автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему:Исследование и развитие методического обеспечения оценки и управления рисками информационных систем на основе интересо-ориентированного подхода

На правах рукописи

КАРПЕЕВ Дмитрий Олегович

ИССЛЕДОВАНИЕ И РАЗВИТИЕ МЕТОДИЧЕСКОГО ОБЕСПЕЧЕНИЯ ОЦЕНКИ И УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННЫХ СИСТЕМ НА ОСНОВЕ ИНТЕРЕСО-ОРИЕНТИРОВАННОГО ПОДХОДА

Специ&тьность 05.13.19 - Методы и системы защиты информации,

информационная безопасность

АВТОРЕФЕРАТ

диссертации на соискание ученой степени кандидата технических наук

ООЗ472И^и

Воронеж - 2009

003472920

Работа выполнена в ГОУ ВПО «Воронежский государственный технический университет»

Научный руководитель доктор технических наук, профессор

Остапенко Александр Григорьевич

Официальные оппоненты: доктор технических наук, профессор

Попова Лариса Георгиевна;

кандидат технических наук Пархоменко Андрей Петрович

Ведущая организация ОАО «Концерн «Созвездие»

(г. Воронеж)

Защита состоится 25 июня 2009 г. в 1600 часов в конференц-зале на заседании диссертационного совета Д 212.037.08 ГОУ ВПО «Воронежский государственный технический университет» по адресу: 394026, г. Воронеж, Московский просп., 14.

С диссертацией можно ознакомиться в научно-технической библиотеке ГОУ ВПО «Воронежский государственный технический университет».

Автореферат разослан мая 2009 г.

Ученый секретарь ^—..

диссертационного совета гя сл-^ч, Батищев Р.В.

ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ

Актуальность темы. Проблемы обеспечения безопасности различных информационных систем в современном мире усиливаются отсутствием единой развитой методической базы, позволяющей проводить адекватную оценку угроз информационным ресурсам, а также - степени защищенности данных систем в информационной сфере. Пока наиболее популярным направлением является подход на основе оценки и управления рисками. Он применяется в различных сферах, в частности в экономической. В ней оптимизации подвергается соотношение риска в зависимости от принимаемого решения и возможного получения прибыли от экономической деятельности. Управление рисками в сфере обеспечения безопасности информационных систем для рассматриваемого подхода имеет иную направленность. Обеспечение лишь собственной безопасности не является конечной целью функционирования современных информационных систем, поэтому управление рисками в таких системах сегодня направлено на минимизацию издержек, возникающих из-за нарушений их защищенности. Известны различные подходы в оценке и управлении рисками, такие как статистический метод, подход на основе экспертных оценок и оценки субъективной вероятности, вероятностно-статистический подход, теоретико-вероятностный метод, метод расчета и управления экономическими рисками с использованием теории полезности. Принципиальная сложность проведения такого анализа рисков для информационных систем заключается в том, что для достижения адекватных оценок необходимо учитывать достаточно большое количество факторов, которые находятся в сложной зависимости друг от друга. Ключевым недостатком большинства разработанных методов управления рисками является наличие у них одного из следующих конфликтующих по своей сути свойств:

1. Ярко выраженный качественный и страдающий значительным субъективизмом подход к анализу рисков.

2. Жестко формализованный подход к анализу рисков. Из этого обычно следует то, что методика недостаточно универсальна. Кроме того, сложные формальные методы обычно трудно применять на практике, и, следовательно, эффект от их использования неудовлетворительный.

В этом краеугольном противоречии известных методов и стандартов чрезвычайно актуальным является построение методики, которая бы отвечала следующим требованиям:

- достаточная формализуемость для реализации в виде инструментальных средств;

- существенная простота для инженерного применения методики;

- адекватность и универсальность управления рисками, то есть применимость методики к большинству информационных систем;

- учет динамики развития системы;

- комплексность, позволяющая охватить все существенные аспекты функционирования системы.

Кроме того, при рассмотрении задачи оценки и управления рисками в некоторых случаях необходимо использовать подход, позволяющий учитывать индивидуальные особенности управляющего субъекта. Таким образом, разрабатываемое методическое обеспечение должно обеспечивать возможность отражения особенностей лица, принимающего решение. При этом актуальным является учет в разрабатываемом методическом обеспечении возможности оценки систем со сложной структурой и упрощения вычислений при аналитическом выделении подклассов элементов и проведении анализа рисков на основе произведенной классификации. Вышеизложенное позволяет с уверенностью утверждать об актуальности развития аналитических методов оценки и управления рисками информационных систем.

Данная работа выполнена в соответствии с одним из основных научных направлений Воронежского государственного технического университета «Перспективные радиоэлектронные и лазерные устройства и системы передачи, приема, обработки и защиты информации». Приказ от 10.03.04 №163-18.00-1 ГБ НИР: ГБ 04.24. «Методы и системы передачи, обработки и защиты информации». Номер госрегистрации: 0120.0411792.

Объект исследования. Информационные системы в контексте обеспечения их безопасности при реализации угроз.

Предмет исследования. Методическое обеспечение оценки и управления рисками информационных систем, подвергающихся воздействию угроз.

Цель работы: на основе аналитического подхода провести исследование и развитие методического обеспечения оценки и управления рисками информационных систем.

Достижение цели работы предполагает решение следующих задач исследования:

1. Исследовать стандарты и существующие методы идентификации, оценки и управления рисками информационных систем, включая адаптацию понятийного аппарата для предмета и объекта исследования.

2. Обобщить и систематизировать методологию аналитической оценки рисков информационных систем в контексте обеспечения их безопасности.

3. Развить аналитическую методологию оценки рисков информационной системы на основе интересо-ориентированного подхода, включающего оценку фактора изменения характеристик информационной системы во времени.

4. Разработать алгоритмы управления рисками информационной системы, дающие возможность практически применить предложенную методику на основе интересо-ориентированного подхода.

