценки инвестиций в информационную безопасность.

2. Впервые предложена математическая модель оценки инвестиций в информационную безопасность организации, основанная на расчете чистой приведенной стоимости с применением теории нечетких множеств.

3. Разработан новый метод оценки зависимости конфиденциальности и доступности информационных систем.

4. Разработан модифицированный метод оценки окупаемости инвестиций в информационную безопасность, расширяющий предложенную модель.

Теоретическая значимость исследования состоит том, что в диссертационной работе получила развитие концепция описания рисков информационной безопасности предприятия с применением теории нечетких множеств.

Практическая значимость исследования заключается в разработке математической модели, которая может быть использована в процессе управления финансовыми активами предприятия, в частности принятия инвестиционных решений об информационной безопасности.

Апробация результатов исследования.

Основные положения и результаты исследования докладывались на 6-ой международной научно-практической конференции «Наука и социальные проблемы общества: информатизация и информационные технологии» (Харьков, 2011), Х1У-Й Международной научно-технической конференции «Информационно-вычислительные технологии и их приложения» (Пенза, 2011), У-й Международной научной заочной конференции «Отраслевые аспекты экономики, управления, права» (Москва, 2012), на семинаре Лаборатории конструктивных методов исследования динамических моделей (г. Пермь, ПГНИУ, 2011 г.).

Предложенные в диссертации алгоритмы и методики используются на ОАО «Пермская научно-производственная приборостроительная компания» (г. Пермь) для поддержки принятия решений при инвестировании в информационную безопасность.

Публикации.

Основные результаты исследования опубликованы в 8 научных работах, в том числе 5 статьях. Общий объем изданных работ составил 2,1 п. л., в том числе две работы в изданиях, рекомендованных ВАК для публикации результатов диссертации (0,7 п. л.).

ЗАКЛЮЧЕНИЕ

.

Программные и технические средства, на которые опирается деятельность многих современных предприятий, зачастую разрабатываются и тестируются без достаточных мер обеспечения информационной безопасности. Сегодня необходима количественная оценка защищенности тех или иных информационных систем. Однако данная оценка всегда связана с неопределенностью. Даже в том случае, если мы уверены в своей оценки в данный момент, у нас отсутствуют гарантии о появлении новых угроз в будущем. Поскольку все данные об информационной безопасности так или иначе связаны с «квази» статистической информацией (зачастую данные должны быть привязаны к конкретному предприятию), или же с экспертными оценками, то описание неопределенности целесообразно осуществлять, основываясь на аппарате нечетких множеств.

Хотя безопасность вряд ли возможно будет оценить предельно точно когда-нибудь в обозримом будущем, в данной диссертационной работе показано каким образом мы можем адресовать неопределенность, опираясь лишь на разрозненные доступные данные. Однако, необходимы дальнейшие исследования — экономические модели угроз должны быть более тесно интегрированы с моделями оценки рисков безопасности, мы должны более точно определять начальные условия для этих моделей и иметь возможность отслеживания инцидентов для формирования статистики.

В данном исследовании получил дальнейшее развитие подход к оценке эффективности инвестирования в информационную безопасность предприятия, основанный на нечетких множествах. Подводя итог проделанной работы, сформулируем основные результаты исследования:

1. Проанализированы современные методы оценки эффективности инвестирования в информационную безопасность. Сделан вывод о целесообразности применения аппарата нечетких множеств для описания неопределенности при решении данной задачи.

2. Классифицированы угрозы информационной безопасности предприятия.

3. Предложен модифицированный способ построения дерева угроз для определения начальных условий задачи.

4. Предложена математическая модель оценки инвестирования в информационную безопасность на основе нечетких множеств.

5. Модель алгоритмизирована положена в основу программного продукта, позволяющего принимать инвестиционные решения.

6. Выдвинута гипотеза о взаимосвязи доступности и конфиденциальности информационных систем и проиллюстрирована на примере предложенной модели.

7. Предложенная математическая модель дополнена описанием окупаемости инвестиций и окупаемости атаки информационной системы. Автор считает, что цели исследования достигнуты, а полученные результаты свидетельствуют о значительном потенциале применения теории нечетких множеств к. оценке эффективности инвестирования в информационную безопасность. Полученные результаты полностью согласуются с целью и задачами диссертационного исследования.

Создание нового метода оценки эффективности инвестирования в средства защиты, стало возможным благодаря комплексному использованию как математического аппарата теории нечетких множеств, так и учета экономической специфики рынка информационной безопасности. Полученные результаты предлагается использовать в практической деятельности как крупных предприятий, так и инвестиционных и консалтинговых компаний. Предлагаемый метод нашел свое применение в соответствующих департаментах ОАО «Пермская научно-производственная приборостроительная компания».

Автор выражает признательность научному руководителю, доктору технических наук, профессору Владимиру Павловичу Первадчуку, за неоценимые советы и идеи, использованные при осуществлении исследования, а также руководство всем исследовательским процессом.

Автор также выражает признательность всем коллегам, наставникам, преподавателям, при осуществлении исследования оказывавшим значительную помощь, которую сложно переоценить.