информационная безопасность / 68 / НИО_теор_риска

3.4.2. Результативность НИО с позиции теории риска.

Итак, в общем случае, зависимость R=f(α1, α2,.., αn; X1 , X2,..,Xn) может иметь сложный вид и потребовать громоздких вычислений. Однако, ещё более серьёзной проблемой при нахождении целевой функции является неопределённость ситуации (вспомним комментарии к примеру 1).

Дело в том, что помимо размытости критериев оценки результативности на практике далеко не всегда априорно известны условия выполнения операции α1, α2,.., αn. Например, в случае проведения сетевой компьютерной атаки (CNA) могут быть не известны такие условия, как используемое противником программное обеспечение, его конкретные настройки, наличие/отсутствие средств обнаружения атак, уровень квалификации специалистов и целый ряд других.

При наличии неопределённых условий α1, α2,.., αn задача исследования операции превращается в задачу о выборе решения в условиях неопределённости. Подобные задачи могут быть решены с применением вероятностных методов анализа случайных ситуаций.

Рассмотрим подробнее влияние условий выполнения операции α1, α2,.., αn на её результативность, какие при этом существуют риски и пути их снижения.

Пусть имеется элемент неопределённости в определении α1, α2,.., αn. Это обусловливает появление ситуаций, не имеющих однозначного исхода (целевой функции). Если существует возможность количественно и качественно определить вероятность того или иного варианта, будем говорить о ситуации риска [10].

В общем случае, ситуация риска связана со статистическими процессами и ей сопутствуют три условия [10,11]:

1. Наличие неопределённости.

2. Необходимость выбора альтернативы (при этом следует иметь в виду, что отказ от выбора также является разновидностью выбора).

3. Возможность оценить вероятность осуществления выбираемых альтернатив.

Заметим, что ситуация риска качественно отличается от ситуации неопределённости. Ситуация неопределённости характеризуется тем, что вероятность наступления результатов решений или событий в принципе не устанавливаема.

В тоже время [9] риск – это деятельность, связанная с преодолением неопределённости в ситуации неизбежного выбора, в процессе которой имеется возможность количественно и качественно оценить вероятность достижения предполагаемого результата, неудачи и отклонения от цели.

Можно выделить несколько модификаций риска [10]:

1. Субъект, делающий выбор из нескольких альтернатив, имеет в распоряжении объективные вероятности получения предполагаемого результата, основывающиеся, например, на проведённых статистических исследованиях.

2. Вероятности наступления ожидаемого результата могут быть получены только на основе субъективных оценок, то есть лицо принимающее решение имеет дело с субъективными вероятностями.

3. Субъект в процессе выбора и реализации альтернативы располагает как объективными, так и субъективными вероятностями.

Существуют [11] общие принципы классификации рисков:

1. По факторам возникновения (политические, экономические, технические, организационные, структурные и т.д.).

2. По времени возникновения (ретроспективные, текущие и перспективные).

3. По характеру учёта (внешние, внутренние).

4. По характеру последствий (статические, динамические).

С практической точки зрения актуальным является вопрос о возможности снижения риска, как необходимого условия повышения результативности проведения НИО.

В условиях объективного существования риска и связанных с ним потерь (в том числе - сокращение величины результативности) возникает потребность в определённом механизме, который позволил бы наилучшим из возможных способов с точки зрения поставленных целей учитывать риск при принятии и реализации решений.

Таким механизмом является управление риском, основные приёмы которого: избежание риска, снижение степени риска, принятие риска.

Теория и практика управления риском выработали ряд правил [12], на основании которых осуществляется выбор того или иного приёма управления риском и варианта решений. Основными из этих правил являются следующие:

• максимум выигрыша;

• оптимальное сочетание выигрыша и величины риска;

• оптимальная вероятность результата.

Следует отметить, что механизм управления риском имеет свои особенности для каждого конкретного метода информационного воздействия (см. п. 3.1.) и этапа (фазы) проведения НИО (см. п. 3.2.). Так, при проведении сетевой компьютерной атаки (CNA) степень риска может увеличиваться по мере развития операции и даже достигнуть максимума уже после её завершения (например, в результате отслеживания противником цепочки используемых при атаке промежуточных хостов и вычислении адреса атакующего). В тоже время для психологической информационной операции (PSYOP) наибольшая степень риска приходится на начальный период проведения НИО.

Таким образом, механизм управления риском, оказывая существенное влияние на результативность наступательной информационной операции, непосредственно связан как с планированием НИО (см. п. 3.2.), так и обеспечением информационной безопасности при проведении НИО (см. п. 3.5.).

Нельзя забывать, что любая НИО (будь то психологическая операция, компьютерная сетевая атака или радиоэлектронная борьба) порождает конфликт либо является составной частью уже имеющегося конфликта. В приложении к вышесказанному это означает, что в общем случае условия проведения операции (а следовательно и её результативность) зависят не от “слепого случая”, а от осознанного противодействия противника. Найти оптимальное решение в рамках выбранных критериев поведения (стратегий) с учётом имеющихся рисков в таких задачах помогает теория игр [13].