Методы исследования базируются на основных положениях теории вероятности и риска, теории управления в интересо-ориентированных системах, аппарата кластерного анализа.

Научная новизна. В диссертационной работе получены следующие результаты, характеризующиеся научной новизной:

1. Осуществлено достаточно полное исследование и систематизация методологического обеспечения в области управления рисками и защищенностью информационных систем, в отличие от аналогичных исследовании опирающееся на развитие аналитического подхода и открывающее перспективы многовариантного динамического анализа и оптимизации защищенности вышеуказанных систем.

2. Разработана методика оценки рисков для информационных систем с использованием кластерного анализа, в отличие от аналогов позволяющая производить классификацию элементов информационной системы по уровню риска и способствующая адекватному выбору стратегии управления для различных классов элементов.

3. Предложена методика управления рисками информационных систем на основе интересо-ориентированного подхода, отличающаяся возможностью учитывать фактор динамики изменения характеристик во времени, а также - прогнозировать уровень риска и принимать управляющие решения для информационной системы в зависимости от него.

4. Для осуществления практического применения данной методики предложены алгоритмы управления рисками информационной системы, реализующие принятие решений по управлению с использованием оригинального комплексного критерия полезности на основе оценки риска и ожидаемого дохода.

На защиту выносятся:

1. Результаты систематизации и анализа стандартов и методов оценки и управления рисками информационных систем, обосновывающие целесообразность развития аналитического подхода.

2. Формы'обобщения и классификации аналитических методов оценки и управления рисками информационных систем, определяющие пути их эффективного развития.

3. Методика оценки рисков информационной системы на основе кластерного анализа, а также методики аналитического управления рисками на основе интересо-ориентированного подхода с учетом временных характеристик динамики развития систем в условиях противодействия угрозам.

4. Критерий принятия управленческих решений на основе комплексной оценки риска и ожидаемого дохода, а также алгоритм управления рисками информационных систем и рекомендации по практическому применению предлагаемых методик в целях противодействия угрозам безопасности.

Практическая значимость работы.

Разработанная аналитическая методика оценки и управления рисками полностью соответствует поставленным в работе задачам. Она обладает достаточной формализуемостью и простотой для реализации инструментальных средств управления рисками, что обеспечивает возможность ■ ее практического применения. Кроме того, важным является учет динамики изменения состояния системы, а также субъективных особенностей лица,

принимающего решения; что существенно повышает эффективность применения данной методики.

Научные результаты работы используются в . Воронежском государственном техническом университете в ходе учебного процесса на кафедре «Системы информационной безопасности» студентами специальности 090102 «Компьютерная безопасность» по дисциплинам «Введение в специальность», «Компьютерные преступления», что подтверждено актом внедрения в учебный процесс. Полученные в работе результаты были внедрены в 127 военном заводе-филиале ФГУП «Воентелеком» Минобороны России, что подтверждено актом о внедрении.

Апробация работы. Основные результаты диссертационной работы докладывались и обсуждались на следующих конференциях:

V региональной конференции молодежи «ЮниорИнфоСофети» (Воронеж, 2006);

- региональной научно-практической конференции «Информационные аспекты безопасности систем» (Воронеж, 2007);

- региональной научно-практической конференции «Передача, прием, обработка и защита информации, информационная безопасность» (Воронеж, 2007);

- VI Всероссийской научно-практической конференции (с международным участием) «Современные информационные технологии в науке, образовании и практике» (Оренбург, 2007);

межрегиональной научно-практической конференции «Проблемы обеспечения безопасности систем» (Воронеж, 2008);

- межрегиональной научно-практической конференции «Риски и безопасность систем» (Воронеж, 2008);

- региональной научно-практической конференции «Методы, системы и процессы обеспечения безопасности» (Воронеж, 2008);

- межрегиональной научно-практической конференции «Инновации, риски, безопасность» (Воронеж, 2008).

Публикации. По теме диссертации опубликовано 12 научных работ, в том числе 4 - в изданиях, рекомендованных ВАК РФ. В работах, опубликованных в соавторстве и приведенных в конце автореферата, лично автору принадлежат: методика управления рисками на основе функции полезности [5], предложенный подход для выбора стратегии управления рисками в социотехнической информационной системе [1], методика оценки рисков на основе вероятностно-статистического метода [7], анализ международных стандартов управления информационной безопасностью 150/1ЕС 17799, 150/1ЕС 27001 [2], решение задачи классификации объектов информационной системы по уровню риска при помощи методов кластерного анализа [4], методика оценки динамики изменения уровня риска для информационной системы во времени [12].

Структура и объем работы. Диссертация состоит из введения, четырех глав, заключения и списка литературы, включающего 134 наименования, и приложения. Основная часть работы изложена на 171 страницах, содержит 19 рисунков и 1 таблицу.

ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ

Во введении обоснована актуальность темы диссертации, сформулированы цель и задачи исследования в области'управления рисками информационных систем, описана научная новизна работы, ее основные результаты, выносимые на защиту, и описана их практическая ценность.

В первой главе производится анализ современных стандартов и методов оценки и управления рисками информационных систем. Проанализированы основные стандарты, существующие в сфере управления рисками информационных систем и управления информационной безопасностью в целом. По результатам исследования было выделено три основных класса данных стандартов (табл. 1).

Анализ документов показывает, что подходы к менеджменту в области информационной безопасности в них достаточно близки друг к другу. Стандарты не противоречат между собой, и при этом налицо определенное сходство между подходами к управлению информационными рисками. Следует отметить, стандарты по управлению рисками используют схожие качественные методы оценки риска. В них, по сути, отсутствует количественная методология оценки рисков. При этом для определения количественных показателей зачастую используется экспертный подход на основе качественных оценок. Это дает основание говорить об актуальности проблемы построения количественной методологии.

