Содержание к диссертации
Введение
Глава 1 Анализ существующих систем управления как обобщение опыта управления информационными рисками 11
1.1 Особенности процесса управления информационными рисками 11
1.2 Обзор методик анализа и оценки информационных рисков 19
1.3 Обзор зарубежного и отечественного программного обеспечения, предназначенного для анализа и оценки рисков 23
1.4 Основы информационно-технологических сервисов 41
1.5 Описание схемы системы управления рисками ИТ-сервиса и структуры механизмов управления рисками 51
Глава 2 Классификация рисков ИТ-сервиса и оценивание вероятности их возникновения 54
2.1 Обзор существующих классификаций рисков 54
2.2 Разработка классификации рисков ИТ-сервиса по стадиям его жизненного цикла 60
2.3 Теория нечетких множеств и лингвистических переменных 61
2.4 Комбинированный способ оценивания вероятности реализации рисков ИТ-сервиса 67
2.5 Теоретические положения о сценарном подходе 71
2.6 Разработка сценарного подхода для определения размера ущерба, возникшего в результате реализации рисков ИТ-сервиса 78
Глава 3 Модели и методы управления рисками 81
3.1 Передача рисков на аутсорсинг 81
3.2 Расчет экономической эффективности от передачи рисков ИТ-сервиса на аутсорсинг для малой организации 90
3.3 Страхование как защитная мера от рисков 93
3.4 Постановка и решение задачи разработки системы страхования от рисков ИТ-сервиса и выявление условий применения страхования 101
Глава 4 Оптимальное распределение ресурсов на тестирование релизов ИТ-сервисов, встраиваемых в эксплуатационную среду 106
4.1 Обоснование проведения тестирования релизов ИТ-сервисов при их внедрении в эксплуатационную среду 106
4.2 Постановка и решение задачи оптимального распределения ресурсов при независимом и системном тестировании релизов ИТ-сервисов 108
Заключение 122
Библиографический список 123
Приложение 1 141
Приложение 2 142
- Обзор зарубежного и отечественного программного обеспечения, предназначенного для анализа и оценки рисков
- Теория нечетких множеств и лингвистических переменных
- Страхование как защитная мера от рисков
- Постановка и решение задачи оптимального распределения ресурсов при независимом и системном тестировании релизов ИТ-сервисов
Введение к работе
Актуальность работы. Применение информационных технологий, с одной стороны, дает значительные преимущества в деятельности предприятий и организаций, а с другой, - потенциально создает предпосылки для утечки, хищения, утраты, искажения, подделки, уничтожения, копирования и блокирования информации и, как следствие, нанесение экономического, социального и других видов ущерба, то есть проблема управления информационно-технологическими сервисами на современном предприятии с учетом рисков и нахождения путей снижения ущерба из-за рисков остается актуальной.
Информационный риск – это опасность возникновения убытков или ущерба в результате применения в организации информационных технологий, то есть информационные риски связаны с созданием, хранением, передачей и обработкой информации. Управление информационными рисками – это комплекс мероприятий по идентификации, анализу и устранению выявленных в структуре информационной безопасности недостатков, связанных с разработкой, эксплуатацией и утилизацией информационных комплексов.
Действенными методами защиты от рисков являются механизмы страхования и аутсорсинга, которым в ИТ-сфере уделяется недостаточно внимания. Также одним из самых надежных, но одновременно и самым дорогим и трудоемким методом является резервирование используемых ИТ-активов.
Информационный ресурс может быть необходим для производства того или иного вида услуги или товара, а может и являться этим товаром/услугой. Поставщики ИТ-услуг (ИТ-провайдеры) управляют процессами производства и предоставления ИТ-услуг, которые направлены на удовлетворение потребностей бизнеса, посредством ITSM (IT Service Management – управление ИТ-услугами). В состав ITSM входят такие элементы, как управление инцидентами, изменениями, безопасностью, доступностью и т.д. Все они тесно связаны между собой и с остальными элементами, службами и процессами. ITSM активно использует методы оценки и анализа рисков, а также разработки контрмер, которые помогают снизить или вовсе избежать возможных рисков.
После проведения оценки и анализа рисков на основе полученной информации требуется разработать защитные меры для снижения опасности реализации рисков. В литературе отсутствуют сведения о выборе способов защиты от различных видов риска. Для разработки контрмер важно знать, на какой стадии жизненного цикла ИТ-сервиса и по какой причине возникает риск. Такая информация в литературе также отсутствует.
