Методика оценки риска для информационных систем на основе экспертных оценок. Учебное пособие

61

Таблица 4.6

Вектор вероятностей использования угрозами уязвимостей

Теперь рассчитаем уровни риска (табл. 4.7).

R1 0,777 0,031 0,653 0,031 0,72 0,031 0,325 0,0310,172 0,036 0,343 0,039 0,395 0.039 0,395 0,036

0,496 0,037 0,496 0,075 0,153 0,039 0,44 0,038

0,381 0,036 0,346 0,073 0,631 0,167

0,306 0,101 0,193 0,158 0,410;

R2 0,42 0,031 0,593 0,031 0,548 0,031 0,277 0,031

0,22 0,036 0,777 0,039 0,605 0,039 0,71 0,036 0,268 0,037

0,172 0,075 0,153 0,039 0,563 0,038 0,22 0,036 0,47 0,073

0,47 0,167 0,496 0,101 0,553 0,158 0,453;

62

R3 0,553 0,031 0,62 0,031 0,553 0,031 0,605 0,031

0,548 0,036 0,306 0,039 0,42 0,039 0,47 0,036

0,508 0,037 0,575 0,075 0,373 0,039 0,25 0,0380,47 0,036 0,563 0,073 0,486 0,167 0,316 0,101

0,325 0,158 0,446.

Теперь ранжируем информационные системы по уровню риска в порядке убывания (табл. 4.8).

Из табл. 4.8 видно, что ИС-2 получает самый высокий уровень риска. Значит, вероятность реализации угроз и ущерб для этой системы больше, чем для остальных систем. Поэтому руководителям организации в первую очередь надо обратить внимание на безопасность ИС-2.

Из табл. 4.6 видно, что самые большие вероятности реализации угроз у семейств «Идентификация и аутентификация», «Аудит и подотчетность» и «Защита системы и коммуникаций». Поэтому в первую очередь необходимо реализовать меры безопасности для этих семейств. Об этом также свидетельствуют результаты, полученные из первой лабораторной работы (у группы технических контролей самые большие значения D – R и D + R).

63

КОНТРОЛЬНЫЕ ВОПРОСЫ

1.Что представляет собой оператор FLQ-MEPWA?

2.Для чего используется оператор FLQ-MEOWA?

3.Что представляют собой нечеткие лингвистические квантификаторы?

4.С чего начинается анализ последствий?

5.Кратко опишите шаги оператора FLQ-MEOWA.

6.Как сопоставлять цель оценки риска с нечетким лингвистическим квантификатором?

7.Оптимизация OWA-оператора.

8.Агрегирование значений последствия оптимальным оператором.

9.По какой формуле рассчитывается уровень риска для информационной системы?

10.Для чего нужны уровни риска?

ИНДИВИДУАЛЬНОЕ ЗАДАНИЕ

Задать количество ИС и количество экспертов, которые будут оценивать последствия. Для каждой ИС придумать оценки последствий от каждого эксперта. Затем выбрать нечеткий лингвистический квантификатор. Получить веса, имеющие максимальную энтропию для степени orness . После этого переходить к агрегированию значений по-

следствия.

Используя данные из второй и третьей глав, можно найти уровни риска для ИС и дать рекомендацию по управлению рисками.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1.OWA-оператор. – URL:http://ru.science.wikia.com/wiki/OWA-оператор Ягера. – Дата обращения: 19.02.2013.

2.Метод максимальной энтропии. – URL: http://www.basegroup.ru/glos-

sary/definitions/max_entropy_method/. – Дата обращения: 02.02.2013

3. Chi-Chun Lo, Wan-Jia Chen. A hybrid information security risk assessment procedure considering interdependences between controls//Expert Systems with Applications. – 2011. –V. 39. – P. 248–257.

64

В процессе оценки рисков учитываются взаимозависимости мер безопасности, что позволяет расставить приоритеты в реализации мер безопасности, разработать адекватную стратегию управления

рисками.

Контрольные вопросы и задания для самостоятельной работы (которые предназначены для выполнения с использованием персонального компьютера) способствуют формированию интереса к проблемам математического анализа различных мер защиты информационных ресурсов в ИС и развитию логико-математической и общей культуры моделирования.

Выше было замечено, что предложенная в работе процедура оценивания риска безопасности информационных ресурсов в ИС существенно упрощает процесс выявления критических элементов системы управления информационной безопасностью, когда отсутствуют статистические данные и другие сведения, позволяющие точно определить вероятность реализации угрозы и последствия для ИС организации. Поэтому очень важно, используя статистические данные, разработать методику расчета объективных оценок риска безопасности информационных ресурсов в ИС и выполнить более эффективные расчеты оценок риска относительно информационных ресурсов в ИС.

66

1 Данный контроль появился в новой версии NIST SP800-53 Rev4.

67

Таблица П2

Шкала сравнительной оценки влияния критериев

Величина относительной Определение вероятности

3Опыт и суждения позволяют сделать вывод о немного большей вероятности реализации угроз в одном семействе контролей по сравнению с другим семейством контролей

5Опыт и суждения позволяют сделать вывод о сильной вероятности реализации угроз в одном семействе контролей по сравнению с другим семейством контролей

7Вероятность реализации угроз в первом семействе контролей настолько превосходит вероятность во втором семействе контролей, что вторая вероятность становится практически незначительной

9Очевидность превосходства одной вероятности подтверждается наиболее сильно

68

4.РАСЧЕТ ПОСЛЕДСТВИЙ ОТ РЕАЛИЗАЦИИ УГРОЗ

ВСЕМЕЙСТВАХ КОНТРОЛЕЙ ПРИ ПОМОЩИ ОПЕРАТОРА FLQ-MEOWA. РАСЧЕТ УРОВНЕЙ РИСКА

70