Далее в главе 1 проанализированы основные экспертные методы, использующиеся в оценке рисков. Оценка риска экспертными методами имеет преимущество из-за простоты ее применения в условиях отсутствия объективных данных о величинах вероятностей возникновения событий и величинах ущерба, но имеет значительное ограничение по точности получаемых результатов. Этот подход всецело зависит от компетентности экспертов в этой области и весьма субъективен, так как значительно зависит от человеческого фактора и дает большие погрешности в аналитических расчетах. Перспективу в этом направлении открывают аналитические и численные методики оценки рисков, которым уместно уделить особое внимание. В рамках данной работы предлагается осуществлять аналитическую оценку и управление рисками и разрабатывается подход, ориентированный на следующие требования:

- универсальность, позволяющая применять методику к различным классам информационных систем;

- формализуемость, дающая возможность построения инструментальных средств на основе этого подхода;

- учет субъективных интересов лиц, принимающих решение;

- возможность прогнозирования уровня защищенности информационных систем.

Таблица 1

Систематизация стандартов в области управления рисками информационных

систем

Методические компоненты стандартов КОЛЕС 17799 ГОСТР ИСО/МЭК 177992005 КОЛЕС 27001 ГОСТР ИСО/МЭК 270012005 ЫКТ 80030 В5 7799.3 КОЛЕС 27005

Общий порядок идентификации и оценки рисков + + + + + + +

Практические мероприятия по управлению безопасностью + + - - + - -

Организационные аспекты управления безопасностью + + + + - - -

Стратегические аспекты функционирования системы управления безопасностью - - + + - - -

Общий порядок и стратегии управления рисками - - - - + + +

Методическая база для аналитического управления рискам и - - - - - - -

Специфика применения стандартов Стандарты, затрагивающие прикладные аспекты управления информационной безопасностью Стандарты, затрагивающие стратегические аспекты управления информационной безопасностью Стандарты, посвященные общему порядку управления рисками информационных систем

Во второй главе рассмотрены возможные подходы к аналитической оценке рисков в информационных системах, в связи с чем анализируются методы вычисления мер риска и использования априорных данных о вероятностных характеристиках угроз. Обсуждаются современные концепции управления информационными рисками, в контексте которых рассмотрена обобщенная модель оценки и управления рисками. Под угрозой понимается совокупность условий и факторов, при достижении которой будет причинен ущерб системе. Риск является величиной, которая позволяет оценить априорную степень опасности угрозы. Для оценки степени опасности необходимо ввести меру риска как числовую характеристику, позволяющую

определить уровень риска. При этом риск можно определить как отображение множества угроз U на некоторое числовое множество значений меры риска Я:

Risk: U -> R..

В частном случае риск можно рассмотреть как функционал угрозы:

Risk = /({/).

В рамках второй главы дается характеристика существующим количественным методам оценки рисков. Для выбора метода оценки риска предлагается учитывать следующие факторы: наличие и объем статистических данных о функционировании данной системы или аналогичных систем; требуемая точность оценки; существование математических моделей процессов, протекающих в системе. В зависимости от этих условий рассматриваются методы оценки риска, приведенные в табл. 2.

Таблица 2

Систематизация аналитических методов оценки рисков информационных

систем

Методы оценки риска Сущность метода Достоинства метода Недостатки метода

Статистический метод Вероятность реализации угроз и значение ущерба оценивается на основе накопленной статистики Является наиболее предпочтительным с точки зрения требуемой точности Требует накопления больших объемов статистических данных

Вероятностно-статистический метод Вероятность реализации угроз и значение ущерба оценивается на основе накопленной статистики, а недостающая информация компенсируется знанием закона распределения случайных величин, обусловливающих риск Точность этого метода достаточно высока Точность метода зависит от корректности определения видов законов распределения случайных величин

Теоретико- вероятностный метод Метод основан на использовании математических моделей анализируемой системы. Применяется для оценки рисков для редких явлений, для которых недостаточно накоплено статистики Применение метода возможно при отсутствии статистических данных Метод имеет невысокую точность

Далее вводится обобщенное понятие меры риска. Числовое множество значений R меры риска р. является заданным, если на нем существует отношение предпочтения. Исходя из того, что на множестве R задано отношение предпочтения, можно задать отношение предпочтения и на множестве угроз:

щ < и2<=>р 1 < <=> Risking) < Risk(u2).

В этом случае отношение предпочтения на множестве угроз позволяет сравнивать угрозы по уровню их опасности, применяя меры риска. В этом заключается физический смысл меры риска с точки зрения обеспечения безопасности системы.

Далее во второй главе анализируются существующие методы управления рисками. Обобщенная схема управления рисками информационных систем рассматривается как последовательность следующих этапов: анализ рисков; идентификация рисков; оценка рисков; определение множества управленческих решений; оценка эффективности каждого элемента из множества управленческих решений; выбор управленческого решения; мониторинг результатов управления рисками. Вышеизложенные этапы рассматриваются в контексте существующих принципов принятия решений по управлению рисками, таких как принцип приемлемого риска, принцип экономического обоснования, учет ограниченности ресурсов.

Во второй главе также проанализированы критерии принятия решений по управлению рисками, такие как критерии Лапласа, Вальда, Сэвиджа, Гурвица, с точки зрения возможности их применения в сфере обеспечения безопасности информационных систем. Рассмотрены также методы теории чувствительности и их применение в управлении рисками информационных систем. Влияние изменения параметров на свойства системы в управлении рисками информационных систем позволяет определять, каким образом лучше осуществлять управляющее воздействие на информационную систему.

В третьей главе на основе интересо-ориентированного подхода построена модель управления рисками информационной системы, которая позволяет осуществлять управление рисками в соответствии с заданными критериями качества на основе выбора оптимальных управленческих решений при заданных начальных условиях. Ее схема приведена на рис. 1.

Множество субъектов, Множество процессов, Множество объектов.