Вопросам разработки методов управления экологическими рисками путем страхования посвящены работы В.Н. Буркова, Д.А. Новикова, А.В. Щепкина. Вопросами анализа и оценки рисков информационной безопасности, а также разработки различных методов и программного инструментария для автоматизации этих методов занимаются такие признанные эксперты в области информационной безопасности, как А.М. Астахов, И.Д. Медведовский, С.А. Петренко, С.В. Симонов, А.И. Сидоренко и др., Л. Сэвидж и М. Фридмен в центр внимания ставили проблему отношения людей к риску. Американский экономист Ф. Найт провел разделение между страхуемыми рисками и нестрахуемой неопределенностью в 1921 году в работе «Риск, неопределенность и прибыль». Активно вопросами риск-менеджмента занимались Т.Л. Бартон, У.Г. Шенкир, П.Л. Уоркер, работы Л.Н. Тэпмана посвящены теме рисков, возникающих в экономике.
Диссертация выполнена, в том числе, по гранту Минобрнауки «Модели и методы сервисного и проектно-процессного управления системами информатики и автоматизации», соглашение 14.В37.21.0391, 2012 – 2013 гг.
Методы исследования: механизмы теории управления организационными системами, методы теории вероятностей и математической статистики, нечеткой логики, экспертных оценок, сетевого программирования.
Цель исследования: разработка моделей и методов оценивания рисков, вероятностей их возникновения и выбора мер защиты от ущерба в случае их реализации для повышения эффективности управления процессами стадий жизненного цикла ИТ-сервиса в условиях неопределенности.
Для достижения цели были рассмотрены и решены следующие задачи:
-
Обзор и анализ известных методов управления рисками процессов жизненного цикла ИТ-сервисов, обобщение опыта в этой области и обоснование актуальности управления рисками ИТ-сервисов на предприятиях.
-
Классификация рисков на разных стадиях жизненного цикла ИТ-сервисов.
-
Оценка вероятностей реализации рисков и возможного ущерба.
-
Выбор методов защиты от ущерба, возникшего в результате реализации рисков.
-
Оптимизация распределения ресурсов при независимом и совместном тестировании релизов ИТ-сервисов при внедрении их в эксплуатационную среду для минимизации рисков.
Научная новизна исследования:
-
Классификация рисков ИТ-сервиса, отличающаяся тем, что она привязана к стадиям и процессам жизненного цикла ИТ-сервиса, что позволяет выявить и указать более точные причины и источники их возникновения.
-
Комбинированный способ оценивания вероятностей возникновения рисков, отличающийся тем, что наряду с элементами теории нечеткой логики используются статистические данные из отчетов предприятия о частоте реализации рисков.
-
Метод оценки ожидаемого размера ущерба в результате реализации рисков за плановый период работы предприятия-потребителя ИТ-сервиса, отличающийся использованием сценарного подхода, который дает возможность определить ущерб с учетом добавленной стоимости ИТ-сервиса.
-
Методы управления рисками на основе предложенной классификации, отличающиеся выбором более рациональных мер защиты от ущерба, полученным в результате страхования рисков или передачи их на аутсорсинг.
-
Постановка и решение задачи оптимального распределения ресурсов при независимом и совместном тестировании релизов ИТ-сервисов при их внедрении в эксплуатационную среду для минимизации рисков, отличающегося тем, что для решения задачи используется метод сетевого программирования, позволяющий существенно упростить решение.
Практическая значимость работы. Предложенная классификация рисков жизненного цикла ИТ-сервиса, способы оценивания вероятности возникновения риска с помощью элементов нечеткой логики в сочетании со статистическими данными из отчетов предприятия о частоте реализации рисков, размера ущерба от реализации риска с использованием сценарного подхода, рекомендации по выбору способов управления рисками, а также результаты решения задачи оптимального распределения ресурсов при независимом и совместном тестировании релизов ИТ-сервисов при их встраивании в эксплуатационную среду могут быть использованы ИТ-провайдерами в сферах производства и поставки услуг (сервисов). В учебном
процессе результаты работы могут быть использованы для более углубленного освоения студентами компетенций при изучении дисциплин: «Риск-менеджмент», «Информационная безопасность», «Комплексное обеспечение информационной безопасности», «Проектирование ИС» и др.
Реализация результатов работы. Процедура классификации рисков по стадиям жизненного цикла ИТ-сервиса с указанием причин их возникновения; результаты решения задач, связанных с передачей рисков ИТ-сервисов путем страхования и на аутсорсинг; а также результаты, полученные при решении задач оптимального распределения ресурсов на тестирование релизов приняты к использованию в ООО «Синерго Софт Системс», а также используются в учебном процессе Сибирского государственного индустриального университета.
