|
Помимо идентификации и спецификации угроз важное значение для выбора и обоснования защитных мер играет оценивание угроз, под которым понимается формирование оценок идентифицированных и специфицированных угроз с точки зрения потерь, ущерба, возможных от реализации (воздействия) соответствующих угроз.
Основными факторами оценки являются возможность реализации угрозы и возможный ущерб от реализации угрозы. Общая схема оценки приведена на рис.1.4.
Основными трудностями при оценивании угроз являются проблемы выбора шкал и способов оценки по отмеченных факторам.
Естественным параметром и шкалой оценки возможности реализации угроз является оценка вероятности их реализации. Природа некоторых видов угроз позволяет вычислять эти вероятности на основе известных соответствующих физических закономерностей (априорный подход), но все же в большинстве случаев построить и обосновать аналитические соотношения для вычисления вероятностей реализации угроз не представляется возможным. К примеру, на основе Пуассоновского распределения вероятности моторных ошибок человека-оператора при вводе информации с клавиатуры вероятность угрозы, обусловленной данным фактором составляет 2•10-2... 4•10-3. Данная оценка дает возможность определить важный параметр защитных мер, в частности, количество символов пароля и количество попыток его набора, при котором в рамках задания определенного уровня значимости ошибки 2-го рода (ошибка правильной аутентификации) легальный пользователь войдет в систему.
В некоторых случаях возможен апостериорный подход, основанный на накопленной статистике проявления соответствующей угрозы в данной или подобной компьютерной системе (в подобных условиях). Оценки вероятности реализации угрозы при этом вычисляются на основе методов статистических оценок.
Альтернативой аналитическому и статистическому подходу является метод экспертных оценок, широко используемый для оценок сложных, неформализуемых объектов.
Суть метода экспертных оценок заключается в том, что в качестве инструментария оценок (в качестве измерительного прибора) выступают специалисты-эксперты, которые на основе профессионального опыта, глубокого представления многокомпонентной природы оцениваемых объектов, дают эвристические оценки по одному или группе параметров.
В кратком изложении методика экспертных оценок включает следующие этапы.
Отбор экспертов (формальные и неформальные требования к специалистам-экспертам, метод «снежного кома», когда известного специалиста просят назвать других ему известных специалистов, в свою очередь, опрашивают их, и т.д. когда множество экспертов прекращает расширяться, на практике количество экспертов 10-12).
Выбор параметров, по которым оцениваются объекты (при этом определяются сущностные параметры оценивания, которые должны выражать природу оцениваемых объектов и быть независимыми друг от друга, определяются веса параметров).
Выбор шкал оценивания и методов экспертного шкалирования). Применяются порядковые, ранговые шкалы, интервальные, абсолютные и др. шкалы. В качестве методов шкалирования выступают ранжирование объектов по предпочтительности выраженности оцениваемого параметра (порядковая шкала оценки), попарные оценки сравнительной предпочтительности во всех возможных парах оцениваемых объектов, и непосредственная оценка выраженности оцениваемого параметра (например, эксперты непосредственно дают оценку вероятности реализации угроз, в других случаях на основе специальных балльных шкал оценки).
Выбор и осуществление процедуры опроса экспертов (с непосредственным взаимодействием экспертов или без взаимодействия, т.н. итерационный метод опроса "Дельфи", когда эксперты непосредственно не взаимодействуют, но после каждого тура опроса им сообщают усредненные оценки прежнего тура и просят на этой основе скорректировать свои прежние оценки, исключая тем самым влияние на результаты опроса мнений конкретных "авторитетов", и т.д.).
Агрегирование оценок, анализ их устойчивости и согласованности, осуществляемые на основе подходов, подобных методам обработки статистических данных.
Следует отметить, что экспертные оценки, несмотря на их "субъективность" на основе хорошо подобранных экспертных комиссии, правильно установленных методов шкалирования и опроса, при соответствующей обработке дают результаты, действенность которых многократно апробированы в крупных проектах и процедурах, не допускающих другие, в особенности, аналитические и статистические подходы.
Do'stlaringiz bilan baham: |