инициирующих реализующих подвергающихся

процессы воздействия воздействия на объекты воздействию

1 1 ;

Множество целей Множество средств. Множество

воздействия реализации воздействий последствий

воздействия

1

Коррекция целей Коррекция средств Оценка изменения

воздействия реализация воздействия последствий

воздействий

1

Лицо, принимающее Множество критериев

решение полезности

Рис. 1. Интересо-ориентированная модель управления рисками информационных систем

В соответствии с приведенной моделью информационная система представляет собой множество субъектов, которые производят определенные операции с ее ресурсами. Информационные ресурсы системы представляют

собой множество объектов. Субъекты могут осуществлять воздействия на объекты посредством процессов, происходящих в информационной системе. Воздействия на объекты осуществляются в зависимости от целей воздействия, которые принадлежат множеству целей воздействия. Лицо, принимающее решение, может осуществлять управляющие воздействия следующих видов:

1. Коррекция целей воздействия - управляющее воздействие, при котором изменяются цели воздействия субъектов на информационную систему. Выбор требуемой цели осуществляется из множества целей воздействия на систему.

2. Коррекция средств реализации воздействий - управляющее воздействие, осуществляющее изменения процессов воздействия субъектов на объекты. Множество средств реализации воздействий состоит из различных вариантов изменения характеристик процессов, происходящих в системе.

Управление рисками информационной системы, как уже было сказано выше, является циклическим процессом. На каждой итерации необходимо провести оценку изменения последствий воздействий множества субъектов на объекты информационной системы после принятия данного решения на основе выбранного критерия полезности из множества таких критериев. Ситуацией в данном случае является комплексная оценка состояния системы, в которой учитываются характеристики субъектов, объектов и процессов, происходящих в ней. Таким образом, осуществляется ситуационное управление рисками на основе интересов.

Далее в третьей главе рассматривается применение методов кластерного анализа для классификации объектов информационной системы по их характеристикам. Пусть матрица наблюдений X отражает ш характеристик п объектов информационной системы:

~х11 Х12 ••• Х1п Х21 х22 •■• х2т

X =

Хп1 Хп2

Применяя методы кластерного анализа, можно разделить множество объектов информационной системы на группы (кластеры) объектов, обладающих сходными характеристиками. Перед объединением считается, что каждый объект образует кластер. Для объединения объектов в кластеры итеративно производятся следующие операции:

1. На основе метрики близости (к примеру, евклидова расстояния) рассчитывается расстояние между кластерами (й). Результат такого вычисления может быть представлен в виде матрицы близости:

О2 =

• 0 й\г з ... а\п

0 ... й\п

0

о ...

¿пЗ -

. где ¿}к

.СХ\2

■ы) •

2. Объединяются наиболее близкие кластеры в единый.

3. Процесс повторяется до тех пор, пока расстояние между полученными кластерами не станет достаточно велико.

В данной главе осуществляется формализация интересо-ориентированной модели управления рисками информационных систем. Модель управления рисками на основе интересо-ориентированного подхода может быть формализована следующим образом:

/ДМ = [5,0, Р, С, Р(5хРх О), С, Мв, МР) ¡30, М, IV], где 5 - множество субъектов, осуществляющих процессы воздействия; Р -множество процессов, реализующих воздействия на объекты; О - множество объектов информационной системы, подвергающихся воздействию; С -множество целей воздействия; /Г(<Г X Р х О) - функция полезности, определенная на множестве состояний; С - множество критериев полезности; МС — множество управляющих воздействий по коррекции целей воздействий субъектов на систему; МР - множество управляющих воздействий по коррекции средств реализации воздействий субъектов на систему; /?0 -априорное распределение на множестве состояний; М - оператор выбора матрицы из множества IV , соответсвующей состоянию системы; IV -множество стохастических матриц перехода, задающих цепь Маркова, характеризующую динамику развития системы.

Для того чтобы осуществлять выбор управленческих решений, необходимо задать предпочтения на множествах Мб и МР . Возможность задания требуемых предпочтений вытекает из существования отношения к состоянию, выражающегося в значении функции ^(5 х Р х О). Предпочтения лица, принимающего решение, задаются в смысле влияния на информационную систему (IV):

¡V

Р(5хРхО)$с,сеС.

Для оценки значений полезности для каждого из состояний предлагается использовать комплексный критерий полезности на основе оценки как риска, так и ожидаемого дохода:

Р(БхРхО) = Рг(5хРхО)- тэКБ х Р х 0).

Расчет риска и ожидаемого дохода можно производить любым подходящим способом. С учетом динамики информационной системы в рамках интересо-ориентированной модели можно определить несколько стратегий управления рисками:

1. Минимизация значений риска в контрольной точке. Эта стратегия предполагает максимизацию значения функции полезности к определенному моменту времени Г. Значение функции полезности: РО:) = £Р=г г^р^к). Критерий выбора решения: ут| у £ МР, Р*(0 = гпахУуеУ

2. Минимизация среднего значения риска на интервале времени (Чп. О. Эта стратегия предполагает выбор решения, направленного на снижение среднего уровня риска на заданном временном интервале. Значение функции

ю

полезности: И = И^Д) = Критерий выбора

решения: ут| у £ МР, Я*(0 = тахУуеУ Р(1:).

3. Минимизация предельных значений риска. Эта стратегия опирается на свойство некоторых однородных цепей Маркова, в соответствии с которым после определенного номера шага к оо устанавливается стационарный режим. Значение функции полезности: Рпред = Р(0|,Г1)р"ред. Критерий выбора решения: Ул, | у 6 МР, = тах^еу Рпред(0.

4. Минимизация максимальных значений риска. Эта стратегия направлена на выбор такого управляющего воздействия, для которого минимальное значение функции полезности для всех состояний будет максимальным. Критерий выбора решения: ут|у £ МР, цу = шахУуеУ т1пу5е5ук о, г), где Р(з,о,г) - значение функции полезности для данного состояния, к - номер шага, п - общее число состояний.