Диссертация соответствует пунктам 2 – «Разработка методов формализации и постановка задач управления в социальных и экономических системах», 3 – «Разработка моделей описания и оценок эффективности решения задач управления и принятия решений в социальных и экономических системах», 4 – «Разработка методов и алгоритмов решения задач управления и принятия решений в социальных и экономических системах» паспорта научной специальности 05.13.10 «Управление в социальных и экономических системах».
На защиту выносятся:
-
Классификация рисков ИТ-сервиса, которая привязана к стадиям и процессам жизненного цикла ИТ-сервиса.
-
Комбинированный способ оценивания вероятностей возникновения рисков, в котором наряду с элементами теории нечеткой логики используются статистические данные из отчетов предприятия о частоте реализации рисков.
-
Метод оценивания ожидаемого размера ущерба в результате реализации рисков за плановый период работы предприятия-потребителя ИТ-сервиса с использованием сценарного подхода.
-
Методы управления рисками на основе предложенной классификации путем страхования рисков и передачи их на аутсорсинг.
-
Задача оптимального распределения ресурсов при независимом и совместном тестировании релизов ИТ-сервисов при их внедрении в эксплуатационную среду для минимизации рисков.
Личный вклад автора заключается в постановке и решении задач диссертационного исследования, а именно: в классификации рисков по стадиям жизненного цикла, в оценивании вероятностей возникновения рисков, в сценарном подходе для оценивания потерь из-за реализации рисков, в решении задач передачи рисков на аутсорсинг и страхование, в получении других результатов, составляющих научную новизну.
Апробация работы. Результаты работы докладывались и обсуждались на Всероссийской научно-практической конференции «Системы автоматизации в образовании, науке и производстве» (Новокузнецк, 2011, 2013, 2015 гг.), Всероссийской научно-практической конференции «Моделирование, программное обеспечение и наукоемкие технологии в металлургии» (Новокузнецк, 2011 г.), Международной конференции «Системные проблемы надежности, качества, информационно-телекоммуникационных и электронных технологий в инновационных проектах» (Москва-2011, 2013-2015 гг.), Международной научно-практической конференции «Теория активных систем» (Москва, 2011, 2014, 2016 гг.), Международной научно-технической конференции «Технологии разработки информационных сис-тем-ТРИС» (Таганрог, 2011-2016 гг.), Международной научно-практической кон-
ференции «Фундаментальные и прикладные проблемы приборостроения и информатики» (Москва, 2011 г.), конференции «Управление в технических, эргатиче-ских, организационных и сетевых системах» (Санкт-Петербург, 2012 г.), Международном симпозиуме «Надежность и качество» (Пенза, 2013 г.), Всероссийской конференции «Актуальные проблемы автоматизации и управления» (Челябинск, 2013 г.), Всероссийской мультиконференции по проблемам управления (Ростов-на-Дону, 2013 г., 2015 г.), Всероссийской молодежной научно-практической школе «Информационные системы и технологии в образовании, науке и бизнесе (ИСиТ-2014)» (Кемерово, 2014 г.), Международной научно-практической конференции «Современные сложные системы управления» (Воронеж, 2014 г.), Международной научно-практической конференции «Перспективы развития науки и образования» (Москва, 2014 г.), Всероссийской научно-практической конференции «ИТСиТ-2014» (Кемерово, 2014 г.), Международной научно-практической конференции «Наука, образование, общество: тенденции и перспективы» (Москва, 2014 г.), Международной научно-практической интернет-конференции «Информационные системы и технологии-2015» (Орел, 2015), Всероссийской школы-конференции молодых ученых «Управление большими системами» (Москва, 2015 г.), Международной конференции «Современные методы прикладной математики, теории управления и компьютерных технологий» (Саратов, 2015 г.), Всероссийской научно-практической конференции с международным участием «Моделирование и наукоемкие технологии в технических и социально-экономических системах» (Новокузнецк, 2016 г.), Международной научно-практической конференции «Наукоемкие технологии разработки и использования минеральных ресурсов» (Новокузнецк, 2017 г.).
Публикации. По теме диссертации опубликована 41 печатная работа, в том числе 5 статей в изданиях, включенных ВАК в перечень ведущих рецензируемых научных журналов и изданий.
Структура и объем диссертации. Диссертационное исследование состоит из введения, четырех глав, библиографического списка из 168 источников и содержит 13 рисунков и 34 таблицы. Основной объем машинописного текста составляет 142 страницы.
