20.3.2. Определение размеров ущерба с использованием экспертных оценок

Ключевым моментом в отнесении информации к категории ограниченного доступа является оценка величины ущерба, нано­симого предприятию в результате преждевременного раскрытия информации.

В рассматриваемой проблеме мы сталкиваемся со случаем, когда не существует элементарных измеримых свойств ущерба безопас­ности предприятия и возможности его нанесения в случае рас­крытия или утечки информации. Отсутствие Статистических дан­ных и трудность оценки ущерба безопасности предприятия в ре­зультате раскрытия информации определяют выбор метода экс­пертных оценок для его измерения.

Для сопоставления различных сведений, определяющих необ­ходимость их закрытия или ограничения доступа к ним, а также для определения соответствующей этим сведениям степени кон­фиденциальности, можно сравнивать рассматриваемые сведения по степени проявления всей совокупности возможных угроз в слу­чае несанкционированного распространения сведений, составля­ющих тайну.

В этом случае возникает задача ранжирования, или определе­ния «веса» (важности) каждой угрозы с тем, Чтобы подучить еди­ную меру или показатель, характеризующий угрозу безопасности предприятия в целом. Важность угроз безопасности предприятия можно оценивать по величине возможного ущерба, который мо­жет быть нанесен при их реализации.

Для распределения угроз безопасности предприятия по раз­личным рангам важности оценивается их числовое значение ис­ходя из парных сравнений важности угроз. При этом использует­ся избыточная информация, поскольку каждая угроза последова­тельно сравнивается со всеми остальными. Методологической основой проведения этой работы целесообразно выбрать метод, разработанный Т.Л.Саати.

При оценке угроз и связанной с ними важности «ущербов» необходимо прежде всего разрешить проблему измерения вели­чины возможного ущерба, который может проявиться в результа­те раскрытия (утечки) информации.

Чтобы представить результат сравнения двух «ущербов» в виде разумных цифр, требуется глубокое понимание сравниваемых «ущербов» и в особенности того, в какой степени их свойства влияют на интересы предприятия. Предполагается, что источни­ком суждений является опрос экспертов, осведомленных в дан­ной области.

Группе экспертов предлагается оценить степень важности ущер­бов по их влиянию на интересы предприятия методом парного сравнения и заполнить матрицу парных сравнений А = (а_ij). Каж­дый эксперт, пользуясь вербально-числовой шкалой, заполняет матрицу парных сравнений:

i = 1, Q,

где — результат сравнения относительной важности i-го и j-го «ущерба».

Параметры назначаются в соответствии с вербально-числовой шкалой, приведенной в табл. 20.3.

Основная цель применения вербальной числовой шкалы со­стоит в том, чтобы облегчить задачу привлекаемым к экспертизе специалистам и обеспечить единое толкование оценок отдельны­ми экспертами.

Важности ущербов определяются на основе вычисления мно­жества собственных векторов для каждой матрицы. Вычисление собственных векторов — не очень сложная задача, однако может потребовать довольно много времени. К счастью, имеются не­сложные пути получения хорошего приближения к приоритетам. Одним из наилучших путей является геометрическое среднее. Это можно сделать, перемножая элементы в каждой строчке и извле­кая корни я-й степени, где п — число элементов. Полученный таким образом столбец чисел нормализуется делением каждого числа на сумму всех чисел.

Пример парного сравнения важности ущербов представлен в табл. 20.4.

Все оценки парных сравнений подвержены погрешностям, ко­торые могут привести к несогласованным выводам. Степень со­гласованности суждений экспертов оценивается индексом согла­сованности (ИС).

Таблица 20.3. Шкала сравнительной оценки важности угроз