В четвертой главе на основе интересо-ориентированной модели управления информационными рисками предложены алгоритмы, определяющие порядок действий при практическом применении методики. Каждый шаг общего алгоритма управления детализирован до уровня конкретных процедур в виде частных алгоритмов. Таким образом, получена возможность практического применения разработанной методики. Общий вид алгоритма применения предложенной модели представлен на рис. 2.

Первым этапом является построение модели функционирования системы. Его алгоритм представлен на рис. 3.

На втором этапе происходит определение возможных состояний информационной системы (рис. 4).

На третьем этапе производится определение значений функций полезности для различных состояний системы. Алгоритм данного этапа изображен на рис .5.

Четвертым этапом является построение вероятностной модели функционирования системы (рис. 6).

Пятым этапом алгоритма управления рисками информационной системы является анализ и ранжирование рисков информационной системы (рис. 7).

На шестом этапе алгоритма управления рисками информационной системы реализуются действия по непосредственной работе по управлению рисками на основе полученной модели функционирования системы (рис. 8). В соответствии с приведенным алгоритмом в случае неприемлемого уровня риска осуществляется поиск решений по его уменьшению и производится выбор наиболее подходящего решения по критерию ожидаемой полезности. На его основе реализуются действия по управлению рисками. Затем оцениваются остаточные риски и осуществляется переход к оценке приемлемости уровня риска для информационной системы.

Начало

Рис. 2. Общий алгоритм управления рисками на основе интересо-ориентированного подхода

Рис. 3. Алгоритм построения модели функционирования системы

Анализ возможных состояний множеств субъектов, объектов и процессов и выбор адекватных сочетаний

I

Анализ и построение модели переходов между состояниями

С

Конец

3

Рис. 4. Алгоритм определения возможных состояний информационной

системы

Рис. 5. Алгоритм определения критериев полезности и значений функции полезности для состояний системы

Рис. 6. Алгоритм построения вероятностной модели функционирования

системы

Рис. 7. Алгоритм анализа и ранжирования рисков информационной системы

Рис. 8. Алгоритм проведения работы по управлению рисками

ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ

Произведены исследование и систематизация методологического обеспечения в области управления рисками. Проанализированы традиционные методики управления рисками информационных систем, изложенные в современных стандартах обеспечения информационной безопасности. Основным недостатком этих методик является их слабая формализуемость,

14

направленность на исключительно качественные оценки уровня риска, что обусловливает высокую степень субъективизма. Исследование показало, что в сфере аналитической оценки и управления рисками информационных систем, нет единой методологической базы. Возникают значительные сложности при учете изменений, происходящих в информационной системе с течением времени, а также при учете субъективных предпочтений лиц, принимающих управленческие решения. В данной работе реализована разработка методик, которые позволили избежать проявления вышеперечисленных недостатков традиционных методов оценки и управления рисками информационных систем. В этой связи были получены следующие результаты:

1. Исследованы современные стандарты и методы оценки и управления рисками информационных систем. Детально рассмотрены аналитические методы оценки и управления рисками с точки зрения их применимости при обеспечении безопасности информационных систем. Выявлены основные недостатки существующей методологической базы.

2. Разработана интересо-ориентированная модель управления для информационной системы, открывающая возможность управления рисками в соответствии с заданными критериями качества. Данная модель строится на основе оценки различных состояний информационной системы в результате анализа множеств субъектов, объектов и процессов, образующих эту систему. Отличительной особенностью модели является учет динамики развития системы, возможность прогнозирования уровня риска, а также - учет индивидуальных особенностей лиц, принимающих управленческие решения. Предложена комплексная оценка полезности принятого управленческого решения на основе риска и ожидаемого дохода, задающая критерий качества для определения оптимального решения.

3. Разработаны алгоритмы, позволяющие практически применить разработанную модель управления рисками информационной системы. Данные алгоритмы определяют последовательность действий при реализации управления рисками на основе этой модели и открывают перспективу автоматизации процесса управления, а также создания соответствующих инструментальных средств.

Основные результаты диссертации опубликованы в следующих работах: Публикации в изданиях, рекомендованных ВАК РФ

1. Карпеев Д.О., Остапенко Г.А., Белоножкин В.И. Стратегии управления рисками в социотехнических информационных системах // Информация и безопасность: региональный научно-технический журнал. -Воронеж, 2006. - Вып. 2. - С. 133-134.

2. Кулаков В.Г., Карпеев Д.О, Остапенко А.Г. Риск-анализ информационных систем // Информация и безопасность: региональный научно-технический журнал - Воронеж, 2008. - Вып. 1. - С. 7-30.

3. Карпеев Д.О. Анализ динамики рисков информационных систем // Информация и безопасность: региональный научно-технический журнал. -Воронеж, 2008. - Вып. 2. - С. 284-287.

4. Карпеев Д.О., Остапенко O.A. Применение кластерного анализа в мониторинге рисков систем II Информация и безопасность: региональный научно-технический журнал. - Воронеж, 2008. - Вып. 3. - С. 395-398.

Статьи и материалы конференций

5. Карпеев Д.О., Остапенко O.A. Управление информационными рисками социотехнических информационных систем II ЮниорИнфоСофети: материалы V регион, конф. - Воронеж: ВГТУ, 2006. - С. 139.

6. Карпеев Д.О. Распределенный риск-анализ систем // Информационные аспекты безопасности систем: материалы регион, науч.-практ, конф. - Воронеж: ВГТУ, 2007. - С. 357.

7. Исаев A.C., Карпеев Д.О., Асеев В.Н. Автоматизированные системы при фиксированной мощности множества неудачных атак: статистический риск-анализ и управление защищенностью // Информационные аспекты безопасности систем: материалы регион, науч.-практ, конф. - Воронеж: ВГТУ, 2007.-С. 361.

8. Карпеев Д.О. Исследование процессов обеспечения безопасности информационных систем в контексте анализа и управления рисками // Передача, прием, обработка и защита информации, информационная безопасность: материалы регион, науч.-практ. конф. - Воронеж: ВГТУ, 2007. -С. 620.

