Моделирование процесса анализа и оценки рисков информационной безопасности организаций банковской системы

• Автор: Собакин, Иван Борисович
• Шифр специальности: 08.00.13
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Москва
• Количество страниц: 116 с. : ил.

СОДЕРЖАНИЕ
ВВЕДЕНИЕ
ГЛАВА 1. ОСНОВНЫЕ ПОДХОДЫ И МЕТОДИЧЕСКИЕ ОСНОВЫ ОЦЕНКИ И УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
1.1. Риск-ориентированный подход к обеспечению информационной безопасности
1.2. Процессная модель управления рисками информационной безопасности
1.3. Методическое обеспечение процесса оценки и управления рисками информационной безопасности
1.4. Анализ основных подходов к оценке инвестиций в информационную безопасность
Выводы по главе
ГЛАВА 2. МЕТОДИКА АНАЛИЗА И ОЦЕНКИ РИСКОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ
2.1. Идентификация и определение ценности активов как ключевых факторов риска
2.2. Определение перечня и анализ основных угроз и уязвимостей.
2.3. Определение понятия риска информационной безопасности и подходы к его оценке
2.4. Экономико-математическая модель оценки уровня риска информационной безопасности организаций банковского сектора.
Выводы по главе
ГЛАВА 3. РАЗРАБОТКА МОДЕЛИ АНАЛИЗА И ОЦЕНКИ РИСКОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СИСТЕМЫ ДИСТАНЦИОННОГО БАНКОВСКОГО ОБСЛУЖИВАНИЯ (ДБО)
3.1. Разработка модели угроз информационной безопасности в системе ДБО
3.2. Оценка рисков информационной безопасности системы ДБО.
3.3. Математическая модель оценки уровня риска и расчет оптимального объема инвестиций в обеспечение безопасности системы ДБО
Выводы по главе
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ
ПРИЛОЖЕНИЕ
ПРИЛОЖЕНИЕ
ПРИЛОЖЕНИЕ
ПРИЛОЖЕНИЕ

ВВЕДЕНИЕ
Актуальность темы исследования. В современных условиях повсеместная компьютеризация приводит к появлению таких явлений, как финансовое мошенничество с использованием информационных технологий, киберпреступность (хакерские атаки), и даже может привести к возможности совершения террористических атак с использованием Интернета (получение доступа к системам контроля в сфере государственной важности -электростанции, вооружения, финансовые системы и др.). Очевидно, что вопросы обеспечения безопасности информации сегодня являются ключевыми и наиболее актуальны для тех компаний, которые имеют отношение к банковскому сектору, к информационным технологиям, к телекоммуникационным услугам и пр.
Необходимо отметить, что никакие технические, организационные и правовые меры не в состоянии гарантировать полную безопасность и надежность информационных систем. Поэтому основная задача обеспечения информационной безопасности сводится к снижению рисков до приемлемого уровня и созданию некой системы, которая обеспечивала бы целостность, доступность и конфиденциальность критически важной информации, и, как следствие, обеспечивала бы жизнеспособность и эффективность самого бизнеса.
Развитие информационной инфраструктуры предприятия неизменно влечет за собой неконтролируемый рост числа информационных угроз и уязвимостей информационных ресурсов. В этих условиях анализ и оценка рисков информационной безопасности, являясь на сегодняшний день актуальными задачами, позволяет определить необходимый уровень защиты информации, осуществлять его поддержку, а также выработать рекомендации по совершенствованию системы защиты и минимизации рисков. Вместе с тем остается нерешенным целый ряд проблем.

Для расчета окупаемости инвестиций в безопасность стоимость инвестиций сравнивают не с ожидаемым доходом, а с финансовой стоимостью риска. Например, если компания подвергается вирусным атакам 3 раза в год и руководство компании определило финансовый ущерб каждой атаки в 10 ООО руб., а стоимость антивируса составляет 8 ООО руб. в год, позволяя избегать как минимум 2 атаки в год, то
ROSI = (10000*3 * 2/3 - 8000)/8000 * 100% = 150%.
Таким образом, окупаемость антивирусного обеспечения составит 150%. Это означает, что покупка антивируса позволит не только покрыть расходы на его приобретение, но и минимизировать недополученную прибыль компании.
1.4.5. Выбор подходящего метода
В настоящее время отмечается неточность исходных данных для расчета коэффициентов рентабельности инвестиций в информационную безопасность. Поэтому большинство организаций основываются на качественных методах оценки. Данные методы не предоставляют достаточной информации для сравнительного анализа, расстановки приоритетов и для принятия решения в целом. Кроме того, они лишь приблизительно указывают на наиболее уязвимые места системы и дают каких-либо рекомендаций по совершенствованию системы защитных мер, ограничиваясь ссылками на существующие международные и национальные стандарты.
Таким образом, у руководства компаний появляется необходимость количественного расчета для финансового обоснования инвестиций в информационную безопасность. Более того, будучи общепринятыми и хорошо зарекомендовавшими себя на практике количественные подходы позволяют нам выяснить являются ли затраты на информационную безопасность обоснованными, в частности, с экономической точки зрения.