Обзор зарубежного и отечественного программного обеспечения, предназначенного для анализа и оценки рисков
Современные технологии анализа рисков позволяют оценить существующий уровень информационных рисков. В настоящее время имеется ряд методик с привлечением CASE-средств. Существенно, что квалифицированно выполненный анализ информационных рисков позволяет:
1. Провести сравнительную оценку по критерию «эффективность-стоимость» различных вариантов защиты информации;
2. Выбрать адекватные контрмеры для защиты информации;
3. Оценить уровень остаточных информационных рисков компании.
Для решения данной задачи были разработаны следующие программные комплексы анализа и контроля информационных рисков, применяемые как в России, так и за рубежом: CRAMM, RiskWatch, ГРИФ, средства компании MethodWare, экспертная система АванГард и т.д. Рассмотрим их более подробно.
Метод CRAMM разработан Агентством по компьютерам и телекоммуникациям Великобритании по заданию правительства и используется в качестве государственного стандарта, начиная с 1985 г., правительственными и коммерческими организациями Великобритании [30 - 38].
В основе метода CRAMM лежит комплексный подход к оценке рисков, сочетая количественные и качественные методы анализа. Метод универсален и подходит для больших и мелких организаций правительственного и коммерческого сектора. При этом существуют версии программного обеспечения CRAMM, ориентированные на различные типы организаций, которые отличаются друг от друга базами знаний или профилями (profile). Коммерческие организации должны использовать коммерческий профиль (Commercial profile), для правительственных организаций разработан правительственный профиль (Government profile).
Согласно методике CRAMM вся процедура анализа и оценки риска состоит из нескольких последовательных этапов (рисунок 1.2).
Рассмотрим методику более подробно. Сначала строится модель ресурсов информационной системы предприятия, описывающая связи между информационными, техническими и программными ресурсами, определяется их стоимость, исходя из того ущерба, который понесет организация в случае их порчи/утраты. Оценка производится по десятибалльной шкале, а критериев оценки для каждого ресурса может быть несколько. В конце первого этапа ЛПР/аудитор/менеджер получает ответ на вопрос, достаточно ли для защиты системы применения средств базового уровня, реализующих традиционные функции безопасности, или необходимо проведение более детального анализа. Если в результате оказывается, что уровень рисков не будет превышать некоторого базового уровня, на котором они считаются приемлемыми, то в этом случае мероприятия второго этапа не выполняются, осуществляется переход к третьему этапу, на котором генерируется стандартный список контрмер для базового набора требований безопасности.
Далее на втором этапе идентифицируются и оцениваются угрозы информационной безопасности, а также уязвимости системы. Данные для оценки этих угроз менеджер-аудитор получает от администраторов безопасности в ходе проведения различных опросов, для которых используются специализированные анкеты. Вопросы этих анкет допускают однозначный ответ. Уровень угроз в зависимости от полученных ответов оценивается по следующей шкале: очень высокий, высокий, средний, низкий, очень низкий. Уровень уязвимости оценивается как высокий, средний или низкий. На основе этой информации вычисляются ожидаемые годовые потери (Annual Loss of Expectancy, ALE), для чего используются два фактора: вероятность реализации риска и размер ущерба. Вероятность реализации зависит при этом от вероятности реализации угрозы и вероятности реализации уязвимости
Следующий этап - это выбор защитных мер. CRAMM предлагает следую щие рекомендации:
1. Рекомендации общего характера;
2. Конкретные рекомендации;
3. Примеры того, как можно организовать защиту в данной ситуации.
Окончательное решение о внедрении в систему новых механизмов безопасности и модификация старых принимает руководство организации, учитывая связанные с этим расходы, их приемлемость и конечную выгоду для бизнеса. Задачей аудитора является обоснование рекомендуемых контрмер для руководства организации.
Несмотря на популярность методы CRAMM у него есть несколько недостатков:
1. Использование метода CRAMM требует специальной подготовки и высокой квалификации аудитора;
2. Анализ и оценка рисков по методу CRAMM - очень трудоемкий процесс, и может потребовать месяцы непрерывной работы аудитора/менеджера;
3. Программный инструментарий CRAMM генерирует большое количество бумажной документации, которая не всегда оказывается полезной на практике;
4. CRAMM не позволяет создавать собственные шаблоны отчетов или модифицировать имеющиеся;
5. Возможность внесения дополнений в базу знаний CRAMM не доступна пользователям, таким образом, адаптация под конкретные нужды организации невозможна;
6. Программное обеспечение CRAMM существует только на английском языке;
7. Стоимость лицензии высока и недоступна небольшим организациям.
Методология OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) разработана в университете Карнеги Мелон, США и означает «Оценку критичных угроз, активов и уязвимостей» [30, 32, 36, 39].