9. Карпеев Д.О. Анализ и управление рисками: исследование в контексте обеспечения безопасности информационных систем // Современные информационные технологии в науке, образовании и практике: материалы VI Всерос. науч.-практ. конф. (с междунар. участием). - Оренбург: ИПК ГОУ ОГУ, 2007. - С. 306-307.

10. Карпеев Д.О. Классификация рисков информационных систем // Методы, системы и процессы обеспечения безопасности: материалы регион, науч.-практ, конф. - Воронеж: ВГТУ, 2008.-С. 310.

11. Карпеев Д.О. Анализ изменения уровня рисков на различных стадиях жизненного цикла информационных систем // Методы, системы и процессы обеспечения безопасности: материалы регион, науч.-практ. конф. -Воронеж: ВГТУ, 2008. - С. 308.

12. Остапенко O.A., Карпеев Д.О. Динамическая постановка задачи оценки и управления рисками. // Инновации, риски, безопасность: межрегион, науч.-практ. конф. - Воронеж: МИКТ, 2008. С. 67-68.

Подписано в печать 21.05.2009. Формат 60x84/16. Бумага для множительных аппаратов. Усл. печ. л. 1,0. Тираж 85 экз. Заказ

ГОУ ВПО «Воронежский государственный технический университет» 394026 Воронеж, Московский просп., 14

ВВЕДЕНИЕ.

ГЛАВА 1. РИСКИ ИНФОРМАЦИОННЫХ СИСТЕМ: ОБЗОР

СОВРЕМЕННЫХ СТАНДАРТОВ И МЕТОДОВ ОЦЕНКИ И УПРАВЛЕНИЯ

1.1. Анализ современных стандартов в области управления рисками информационных систем.

1.1.1. Анализ международного стандарта ISO IEC 17799 (ГОСТ Р ИСО/МЭК 17799-2005) в области управления рисками информационной безопасности.

1.1.2. Анализ международного стандарта ISO IEC 27001 (ГОСТ Р ИСО/МЭК 27001-2005) в области мониторинга и управления рисками информационной безопасности.:.

1.1.3. Анализ британского стандарта BS 7799-3 «Руководство по управлению информационными рисками».

1.1.4. Анализ стандарта США NIST 800-30 «Руководство по управлению информационными рисками IT-систем».

1.2. Анализ существующих экспертных методов оценки рисков информационных систем.

ГЛАВА 2. АНАЛИТИЧЕСКИЙ ПОДХОД В МЕТОДОЛОГИИ ОЦЕНКИ И УПРАВЛЕНИЯ РИСКАМИ: ОБОБЩЕНИЕ И ПУТИ РАЗВИТИЯ.

2.1. Понятие риска системы.

2.1.1. Концепции оценки рисков.

2.1.2. Обобщенная модель оценки риска.

2.1.3. Вероятностная природа риска.

2.1.4. Методы оценки риска.

2.1.5. Формальное определение меры риска.

2.1.6. Основные меры риска, используемые в анализе информационных систем.

2.1.7. Методы оптимизации вычислений при расчете риска систем.

2.1.8. Объективные и субъективные составляющие риска систем.

2.2. Аналитические методы управления рисками.

2.2.1. Понятие и обобщенная схема управления рисками.

2.2.2. Принципы принятия решений по управлению рисками.

2.2.3. Основные критерии выбора оптимальных решений по управлению рисками.

2.2.4. Применение методов теории чувствительности в управлении рисками информационных систем.

2.3. Динамические характеристики риска систем.

2.4. Наиболее распространенные на практике виды рисков информационных систем и их анализ.

ГЛАВА 3. РАЗВИТИЕ МЕТОДИЧЕСКОГО ОБЕСПЕЧЕНИЯ УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННЫХ СИСТЕМ.

3.1. Постановка задачи управления рисками информационной системы

3.1.1. Интересо-ориентированные системы в контексте постановки задачи управления рисками.

3.1.2. Общий вид интересо-ориентированной модели управления рисками информационных систем.

3.1.3. Применение кластерного анализа при оценке рисков информационной системы.

3.1.4. Формализация управления рисками информационной системы.

3.1.5. Критерий принятия решений по управлению рисками на основе функции полезности.

3.1.6. Развитие интересо-ориентированного подхода к оценке и управлению рисками информационных систем.

3.1.7. Учет динамики развития информационных систем в управлении рисками.

3.2. Классификация управляющих воздействий на информационную систему.

ГЛАВА 4. АЛГОРИТМИЗАЦИЯ И ПРАКТИЧЕСКОЕ ПРИМЕНЕНИЕ МЕТОДИКИ УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННЫХ СИСТЕМ НА БАЗЕ ИНТЕРЕСО-ОРИЕНТИРОВАННОГО ПОДХОДА.

4.1. Алгоритмы управления рисками информационных систем на основе интересо-ориентированного подхода.

4.2. Практическое применение алгоритма управления рисками.

Актуальность. Проблемы обеспечения безопасности различных информационных систем в современном мире усиливается отсутствием единой развитой методической базы, позволяющей проводить адекватную оценку угроз информационным ресурсам, а также степень защищенности данных систем в информационной сфере. Пока наиболее популярным направлением является подход на основе оценки и управления рисками [6971]. Он применяется в различных сферах, в частности, в экономической. Концепция управления рисками, используемая в экономике [810,15,19,25,29,40,69-71], направлена в большей степени на выбор оптимальных управленческих решений для извлечения наибольшей экономической выгоды. Оптимизации подвергается соотношение риска в зависимости от принимаемого решения и возможного получения прибыли от экономической деятельности.

