|
26
Literature:
1. Dzhiga N.D., Dzhiga O.V. The effectiveness of teaching a foreign language taking
into account information technologies for the development and self-development of a
student // Open Education. 2010. No. 1. P. 117–
2. Dneprovskaya N.V., Komleva N.V. Open educational resources. UNESCO IITE
electronic course, M., 2012 - Electronic resource http://lms.iite.unesco.org/course/
27
ФИО авторов:
Камалов Юнус Каримович,
Узбектелеком “АК”, главный специалист, к.т.н., доцент.
Алимуҳамедов Бекзод Бернар ўғли,
ТУИТ имени Мухаммада ал-Хоразмий, магистр 2-го курса кафедры “Сети и
системы передачи данных”.
Название публикации:
«МЕТОДЫ
ОЦЕНКИ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ В СРЕДЕ ОБЛАЧНЫХ ВЫЧИСЛЕНИЙ»
В статье рассматривается вопросы методы оценки информационной
безопасности в среде облачных вычислений. Приведены основные показатели
оценка риска информационный безопасности и величина ожидаемых ежегодных
потерь.
Ключевые слова: информационный актив, фактор подверженности
воздействию, ожидаемые единичные потери, ежегодная частота проявления,
ожидаемые ежегодные потери.
В условиях динамичного развития сетей телекоммуникаций и
возникновения новых угроз информационный безопасность (ИБ) важным
становится анализ и управление рисками ИБ. Анализ рисков состоит в том,
чтобы выявить существующие риски ИБ и оценить их величину (дать им
качественную или количественную оценку).
В ИБ риск отдельного ресурса
(R)
оценивается через ценность его активов
(AV)
, уязвимости
(V)
, угрозы, которые могут быть реализованы через эти
уязвимости
(T)
, вероятности реализации угроз
(P)
и последствия их воздействий
(I)
в тех случаях, когда угрозы будут реализованы. С математической точки
зрения риск является функцией следующих переменных:
(
, , , , )
R
f AV V T P I
Согласно классическому количественному алгоритму оценки риска ИБ,
ожидаемые потери определяются как:
28
Информационный актив
Фактор подверженности воздействию
Ежегодная частота проявления = Ожидаемые ежегодные потери
где:
информационный актив (Asset Value, AV)
– совокупность аппаратного
и программного обеспечения, накопленных и обрабатываемых данных.
Измерять информационные активы можно, оценивая стоимость их разработки,
лицензирования, поддержки и замены;
фактор подверженности воздействию (Exposure Factor, EF)
- процент
потери, который могла бы принести реализованная угроза на определенном
активе (когда определенная угроза совпадает с определенной уязвимостью;
ожидаемые единичные потери (Single Loss Expectancy, SLE).
Риск
рассчитывается в денежных единицах. Для любой определенной угрозы берется
ценность подверженного ей актива и умножается на фактор подверженности. В
промежуточном итоге получается ожидаемая при исполнении угрозы потеря,
которая и называется ожиданием единичной потери.
SLE = EF
AV
ежегодная частота проявления (Annual Rate of Occurrence, ARO)
-
ожидаемое количество проявлений угрозы по отношению к определенному
активу: чем больше риск относящийся к угрозе, тем выше ее значение;
ожидаемые ежегодные потери (Annual Loss Expectancy, ALE).
В итоге можно посчитать ожидаемые за год финансовые потери актива от
одной определенной угрозы по формуле:
ALE = SLE
ARO.
Таким образом, можно получить несложные формулы для количественной
оценки рисков, которые могут быть использованы специалистами для
управления рисками.
Наиболее общим и наиболее часто использованным методом
количественной оценки риска является метод ALE – метод
ожидаемых
ежегодных потерь.
Величина
ожидаемых ежегодных потерь
является
результатом вероятности возникновения инцидента и величины предполагаемых
потерь. Она представлена в форме следующих моделей:
29
ALE
= (вероятность события)
(величина потерь)
1
(
)
n
i
i
i
ALE
I O F
,
где:
{О
1
, O
2
, ..., О
n
}
- набор негативных последствий инцидентов;
I (O
i
)
- величина потери в результате инцидента;
F
i
- частота инцидента.
Также существует много других моделей оценки рисков, основанных на
вышеописанном методе. Они адаптированы к конкретным потребностям и
ситуациям, существующим в конкретной организации. Среди этих методов
можно выделить метод Кортни, разработанный Робертом Кортни (Robert
Courtney), основанный аналогично методу
ALE
на оценке потенциальных потерь
как результат величины потерь, связанных с инцидентом, и показателем,
определяющим вероятность этого инцидента. Концепция оценки риска по
методу Кортни основывается на следующей формуле:
R = P
C
,
где:
P
- вероятность возникновения определенного ежегодного количества
инцидентов, которые являются причинами потерь организации;
C - потери для данной организации, которые появляются в результате
одного инцидента.
3
10
3
f i
ALE
,
где:
f
– индекс, определяющий заданную частоту инцидентов,
являющихся причиной потерь;
i
- индекс, определяющий уровень потерь, причиненный соответствующим
инцидентом.
Использование количественного метода оценки рисков позволяет
определить риски в числовых данных, то есть ожидаемые потери в числовом
эквиваленте, и вероятность или частоту этих потерь. В результате применения
этих методов получают более точные оценки риска.
30
На основе анализа рисков выбирают средства защиты информации.
Ресурсы, имеющие некоторую ценность, а также определенную степень
уязвимости, подвергаются риску, если по отношению к ним существует какая-
либо угроза. При оценке рисков учитывают потенциальное негативное
воздействие от нежелательных происшествий и показатели значимости
рассматриваемых уязвимостей и угроз для них.
Для решения задачи анализа и управления рисков были разработаны
программные средства анализ и контроля информационных рисков: британский
CRAMM (компания Insight Consulting), американский RiskWatch (компания
RiskWatch) и российские ГРИФ (компания Digital Security) и АванГард
(Институт системного
а
нализа
РАН).
Использованная литература
1.
Беккер М.Я., Гатчин Ю.А., Кармановский Н.С., Терентьев А.О., Федоров
Д.Ю. Информационная безопасность при облачных вычислениях: проблемы и
перспективы // Научно-технический вестник СПбГУ ИТМО. – 2011. – № 1(71). –
С. 97–102.
2.
Нестеров С. А. Основы информационной безопасности. Учебное
пособие. Библиотека высшей школы. Изд. ЛАН. 321 с.
3.
Олифер В. Г., Олифер Н.А. 0-54 Безопасность компьютерных сетей. -
Телеком, 2017. - 644 с.: ил.
4.
Обзор
системы
анализа
рисков
CRAMM
[sayt]
URL:http://www.cramm.com/overview/expert.htm.
31
Do'stlaringiz bilan baham: |