Ее несомненным достоинством является то, что вся процедура анализа и оценки рисков проводится только с привлечением сотрудников организации, без участия сторонних экспертов. Создается группа анализа, которая включает в себя специалистов структурных подразделений - непосредственных пользователей защищаемой системы, сотрудников отделов информационных технологий и руководителей всех уровней.
Методика состоит из трех этапов:
1. Построение профиля угроз;
2. Определение уязвимостей;
3. Подготовка стратегий и планов безопасности.
На первом этапе персонал и руководители описывают активы и определяют внедренные средства защиты. К активам относятся информация в любом виде, различные системы, программное обеспечение, оборудование и люди. Также описываются варианты реализации угроз, их источники, которые делятся на преднамеренные или случайные действия человека, уязвимости ИТ-структуры и т.д. Результатом реализации угрозы может быть раскрытие конфиденциальной информации либо ее модификация, разрушение или потеря актива, прерывание его работы. Строится модель или профиль угрозы, который определяет угрозы, действующие на каждый актив. Для каждой угрозы помимо актива определяют нарушителя, его мотив (преднамеренный или случайный), доступ к активу (логический, физический), а также последствия реализации угрозы. Согласно этой методике при описании профиля угроз используется дерево вариантов, пример которого приведен на рисунке 1.3.
Теория нечетких множеств и лингвистических переменных
Часто при классификации рисков их вероятности оцениваются как: «высокий», «низкий», «средний». Но такая градация является грубой, неинформативной и малополезной. Уместно использовать методы нечеткой логики, которые зачастую применяются вместе с методами экспертных оценок.
Человек оперирует не числами, а словами, его рассуждения часто абстрактны, а описания процессов и объектов могут быть нечеткими, расплывчатыми, что делает их невозможными для применения в информационных технологиях. Человек способен принимать решение в том случае, если он располагает неполной или приближенной информацией об объекте. Для того, чтобы ее стало возможным использовать в строгих математических моделях, все чаще применяют теорию нечетких множеств. Родоначальником ее стал американский ученый азербайджанского происхождения Лотфи Заде, опубликовавший первую работу, посвященной нечеткой логике в 1965 году. Он впервые ввел понятие нечеткого множества, то есть такого множества, функция принадлежности элементов к которому принимает значения из интервала от 0 до 1, а не строго 0 или 1. Это значит, что элементы такого множества могут принадлежать ему с разной степенью вероятности [54].
В истории становления нечеткой логики выделяют три периода [55]. Первый период - развитие теоретического аппарата нечетких множеств, в этом направлении работал сам Л.Заде, а также Э.Мамдани, Р.Беллман. Началом второго периода считается середина 1970-х гг., когда Э.Мамдани совместно с С. Ассилиа-ном разработал нечеткий контроллер для лабораторной модели парового двигателя. Так впервые теория нечеткой логики была применена на практике. Все больше внимания уделяется построению экспертных систем, в основу которых положены постулаты теории нечетких множеств, широкое применение такие системы находят в медицине и экономике. Наибольший расцвет эта теория приобретает в Японии. Третий этап начался в конце 80-х гг. и продолжается по сегодняшний день. Тогда стали разрабатываться бытовые приборы с нечетким управлением, области применения нечеткой логики расширяются, сюда входят автомобильная, аэрокосмическая, транспортная промышленности, сферы анализа и принятия управленческих решений, распознавание образов, поиск информации в сети Интернет, управление компьютерными сетями, управление технологическими процессами и т.д.
Теория нечетких множеств применяется, когда ЛПР не располагает достаточными или определенными сведениями об объекте управления, так как они могут быть доступны только в виде экспертных заключений, полученных на основе эмпирических наблюдений и данных. Для таких данных нельзя построить математическую модель методами классической логики, либо они будут слишком сложны для дальнейшего использования. Но при помощи методов нечеткой логики возможно построение нечетких моделей для последующего создания баз знаний и проектирования экспертных систем для данной предметной области. Кроме того, адекватная обработка такой информации возможна также только с применением этой теории.
Большинство реальных систем являются динамическими и нелинейными, следовательно, построение линейной модели для них невозможно. Нечеткая логика предполагает отказ от жестких суждений, что делает возможным с помощью ее методов построение моделей приближенных человеческих рассуждений, а значит и проектирование нелинейных моделей. Основные области ее применения в сфере информационных технологий - это искусственный интеллект, нейронные сети [56]. Математический аппарат нечеткой логики позволяет построить такую нелинейную модель, которая адекватно отражает реальный объект.
