Управление информационными рисками организации на основе логико-вероятностного метода : на примере компании добровольного медицинского страхования

• Автор: Кустов, Георгий Алексеевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2008
• Место защиты: Уфа
• Количество страниц: 176 с. : ил.

Оглавление
Введение
Глава 1.Обзор и сравнительный анализ методов управления информационными рисками (ИР)
1.1 Управление рисками в страховой компании добровольного медицинского страхования (ДМС)
1.2 Обзор известных методик анализа и идентификации информационных рисков
1.3.Измерение рисков
1.4. Оценка ущерба при риск-анализе
1.5.Управление риском
1.6.Страхование информационных рисков
1.7.Обзор программных средств анализа и управления рисками
Выводы по первой главе
Глава 2. Математические модели задач управления информационными рисками
2.1. Основные этапы решения задачи управления информационными рисками
2.2. Задача 1. Оценка уровня риска ИС
2.3. Задача 2. Построение рейтинга угроз
2.4. Задача 3. Формирование перечня наиболее эффективных контрмер ИС

2.5. Задача 4. Оценка уровня риска ИС с учетом контрмер и оценка эффективности решения задачи управления информационными рисками
2.6. Задача страхования информационных рисков
Выводы по второй главе
Глава 3. Реализация методов оценки рисков информационной системы СК ДМС
3.1. Оценка уровня риска ИС
3.2. Построение рейтинга угроз
3.3. Формирование перечня наиболее эффективных контрмер ИС
3.4. Оценка уровня риска ИС с учетом контрмер и оценка эффективности
решения задачи управления информационными рисками
3.5. Страхование информационных рисков
3.6. Анализ результатов внедрения
Выводы по третьей главе

Глава 4. Система управления информационными рисками
4.1 Сравнительный анализ систем
4.2 Основные этапы реализации системы управления информационными
рисками
4.3 Функциональная модель и структура системы
4.4 Описание функциональных подсистем
4.5 Пользователи системы
4.6 Архитектура системы, средства проектирования и разработки программного обеспечения
4.7 Оценка временных характеристик работы системы
Выводы по четвертой главе
Заключение
Список используемых источников
Приложение
Приложение
Приложение
Приложение
Приложение
Приложение
Приложение

Введение
Актуальность темы исследования. В связи с принятием Федерального закона «О персональных данных» и реализацией законов «Об информации, информационных технологиях и защите информации» и «О медицинском страховании граждан в Российской Федерации» возросла значимость управления рисками информационных систем персональных данных. В настоящее время нерешенными остаются многие проблемы правового, технического и финансового регулирования в медицинских информационных системах, которые располагают хранилищем конфиденциальных данных. Остаются открытыми вопросы гарантий доступа к информации, защиты врачебной тайны, обмена информацией с "третьими лицами" (со страховыми компаниями), определения размера компенсации морального вреда вследствие утечки информации. По классификации категорий персональных данных, предложенной ФСТЭК, данные о состоянии здоровья граждан относятся к самой важной — первой категории, а информационные системы (ИС) компаний добровольного медицинского страхования относятся к классу ИС, для которых нарушение безопасности обрабатываемых персональных данных может привести к значительным негативным последствиям для субъектов персональных данных.
Согласно данным отчетов аудиторской компании РептеНтх только 5% российских организаций не пострадали от утечек данных в 2007 г. Как отмечается в исследовании «Инсайдерские угрозы в России 2008», чаще всего похищаются персональные данные (57%), детали конкретных сделок (47%) и финансовые отчеты (38%) [54].
Целью деятельности страховой компании (СК) является получение прибыли от проведения эффективной политики в области страхования и инвестирования. Деятельность страховой компании сосредоточена на решении вопросов управления техническими, нетехническими и инвестиционными рисками. Информационные риски (ИР) являются важной составляющей группы нетехнических рисков. При управлении СК роль информационных рисков значительна. Поэтому исследования, направленные на решение задач, связанных с анализом, оценкой информационных рисков в страховой компании добровольного медицинского страхования (СК ДМС) и выбором эффективных контрмер по их снижению являются актуальными.
Целью диссертационной работы является снижение информационных рисков компании добровольного медицинского страхования на основе

Доходный Затратный Сравнительный
Метод преимущества в прибыли СТр = ДПрибыли, где ДПрибыли это дополнительная прибыль от использования данного информационного ресурса Метод преимущества в расходах СТр = ДРасходов, где ДРасходов это уменьшение расходов в результате применения данного информационного ресурса СТр = фактическим затратам на создание и введение в действие информационного ресурса СТр = СТр0" Стоимость ресурса определяется па основе данных об осуществленных ранее сделках купли-продажи аналогичного ресурса. Этот метод возможен только при существовании развитого рынка информационных ресурсов.
2 этап. Оценка соответствия объекта страхования требованиям по информационной безопасности (сюрвей)
Сюрвей (от англ. survey - «осмотр») - это независимая предстраховая экспертиза, которая проводится для оценки надёжности страхуемой! системы. Она проводится независимыми специалистами в области информационной безопасности и является обязательной процедурой.
На этом этапе вычисляются весовые коэффициенты опасности для различных источников угроз и уязвимостей. Полученные значения сравнивают с некоторым критическим показателем. Полученные данные сводятся к 3 основным коэффициентам, характеризующим хищение, уничтожение и модификацию информации
Если в ходе сюрвея выяснится, что риск возникновения страхового случая слишком велик, страховая компания может отказаться заключать договор страхования, либо увеличить размер страхового взноса.
5 этап. Анализ и оценка рисков и величины возможного ущерба.
Это один из основных этапов страхования, о нем мы будем подробно говорить во второй главе.
Существует 3 подхода к оценке ценности информации:
1) ценность - это прямая выгода, которая может быть получена в результате получения информации,
2) ценность - это прямые убытки, которые могут быть нанесены в результате утери информации,
3) ценность - это стоимость затрат на восстановление информации.