Учебное пособие 1310

3.3.Оценка эффективности

Всвете полученных в предыдущих параграфах результатов, представляется существенно необходимым предложить некоторые оценки эффективности. Очевидно, что они должны исходить из рисков и шансов. Здесь возможны по крайней мере две оценки. Одна для мгновенных значений, т.е. при определенном значении переменной состояния, а также – некоторая интегральная оценка в диапазоне этих значений. Разумеется, при использовании рисков и шансов такие оценки будут нести прогнозный характер, так как будут базироваться на возможных размерах возникающих ущербов и извлекаемой пользы.

Если не принимать во внимание затраты на поддержание работы системы, то в первом приближении эффективность представляется возможным оценить отношение шанса и риска

Ef (xi ) Chance(xi ), Risk(xi )

где xi – некоторое конкретное значение переменной состояния в i-ой точке.

От «точечной» оценки с учетом результатов предыдущей главы можно перейти к интегральной эффективности и получить следующее выражение

(xi XД )( x) f (xi )

xi X Д

где x – шаг дискретизации переменной х;

ХДи ХС – пороги безопасности, в рамках которых

82

осуществляется суммирование шансов и рисков.

Для избранного закона распределения Гумбеля [87] имеем:

83

При множестве переменных состояния последнее выражение примет вид

где j – номер рассматриваемой переменной состояния.

С учетом текущих затрат z на поддержание работоспособности, эффективность представляется оценить следующим выражением

Chanceij Riskij

где:

При этом, соответствующим образом переменные состояния и сопутствующие оценке эффективности параметры распределений должны быть пронормированы для сведения рисков, шансов и затрат в единую шкалу измерения.

84

3.4.Формализация процесса управления рисками

винформационно-технологической инфраструктуре критически важного объекта

Задача обеспечения безопасности КВО разделяется на две подзадачи: обеспечение информационной безопасности автоматизированной системы управления технологическими процессами КВО и обеспечение физической безопасности КВО.

Автоматизированная система управления технологическими процессами критически важного объекта обычно состоит из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций, главным образом обеспечивающая управление технологическими процессами КВО. АСУ ТП КВО состоит из отдельных систем, связанных между собой или автономных. Состав и общие функции АСУ ТП КВО представлены на рис.3.9.

85

уверенность в том, что установленные требования по обеспечению целостности и доступности информации выполнены в ИТИ. В этом случае «кибербезопасность» является подмножеством понятия «информационная безопасность».

Требования БИ предъявляются

Рис. 3.10. Состав требований к безопасности информации информационно-технологической инфраструктуры критически важного объекта

Общей целью защиты информации (ЗИ) в ИТИ КВО является предотвращение или снижение величины ущерба, наносимого владельцу и/или пользователю этой системы, вследствие реализации угроз безопасности информации. В этом случае общие требования к системе защиты информации (СЗИ) представлены на рис. 3.11.

87

общие требования к СЗИ в ИТИ

Рис. 3.11. Состав требований к системе защиты информации информационно-технологической инфраструктуры критически важного объекта

88

рис. 3.12, где рассмотрены основные этапы и процедуры управления, включая:

формирование требований к защите информации, содержащейся в ИТИ;

разработка и внедрение специальной СЗИ ИТИ;

оценка соответствия ИТИ требованиям кибербезопасности;

обеспечение ЗИ в ходе эксплуатации ИТИ;

обеспечение ЗИ при выводе из эксплуатации ИТИ.

Мероприятия по ЗИ в ИТИ

формирование требований к защите информации,

содержащейся в ИТИ

комплексный анализ (обследование) ИТИ

анализ данных о назначении, функциях, условиях функционирования ИТИ и характере обрабатываемой информации

определение актуальных угроз безопасности информации (модель угроз)

Рис. 3.12. Структурная схема процесса реализации мероприятий по управлению рисками в информационнотехнологической инфраструктуре критически важного объекта

90