В теории нечеткой логики существует понятие лингвистической переменной, эта переменная принимает значения фраз. Например, лингвистическая переменная «возраст» может принимать значения «молодой», «старый», «зрелый», «очень молодой» и т.д. То есть в этом случае используется больше позиций, чем О и 1, в нечеткой логике переменная принимает значения из промежутка [0, 1 ]. Если значение переменной равно 0, значит, она не принадлежит нечеткому множеству, если 1 - принадлежит, если значение равно х, х є [0,1], следовательно, переменная принадлежит этому множеству с вероятностью х.
Рассмотрим основные положения теории нечеткой логики, изложенные в работах [57 - 69] подробнее.
Лингвистическая переменная характеризуется набором свойств (X, Т(Х), U, G, М), где X - название переменной; Т(Х) - терм-множество переменной X; U -универсальное множество базовых значений, то есть область, в которой определены значения лингвистической переменной; G - синтаксическое правило; М -семантическое правило.
Терм-множество - это совокупность термов, то есть названий лингвистических значений переменной X, каждому терму соответствует нечеткое подмножество множества U, которое определяет значение терма. Синтаксическое правило порождает термы, оно имеет обычно форму грамматики. Терм может состоять из одного слова или нескольких слов, всегда использующихся друг с другом, тогда это атомарный терм. Составной терм - это терм, состоящий из одного и более атомарных термов. Семантическое правило ставит в соответствие каждому терму его смысл в виде нечеткого множества [57, 59] .
Нечеткое множество в некотором пространстве U - это множество упорядоченных пар {ХІЦА(ХІ)}, где ЦА(ХІ): U—»[0, 1] - функция принадлежности х к А, приписывающая каждому элементу хєі/степень его принадлежности к нечеткому подмножеству А. Функция принадлежности принимает свои значения в упорядоченном множестве М= [0, 1], которое называется множеством принадлежностей [57].
На практике уместно использовать такие функции, которые допускают аналитическое представление в виде какой-либо простой математической функции, что существенно упрощает расчеты и сокращает вычислительные ресурсы для хранения значений этих функций. Также к функции принадлежности предъявляется требование непрерывности. Это требование вытекает из представления о том, что если два решения какого-либо множества отличаются друг от друга незначительно, то и значения функций принадлежности для этих решений близки. Функции принадлежности могут быть нескольких типов [70]: 1. Кусочно-линейные функции. Это функции, графики которых состоят из отрезков прямых линий, образуя при этом непрерывную или кусочно-непрерывную линию. Примером таких функций являются треугольные и трапециевидные функции, которые могут быть заданы аналитическими выражениями следующего вида
Страхование как защитная мера от рисков
Одним из распространенных способов защиты от некоторых рисков является страхование. Особенно часто к страхованию прибегают при возникновении опасности форс-мажорных обстоятельств. Страхованием называется система мероприятий по созданию денежного (страхового) фонда за счет взносов его участников, из средств которого возмещается ущерб, причиненный стихийными бедствиями, несчастными случаями, а также выплачиваются иные денежные суммы в связи с наступлением определенных событий.
Проанализировав различные источники [49, 124 - 149], можно сказать, что поскольку, как уже упоминалось выше, информационными рисками в России заинтересовались только в конце 20 века, то и их страхование - это все еще новый вид услуги. Хотя стоит отметить, что минимальная информационно-правовая база в стране уже создана. Первые шаги в этом направлении были предприняты в середине 90-х гг. 20 века. Тогда проводился комплекс научно-исследовательских работ по изучению западного опыта в этом вопросе и разработке нормативно-правовой базы для страхования информационных рисков в России. Важно, что сделано это было при участии Министерства связи РФ. В результате этой работы были созданы проекты «Концепции страхования информационных рисков», «Положения о системе страхования информационных рисков», «Правил страхования (информационных рисков) информационных систем, информационных ресурсов, технических и программных средств вычислительной техники и оргтехники предприятий, организаций, учреждений и граждан», «Методики оценки стоимости информационных систем, ресурсов, программных и технических средств вычислительной техники как объектов страхования», «Положения и инструкции о проведении экспертизы информационных систем, технологий, программных ресурсов, технических и программных средств вычислительной техники при заключении договора страхования и при возникновении страхового случая».
Кроме того, Всероссийским научно-исследовательским институтом проблем вычислительной техники и информатизации в 1996 году был разработан проект Указа Президента РФ «О порядке развертывания в Российской Федерации системы страхования информационных рисков». Позднее был также подготовлен проект Постановления Правительства «О мерах по развертыванию в Российской Федерации системы страхования информационных рисков», но реальной апробации вышеперечисленных документов не произошло.
