МОДЕЛЬ ОЦЕНКИ УЩЕРБА ОТ ИНЦИДЕНТОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Максим О. Таныгин, Юлия А. Будникова, Андрей С. Булгаков, Михаил А. Марченко

Аннотация


Любая информационная система в процессе эксплуатации требует резервирования определённого объёма средств на ликвидацию последствий инцидентов информационной безопасности в случае их возникновения. Для оценки величины ущерба использовались многомодальные законы распределения плотностей вероятностей ущерба в единичном инциденте информационной безопасности, а инциденты информационной безопасности рассматриваются как события пуассоновского потока. В работе определены зависимости между интенсивностью возникновения событий информационной безопасности, характеристиками распределения плотностей вероятностей ущерба и необходимой величиной резервируемых средств. Представленная модель оценки ущерба от инцидентов информационной безопасности позволяет более точно подходить к оценке требуемого объем резервируемых средств. Показано, что экономия средств достигает 40-50% в сравнении с подходом, основанным на оценке ущерба исходя только из среднего числа инцидентов и среднего ущерба от единичного инцидента информационной безопасности.

Ключевые слова


инциденты информационной безопасности, угрозы информационной безопасности, плотность вероятности распределения ущерба, оценка величины ущерба, ликвидация последствий инцидентов информационной безопасности.

Полный текст:

PDF

Литература


1. Hui P. Construction of Information Security Risk Assessment Model in Smart City / 2020 IEEE Conference on Telecommunications, Optics and Computer Science (TOCS), Shenyang, China, 2020. P. 393–396. DOI: http://dx.doi.org/10.1109/TOCS50858.2020.9339614.

2. Белов В.М., Пестунов А.И., Пестунова Т.М. Методика оценки рисков информационной безопасности бизнес-процессов // ОмГТУ. 2016. №1. С. 158–161. URL: https://www.elibrary.ru/item.asp?id=27410988 (дата обращения: 01.03.2021).

3. Xiaoqian Wu, Yongjun Shen, Guidong Zhang, & Hua Zhi. Information security risk assessment based on D-S evidence theory and improved TOPSIS. 2016 7th IEEE International Conference on Software Engineering and Service Science (ICSESS), Beijing, China, 2016. P. 153–156.
DOI: http://dx.doi.org/10.1109/icsess.2016.7883037.

4. Станиславчик Е.Н. Риск-менеджмент на предприятии. Теория и практика. М.: «Ось-89». 2002. – 80 с.

5. Wangen, G. An initial insight into information security risk assessment practices / Proceedings of the 2016 Federated Conference on Computer Science and Information Systems, M. Ganzha, L. Maciaszek,
M. Paprzycki (eds). ACSIS. 2016. Vol. 8. P. 999–1008. DOI: http://dx.doi.org/10.15439/2016F158.

6. Luo H., Shen Y., Zhang G., & Huang L. Information security risk assessment based on two stages decision model with grey synthetic measure. 2015 6th IEEE International Conference on Software Engineering and Service Science (ICSESS). Beijing, China, 2015. P. 795–798.
DOI: http://dx.doi.org/10.1109/icsess.2015.7339176.

7. Репин М.М., Сакулина А.В., Пшехотская Е.А. Построение модели оценки экономической эффективности системы информационной безопасности // Научно-методическое обеспечение оценки качества образования. 2017. №2 (3). С. 80–84.
URL: https://cyberleninka.ru/article/n/postroenie-modeli-otsenki-ekonomicheskoy-effektivnosti-sistemy-informatsionnoy-bezopasnosti (дата обращения: 01.03.2021).

8. Голубинский А.Н., Алехин И.В. Анализ распределений ущербов при реализации угроз
в информационно-технических системах // Вестник ВИ МВД России. 2016. №3. С. 24–32.
URL: https://www.elibrary.ru/item.asp?id=26683939 (дата обращения: 01.03.2021).

9. Andress Jason, Leary Mark. Building a Practical Information Security Program // Syngress. 2017. – 192 р.

10. Klebanov L. Heavy Tailed Distributions. Matfyzpress, Prague, 2003. – 176 p. ISBN: 80-86732-02-9.

11. Казакова А.В. Модель угроз информационной безопасности промышленных предприятий // Проблемы совершенствования организации производства и управления промышленными предприятиями: Межвузовский сборник научных трудов. 2011. № 1. С. 88–96.
URL: https://www.elibrary.ru/item.asp?id=20405652 (дата обращения: 01.03.2021).

12. Wangen G. (2019) Quantifying and Analyzing Information Security Risk from Incident Data. In: Albanese M., Horne R., Probst C. (eds) Graphical Models for Security. GraMSec 2019. Lecture Notes in Computer Science, Vol. 11720. Springer, Cham. P. 129–154. DOI: http://dx.doi.org/10.1007/978-3-030-36537-0_7.

13. Вадзинский Р.Н. Справочник по вероятностным распределениям. СПб.: Наука. 2001. – 295 с.

14. Peter H. Gregory Risk assessment in audit planning / Peter H. Gregory. 2018. – 46 р.

15. Peter H. Gregory CISM Certified Information Security Manager All-in-One Exam Guide» // Peter H. Gregory. 2018. – 1104 р.

16. Репин М.М. Пшехотская Е.А. Методика расчета показателя эффективности противодействия информационным угрозам в платёжной системе // Научно-методический журнал «Научно-методическое обеспечение оценки качества образования» – ГБУ ДПО РЦОКИО. 2018. №2(5). С. 141–148. URL: https://cyberleninka.ru/article/n/metodika-rascheta-pokazatelya-effektivnosti-protivodeystviya-informatsionnym-ugrozam-v-platezhnoy-sisteme (дата обращения: 01.03.2021).

17. Арсеньев В.Н., Силантьев С.Б., Ядренкин А.А. Использование априорной информации для коррекции модели потока событий в сложной системе // Изв. ВУЗов. Приборостроение. 2017. Т. 60. № 5. С. 391–397. DOI: http://dx.doi.org/10.17586/0021-3454-2017-60-5-391-397.

18. Щеглов А.Ю., Щеглов К.А. Математические модели и методы формального проектирования систем защиты информационных систем. Учебное пособие. СПб: Университет ИТМО. 2015. – 93 с.

19. Пугин В.В. Губарева О.Ю. Обзор методик анализа рисков информационной безопасности информационной системы предприятия // T-Comm – Телекоммуникации и Транспорт. 2012. Т. 6, № 6.
С. 54–57. URL: https://www.elibrary.ru/item.asp?id=18848583 (дата обращения: 01.03.2021).




DOI: http://dx.doi.org/10.26583/bit.2021.2.09

Ссылки

  • На текущий момент ссылки отсутствуют.


Лицензия Creative Commons
Это произведение доступно по лицензии Creative Commons «Attribution» («Атрибуция») 4.0 Всемирная.