В отличие от вышеупомянутой экономической модели, управление рисками в сфере обеспечения безопасности информационных систем для рассматриваемого подхода имеет иную направленность. Обеспечение лишь собственной безопасности не является конечной целью функционирования современных информационных систем, поэтому управление рисками в таких системах сегодня направлено на минимизацию издержек, возникающих из-за нарушений их защищенности. Оценка и анализ рисков применяется в информационной сфере сравнительно недавно. В 90-е гг. прошлого века, а также в первое десятилетия нынешнего - века были разработаны несколько стандартов, использующих управление рисками для систем обработки информации. К ним можно отнести международные стандарты ISO IEC 17799, ISO IEC 27001, британский стандарт BS 7799-3, американский стандарт NIST 800-30, а также ряд других зарубежных стандартов. Существуют адаптированные переводы некоторых из данных стандартов на русский язык, доработанные до соответствующих государственных стандартов Российской Федерации таких, как ГОСТ Р ИСО/МЭК 17799-2005 и ГОСТ Р ИСО/МЭК 27001-2005. При этом, очевидно, актуальной составляющей исследования выступает необходимость анализа существующих стандартов с точки зрения возможного аналитического развития методов анализа и управления рисками информационных систем [32,34,107-111].

Известны [10,25,40] различные подходы к оценке и управлению рисками такие как: статистический метод, подход на основе экспертных оценок и оценки субъективной вероятности, вероятностно-статистический подход, теоретико-вероятностный метод, метод расчета и управления экономическими рисками с использованием теории полезности. Принципиальная сложность проведения такого анализа рисков для информационных систем заключается в том, что для достижения адекватных оценок необходимо учитывать достаточно большое количество факторов, которые находятся в сложной зависимости друг от друга. Причем, зачастую достаточно трудно оценить степень достоверности полученного результата, поскольку при проведении анализа невозможно учесть всех факторов. Возможность увеличивать степень детальности исследования ограничена, из-за высокой трудоемкости и значительных экономических издержек. Ключевым недостатком большинства разработанных методов управления рисками является наличие у них одного из следующих конфликтующих по своей сути свойств [66-68]:

1) Ярко выраженный качественный и страдающий значительным субъективизмом подход к анализу рисков. Наличие этого- свойства обуславливает слабую формализуемость, и, следовательно, невозможность создать автоматизированные инструментальные средства анализа и управления информационными рисками на основе разработанной методики.

2) Жестко формализованный подход к анализу рисков. Из этого обычно следует то, что методика недостаточно универсальна, то есть неполна. Кроме того, сложные формальные методы обычно трудно применять на практике и следовательно эффект от их использования незначительный. При этом формальные методы достаточно сложно применить при отсутствии математических моделей процессов, происходящих в информационных системах, а также при недостаточном объеме статистических данных [25,68].

В этом краеугольном противоречии известных методов и стандартов, чрезвычайно актуальным является построение методики, которая бы отвечала следующим требованиям:

- достаточная формализуемость для реализации в виде инструментальных средств;

- достаточная простота для инженерного применения методики;

- адекватность и универсальность управления рисками, то есть применимость методики к большинству информационных систем;

- учет динамики развития системы;

- комплексность, позволяющая охватить все существенные аспекты функционирования системы.

Методика мониторинга и управления рисками, отвечающая данным требованиям, может быть весьма эффективно применена на практике.

Управление рисками информационной системы затрагивает различные аспекты ее функционирования, где методика управления рисками должна учитывать процессы различного характера, протекающие в системе. В общем случае можно выделить [25] следующие составляющие управления рисками:

- идентификация рисков, возникающих в процессе функционирования информационной системы;

- оценка организационных и технических рисков системы;

- выработка решения по управлению рисками на основе имеющихся оценок;

- проведение непосредственной работы по управления рисками (принятие решений);

- мониторинг изменения уровня рисков. 7

Для полноты рассмотрения неизбежно придется прибегнуть к разработке эффективного методического обеспечения, где актуальной задачей является выбор оптимальной меры риска для исследуемой системы или процесса в рамках системы. Это обусловлено тем, что необходимо оценивать общий уровень рисков, складывающийся из процессов имеющих принципиально различный характер. Характерным примером тому являются организационные и технические риски, обусловленные различными классами уязвимостей [70,72].

Обоснованию меры риска посвящено множество исследований, прежде всего в области экономики [8-10,15,25,40,44,94]. В области обеспечения информационной безопасности ситуация осложняется разнородностью исследуемых процессов и ориентированностью на снижение риска, а не на максимизацию доходов [68,70-73]. Распространенная экономическая методология использует концепцию риска как возможности [25]. При проведении анализа рисков информационной системы приходится использовать концепцию риска как опасности, поскольку управление рисками в этой сфере направлено не на получение дополнительной прибыли, а на предотвращение реализации угроз и снижении последствий проявления негативных факторов. Аналитические методики управления, которые могут быть применены в рамках выбранной концепции риска, не отвечают обозначенным выше требованиям [10,25,70]. Поэтому актуальной задачей исследования является развитие существующих методик для приведения их в соответствие поставленным целям. В частности, насущным аспектом исследования является разработка методического обеспечения, позволяющего учитывать изменения состояния информационной системы во времени.

При рассмотрении задачи оценки и управления рисками в некоторых случаях необходимо использовать подход, позволяющий учитывать индивидуальные особенности управляющего субъекта. Это обусловлено субъективным подходом при оценке рисков и необходимостью учитывать особенности целей, для достижения которых функционирует информационная система [10,14,25,54,68,70]. Таким образом, разрабатываемое методическое обеспечение должно обеспечивать возможность отражения особенностей лица принимающего решение.

Информационная система как объект исследования представляет собой упорядоченное множество взаимодействующих компонентов, где для компонентов этого множества соответствующая формируется совокупность угроз безопасности [54]. Характер взаимодействия угроз и уязвимостей определяет общую оценку риска для системы. Сегодня актуальной является разработка методики комплексной адекватной оценки риска и защищенности информационных систем для множества вышеуказанных деструктивных факторов. Проблема определения общего риска для совокупности сложного взаимодействия угроз на данном этапе не решена в полной мере [67-68]. Существующие методики, увы, не учитывают характер взаимодействия различных негативных факторов и дают комплексную оценку риска системы лишь на качественном уровне.