В 2000 году была принята «Доктрина информационной безопасности РФ» [124], в которой говорится о том, что создание системы страхования информационных рисков - это один из экономических методов обеспечения информационной безопасности страны. Но сама система так и не была спроектирована. 5 декабря 2016 г. Указом Президента Российской Федерации была принята новая Доктрина информационной безопасности, в которой такой способ обеспечения информационной безопасности как система страхования информационных рисков уже не упоминается.
Страхование информационных рисков предприятия - это метод защиты информации в рамках финансово-экономического обеспечения системы защиты информации, основанный на выдаче страховыми обществами гарантий субъектам информационных отношений по восполнению материального ущерба в случае реализации угроз информационной безопасности [125].
Согласно [126] объектами страхования информационных рисков могут выступать:
1. Информационные ресурсы;
2. Программное обеспечение;
3. Аппаратное обеспечение защищаемой информационной системы;
4. Финансовые активы в электронной форме.
В работах [126, 127] страховыми случаями называются следующие:
1. Сбои в работе ИС вследствие плохого качества программного и аппаратного обеспечений, ошибок при проектировании, настройке, обслуживании и эксплуатации;
2. Умышленные противоправные действия сотрудников, совершенные с целью навредить предприятию или получить выгоду;
3. Атаки на информационные системы организации, совершенные третьими лицами с целью нанести ей ущерб;
4. Воздействия вредоносных программ, которые повлекли нарушения в работе ИС или привели к нарушению конфиденциальности, целостности и/или доступности информации;
5. Хищение финансовых активов, совершенное путем осуществления неправомерных действий.
Кроме того, там же отмечается, что помимо вышеперечисленного могут быть застрахованы убытки от приостановки деятельности предприятия в результате реализации того или иного риска, дополнительные расходы на поддержание текущей деятельности в период восстановления поврежденных активов и на само восстановление, также могут возникнуть расходы на восстановление деловой репутации организации.
Так как страхование является достаточно дорогим методом защиты, не следует применять его повсеместно и необдуманно. Страхование целесообразно внедрять в том случае, если вероятность реализации риска мала, но при этом ущерб может быть значительным. Кроме того, в случае низкого потенциального ущерба при высокой вероятности реализации угрозы применение страхования будет обоснованным. Также важно обратить внимание на ценность информации; если ее утрата или модификация несущественны для организации, или возможно ее быстрое восстановление, то стоит направить большую часть средств на страхование, в противном случае следует уделить больше внимания в первую очередь различным защитным мерам.
Процедура страхования состоит из следующей последовательности этапов:
1. Проведение специальной экспертизы по анализу рисков страхуемого объекта. Она проводится независимыми экспертами в области информационной безопасности, которые не имеют непосредственного отношения ни к страховщику, ни к страхователю. По окончании этой проверки формируются отчет о реальном состоянии информационной безопасности в организации и рекомендации по повышению уровня защищенности информационных активов.
2. После формулировки требований по уменьшению количества рисков предприятие реализует соответствующие мероприятия. Одновременно принимается решение о целесообразности страхования информационных рисков.
3. В случае положительного решения об использовании страхования согласуются условия этого страхования, и заключается договор. Особым пунктом договора является определение ставки страхования на основе оценки рисков с учетом реализации рекомендованных экспертами мер по их уменьшению. Она рассчитывается в каждом случае индивидуально, но обычно ее размер не превышает 5% от того лимита ответственности страховщика, который установлен в полисе страхования. На нее могут влиять стоимость застрахованных активов, уровень их защищенности, а также статистические данные о нарушениях информационной безопасности на аналогичных предприятиях. Лимит ответственности - это та сумма, которую страховая компания обязуется выплатить страхователю в случае наступления страхового случая. Она состоит из стоимости информационных активов и размера ущерба, понесенного организацией в результате реализации угрозы. 4. Если наступил страховой случай, страховая компания проводит анализ и расчет причиненного ущерба. В том случае, когда застрахованные активы утрачены полностью, страховщик выплачивает страховые выплаты в полном объеме; если же повреждена только часть ресурсов, то определяется сумма компенсации. Для этого страховая компания может привлечь независимых экспертов, например, с целью проверки того, что предприятием, понесшим ущерб, были приняты все возможные меры безопасности.
5. Последний этап - выплата страхового возмещения ущерба, которая может быть осуществлена не единовременно, а в течение срока действия полиса.
У страхования как метода защиты от рисков есть несколько несомненных преимуществ. В первую очередь, это возможность возмещения возникающего материального ущерба. Помимо этого, как уже было отмечено, при использовании страхования проводится полный анализ системы информационной безопасности организации, что приводит к улучшению ее страхователем для уменьшения страховых взносов, при этом повышается степень доверия клиентов и партнеров фирмы.
