- •Введение
- •1. Арсенал риск-анализа (на примере информационных систем)
- •1.2.Современные стандарты в области управления рисками информационных систем
- •Международный стандарт iso iec 17799 и гост р исо/мэк 17799-2005
- •Часть 12 гост р исо/мэк 17799-2005 определяет способ оценки качества управления безопасностью с помощью проверки соответствия определенным требованиям, а именно:
- •Международный стандарт iso iec 27001 и гост р исо/мэк 27001-2005
- •Британский стандарт bs 7799-3 «Руководство по управлению информационными рисками»
- •Раздел 7 bs 7799-3 «Непрерывная деятельность по управлению рисками» затрагивает две фазы менеджмента системы: контроль риска и оптимизация риска.
- •Стандарт сша nist 800-30 «Руководство по управлению информационными рисками it-систем»
- •2.2.Экспертные методы оценки рисков
- •2. Риски и шансы: аналитический подход в методологии оценки
- •3.2.Понятие риска и шанса
- •Концепции оценки рисков и шансов
- •Обобщенная модель оценки риска и шанса
- •Вероятностная природа риска и шанса
- •Методы оценки риска и шанса
- •Формальное определение меры риска и шанса
- •Основные меры риска и шанса
- •Методы рационализации вычислений при расчете риска и шанса
- •Объективные и субъективные составляющие риска и шанса
- •4.2.Динамические характеристики риска и шанса
- •Базовое движение характеристик
- •4.1.Временная динамика характеристик
- •5.2.Меры эффективности на основе шанса и риска
- •3. Методическое и алгоритмическое обеспечение управления рисками и шансами.
- •6.2.Аналитические методы управления шансами и рисками
- •Понятия и обобщенная схема управления
- •Принципы принятия решений по управлению шансами и рисками
- •Основные критерии выбора оптимальных решений по управлению шансами и рисками
- •7.2.Постановка задачи управления рисками и шансами
- •Интересо-ориентированные системы в контексте постановки задачи управления рисками
- •Общий вид модели управления
- •Формализация управления
- •Критерий принятия решений при управлении на основе функций полезности
- •Динамические модели управления
- •8.2.Алгоритмы управления рисками и шансами
- •Послесловие редактора
- •Библиографический список
- •Оглавление
- •394026 Воронеж, Московский просп., 14
7.2.Постановка задачи управления рисками и шансами
Интересо-ориентированные системы в контексте постановки задачи управления рисками
Усложнение систем порождает проблемы принятия управляющих решений, которые не разрешаются традиционными методами. Тяжелые последствия сбоев в работе систем настоятельно требуют совершенствования методов прогнозирования их поведения и управления ими.
Принципиальные трудности обеспечения безопасности связаны с тем обстоятельством, что защищенность не может рассматриваться в качестве единственной цели. Действительно, если положить, что целью является только безопасность некоторой системы, то способ достижения такой цели очевиден и радикально сводится к отключению системы от использования. Но существование любой системы может быть оправдано лишь в том случае, если она доступна использованию и приносит определенную выгоду (положительный экономический эффект) заинтересованной стороне. Отсюда следует, что проблема безопасности должна рассматриваться в контексте интересов, связанных с использованием системы [14]. Подобная проблема не единственна, и отсюда вытекает необходимость исследования класса систем, которые создаются не под заданные извне цели, а для реализации некоторых интересов. В таких системах мотивация активности и управляющих воздействий основывается на интересах, точнее – на стремлении к их реализации. Поэтому такие системы называют интересо-ориентированными. Подобные системы имеют место в социальной сфере, экономике, бизнесе, техносфере и т. п. [14]
К классу интересо-ориентированных систем относятся и информационные системы, для которых, вообще говоря, обеспечение собственной безопасности не является конечной целью функционирования. Вне зависимости от этой цели система должна обеспечивать уровень безопасности, удовлетворяющий интересам лиц, принимающих решения.
Стремление к реализации интересов порождает проблему управления. Для ее решения, необходимо использовать методологию управления, мотивированного интересами.
Для реализации интересов создаются определенные организационные структуры. В любой из таких структур всегда существует заинтересованная сторона (субъект интересов), объект ее интересов, средства реализации интересов и порождаемые ими отношения. Реализация интересов требует определенных действий, последовательность которых с формальной стороны являются управлениями. Мотивацию их выбора естественно связывать со стремлением к реализации интересов с некоторым наилучшим результатом [14]. Для формализации критериев качества результата управления системой необходимо использовать соответствующие методы.
Содержательный и формальный смысл управляющих воздействий, направленных на реализацию интересов с наилучшим результатом, будет определяться содержанием интересов и системой внутренних ценностей субъекта интересов. Такая система ценностей и заинтересованность субъекта порождают некоторое отношение к свойствам объекта интересов, к их изменению и т.д. Подобные отношения позволяют задавать априорные предпочтения на действиях субъекта по реализации интересов. Такие предпочтения можно представлять некоторой вещественной функцией, которая в теории принятия решений называется функцией полезности. Задание же функции полезности позволяет определить формальный смысл управляющих воздействий, направленных на реализацию интересов с наилучшим результатом. Исходя из этого, производится формализация управления.
Для управления рисками (шансами) системы в качестве критерия наилучшего результата должен быть задан критерий на основе анализа рисков (шансов). Он должен отражать интересы лица, принимающего решения, в рамках применяемой методики управления. Если данный критерий определен, то он может выступать в роли цели на пути реализации интересов. Она может быть сформулирована на основе некоторой математической формализации. Если подобная цель сформулирована, то совокупность используемых для ее определения предположений, требований, формальных объектов и конструкций будет составлять некоторую модель управления.
Очевидно, что в рамках модели управления должны использоваться некоторые критериальные функции, описывающие качество управляющих действий и решений. Для возможности практического использования модели управления критерии должны быть определены в явном виде [14].
Таким образом, основой методики управления рисками (шансами) систем на основе интересов является модель управления, включающая в себя формальные критерии принятия решений в рамках данной модели.