Динамическая итеративная оценка рисков информационной безопасности в автоматизированных системах

• Автор: Атаманов, Александр Николаевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2012
• Место защиты: Москва
• Количество страниц: 147 с. : ил.

Оглавление
Обозначения и сокращения
1 Исследование существующих моделей и методов анализа рисков
1.1 Анализ рисков информационной безопасности, как часть комплексной системы обеспечения информационной безопасности
1.2 Стандарты в области анализа рисков
1.2.1 Анализ российских требований к анализу и управлению рисками информационной безопасности
1.2.2 Вопросы анализа и управления рисками информационной безопасности в соответствии с серией стандартов ISO/IEC 27000
1.2.3 Вопросы анализа и управления рисками информационной безопасности
в соответствии со стандартом В S 7799
1.2.4 Вопросы анализа и управления рисками информационной безопасности
в соответствии со стандартом NIST
1.2.5 Другие стандарты и подходы к анализу и управлению рисками информационной безопасности
1.3 Среды и средства автоматизации процессов, связанных с анализом рисков
1.4 Выводы
2 Динамическая итеративная оценка рисков
2.1 Постановка задачи
2.2 Байесовский подход в анализе рисков
2.3 Выводы
3 Синтез системы итеративной динамической оценки рисков информационной безопасности
3.1 Динамическая итеративная оценка рисков, как часть системы непрерывного аудита
3.2 Архитектура системы динамической итеративной оценки рисков
3.3 Применение нейронных сетей
3.4 Архитектуры нейронных сетей
3.5 Точность оценки апостериорной вероятности с помощью многослойного персептрона

3.6 Алгоритм динамической итеративной оценки рисков информационной безопасности
3.7 Вычислительная сложность алгоритма динамической итеративной оценки рисков
3.8 Выводы
4 Результаты реализации системы динамической итеративной оценки рисков
4.1 Выбор технологий для построения системы
4.2 Моделирование нейронной сети на языке МАТЬАВ
4.3 Программная реализация методики динамической итеративной оценки риска информационной безопасности
4.4 Применение системы динамической итеративной оценки рисков при использовании облачных технологий
4.5 Использование системы итеративного динамического анализа рисков информационной безопасности в автоматизированной системе ОАО «БИТК»107
4.6 Использование системы итеративного динамического анализа рисков информационной безопасности в автоматизированной системе ЗАО
«ОНЛАНТА»
4.7 Использование системы итеративного динамического анализа рисков информационной безопасности в автоматизированной системе ЗАО «ТЕХНОСЕРВЪ А/С»
4.8 Выводы
Заключение
Список использованных источников и литературы
Приложение А
Фрагменты исходного кода тестового приложения на языке МАТЬАВ
Приложение Б
Экспериментальные графики

Обозначения и сокращения
AD - служба каталогов Microsoft active directory
АБИ - администратор безопасности информации
АРМ - автоматизированное рабочее место
АС - автоматизированная система
БД - база данных
БИ - безопасность информации
ГОСТ - государственный общероссийский стандарт
ЕСПД - единая система программной документации
ЕСКД - Единая система конструкторской документации
ЗПК - защищенный программный комплекс
Ии А - идентификация и аутентификация
ИНС - искусственная нейронная сеть
ИСПДн - информационная система персональных данных
КД - конструкторская документация
КСЗ - комплекс средств защиты
НСД - несанкционированный доступ
ОС - операционная система
ПД - программная документация
ПДн - персональные данные
ПК - программный комплекс
ППП - пакет прикладных программ
ПРД - правила разграничения доступа

Среди недостатков метода следует особо отметить отсутствие возможности внесения дополнений в базу знаний, кроме того данный метод требует специальной подготовки и высокой квалификации специалистов, а также крайне трудоемкий, генерирует много бумажной документации, не всегда полезной на практике. Помимо этого, работа по данному методу занимает многие месяцы, что резко повышает актуальность получаемых результатов.
Метод OCTAVE. Этот метод был разработан в университете Карнеги-Мелон для внутреннего использования. Он основан на наборе четко определенных критериев. Сейчас существует три модификации данного метода:
- методология оценки рисков OCTAVE Method, предназначенная для крупных организаций;
- упрощенная методология оценки рисков OCTAVE-S, предназначенная для небольших организаций;
- методология оценки рисков OCTAVE Allegro, которая может применяться специалистами на индивидуальной основе, без масштабного вовлечения сотрудников организации в процесс оценки рисков.
Метод состоит из следующих этапов [26]:
- подготовка - включает себя процессы согласования, планирования и координации работ;
разработка профилей угроз - в ходе практических семинаров происходит разработка профилей угроз, включающую в себя идентификацию и оценку активов, рассмотрение требований законодательства и нормативной базы, идентификацию угроз и оценку их вероятности, а также определение системы организационных мер по поддержанию режима ИБ;
- технический анализ уязвимостей - здесь производится технический анализ уязвимостей в отношении угроз, выявленных на предыдущем этапе;