Постановка и решение задачи оптимального распределения ресурсов при независимом и системном тестировании релизов ИТ-сервисов
Дадим постановку задачи оптимального распределения ресурсов при независимом и системном тестировании релизов ИТ-сервисов [157]. Дано:
1. Эксплуатационная среда, состав которой для 4-х релизов показан на рисунке 4.1.
2. Пакет релизов А,і = 1,п.
3. Качество тестирования релизов К.
4. Вероятности возникновения ИТ-происшествий Р( Д),/ = 1,и.
5. Затраты на тестирование релизов: zK(Ai),K = \,3,i = \,п.
6. Ограничение: К(А U A U... U A J К при независимом тестировании ИТ сервиса \итК(А}А ,А„—,Аn.J К" при совместном тестировании ИТ-сервиса.
7. Критерий: суммарные затраты на тестирование релизов: zK (А).
Требуется: оптимизировать распределение ресурсов на тестирование при со блюдении ограничения и минимизации критерия, то есть 2JZ {А — mm, Иначе, требуется определить такие минимальные затраты zs.(A ХАТ = 1,3,/ = 1,я, которые обеспечивают качество K(AS UA, U... UAJ AT при независимом тестировании ИТ-сервиса или KfAjA A- — A».:) AT" при совместном тестировании релизов ИТ-сервиса, где К - заданное качество.
Для решения этой задачи предлагается использовать метод сетевого программирования, описанного в работах [158 - 167]. Этот метод позволяет существенно упростить процедуру решения. В его основе лежит способ представления сложных функций в виде композиции (суперпозиции) более простых функций. При этом удобно применять графическое представление этого способа в виде сетевого графа, где входами являются переменные функций, выходами - сами функции, последующие вершины - это функции, входящие в композицию. Такое представление называется сетевым.
Необходимым условием для применения метода сетевого программирования является структурное подобие двух функций. Две функции являются структурно подобными в том случае, если их сетевые представления совпадают.
Рассмотрим структуру, приведенную на рисунке 4.2. Она описывает сетевые представления функции затрат, требующихся для проведения тестирования, и функции вероятности возникновения инцидентов при проведении тестирования. Сетевые представления обеих функций совпадают, значит, эти функции структурно подобны, следовательно, возможно применение метода сетевого программирования.
Сначала рассматриваем затраты на тестирование релизов Ai и А2 и вероятности возникновения инцидентов при внедрении этих релизов в ИТ-среду. Их совместную вероятность обозначим через уі(Аь А2), а затраты - через zi(Ab А2).
Далее к yi и zi присоединяем затраты, необходимые для тестирования релиза А3, и вероятность возникновения при этом ИТ-происшествий. Получаем соответственно затраты ъ-i и вероятность уг. Аналогично рассчитываются вероятности и затраты на всех последующих шагах до получения значения вероятности yn_i и затрат zn_i при подсоединении релиза Ап.
Приведем решение задачи оптимального распределения ресурсов сначала для случая системного тестирования релизов ИТ-сервисов при их внедрении в эксплуатационную среду.
Внедряемый ИТ-сервис S состоит в общем случае из п релизов А;, то есть S=(Ai, А2, ... А„). Вероятность P(S)=P(Ab А2, ... Ап) возникновения различных инцидентов при внедрении сервиса связана с числом связей релизов ИТ-сервисов, которые проходят проверку в эксплуатационной среде.
Согласно теореме умножения вероятностей [168], вероятность возникновения инцидентов будет рассчитываться по формуле:
Приведем граф, который описывает связи между четырьмя релизами с компонентами самой среды, при этом числа на ветвях графа - это количества связей релизов между собой и со средой (рисунок 4.3).
Следовательно, минимальные затраты на тестирование ИТ-сервиса с наилучшей оценкой качества тестирования, соответствующей 3 («хорошо»), составляют 43 единицы ресурсов, а вероятность возникновения инцидентов при внедрении сервиса ничтожно мала и составляет 0,00027.
Далее приведем пример решения задачи оптимального распределения ресурсов при независимом тестировании этих же четырех релизов, используя значения вероятностей возникновения инцидентов, рассчитанные для случая системного тестирования четырех релизов (формула (4.16)), а также значения затрат, необходимых для проведения тестирования. Аналогично оценивается качество проведения тестирования в зависимости от значений вероятностей возникновения инцидентов, а интервалы (0 - Р(А;)) разбиваются на три равных подинтервала. Значения функций затрат z(A;) известны. Заданные значения затрат, вероятностей и качества тестирования при внедрении релизов А] и А2 приведены в таблицах 4.13 и 4.14.