Ввиду структурной сложности и компонентной разнородности современных информационных систем возникает проблема адекватной идентификации и оценки рисков, обусловленных функционированием отдельных элементов системы. Иными словами, актуальным является учет в разрабатываемом методическом обеспечении возможности оценки систем со сложной структурой и возможностью упрощения вычислений, при аналитическом выделении подклассов элементов и проведении анализа рисков на основе произведенной классификации [68].

Все вышеизложенное позволяет с уверенностью утверждать об актуальности развития аналитических методов оценки и управления рисками информационных систем.

Данная работа выполнена в соответствии с одним из основных научных направлений Воронежского государственного технического университета: "Перспективные радиоэлектронные и лазерные устройства и системы передачи, приема, обработки и защиты информации". Приказ от 10.03.04 №163-18.00-1 ГБ НИР: ГБ 04.24. "Методы и системы передачи, обработки и защиты информации". Номер госрегистрации: 0120.0411792.

Объект исследования. Информационные системы в контексте обеспечения их безопасности при реализации угроз.

Предмет исследования. Методическое обеспечение оценки и управления рисками информационных систем, подвергающиеся воздействию угроз.

Цель работы: на основе аналитического подхода провести исследование и развитие методического обеспечения оценки и управления рисками информационных систем.

Достижение цели работы предполагает решение следующих задач исследования:

1. Исследовать стандарты и существующие методы идентификации, оценки и управления рисками информационных систем, включая адаптацию понятийного аппарата для предмета и объекта исследования.

2. Обобщить и систематизировать методологию аналитической оценки рисков информационных систем, в контексте обеспечения их безопасности.

3. Развить аналитическую методологию оценки рисков информационной системы на основе интересо-ориентированного подхода, включающего оценку фактора изменения характеристик информационной системы во времени.

4. Разработать алгоритмы управления рисками информационной системы, дающие возможность практически применить предложенную методику на основе интересо-ориентированного подхода.

Методы исследования базируются на основных положениях теории вероятности и риска, теории управления в интересо-ориентированных системах, аппарата кластерного анализа. ю

Научная новизна. В диссертационной работе получены следующие результаты, характеризующиеся научной новизной:

1. Впервые осуществлено наиболее полное исследование и систематизация методологического обеспечения в области управления рисками и защищенностью информационных систем, в контексте развития аналитического подхода, открывающего перспективы многовариантного динамического анализа и оптимизации защищенности вышеуказанных систем.

2. Разработана методика оценки рисков для информационных систем с использованием кластерного анализа, в отличие от аналогов позволяющая производить классификацию элементов информационной системы по уровню риска, и способствующая адекватному выбору стратегии управления для различных классов элементов.

3. Предложена методика управления рисками информационных систем на основе интересо-ориентированного подхода, отличающаяся возможностью учитывать фактор динамики изменения характеристик во времени, а также - прогнозировать уровень риска и принимать управляющие решения для информационной системы в зависимости от него.

4. В целях реализации данной методики разработаны алгоритмы управления рисками информационной системы, реализующие принятие решений по управлению с использованием оригинального комплексного критерия полезности на основе оценки риска и ожидаемого дохода.

На защиту выносятся:

1. Результаты систематизации и анализа стандартов и методов оценки и управления рисками информационных систем, обосновывающие целесообразность развития аналитического подхода.

2. Формы обобщения и классификации аналитических методов оценки и управления рисками информационных систем, определяющие пути их эффективного развития. и

3. Методика оценки рисков информационной системы на основе кластерного анализа, а также методики аналитического управления рисками на основе интересо-ориентированного подхода с учетом временных характеристик динамики развития систем, в условиях противодействия угрозам.

4. Алгоритмы управления рисками информационных систем, использующие критерий принятия управленческих решений на основе комплексной оценки риска и ожидаемого дохода, и рекомендации по практическому применению предлагаемых методик в целях противодействия угрозам безопасности.

Апробация работы. Основные результаты диссертационной работы докладывались и обсуждались на следующих конференциях:

1. Пятая региональная конференции молодежи «ЮниорИнфоСофети». Воронеж, 2006 г.

2. Региональная научно-практическая конференция «Информационные аспекты безопасности систем». Воронеж, 2007 г.

3. Региональная научно-практическая конференция «Передача, прием, обработка и защита информации, информационная безопасность». Воронеж, 2007 г.

4. Шестая всероссийская научно-практическая конференции (с международным участием) «Современные информационные технологии в науке, образовании и практике». Оренбург, 2007 г.

5. Межрегиональная научно-практическая конференция «Проблемы обеспечения безопасность систем». Воронеж, 2008 г.

6. Межрегиональная научно-практическая конференция «Риски и безопасность систем». Воронеж, 2008 г.

7. Региональная научно-практическая конференция «Методы, системы и процессы обеспечения безопасности». Воронеж, май 2008 г.

8. Межрегиональная научно-практическая конференция

Инновации, риски, безопасность». Воронеж, 2008 г.

12

Публикации. По материалам диссертационной работы опубликовано 12 научных работ [123-134], в том числе в изданиях, рекомендованных ВАК РФ-4 работы [123-126].

В работах, опубликованных в соавторстве, лично автору принадлежат: методика управления рисками на основе функции полезности [127], предложенный подход для выбора стратегии управления рисками в социотехнической информационной системе [123], методика оценки рисков на основе вероятностно-статистического метода [129], анализ международных стандартов управления информационной безопасностью ISO/IEC 17799, ISO/IEC 27001 [124], решение задачи классификации объектов информационной системы по уровню риска при помощи методов кластерного анализа [126], методика оценки динамики изменения уровня риска для информационной системы во времени [134].

Объем и структура работы. Диссертация состоит из введения, четырех глав, заключения и списка литературы, включающего 134 наименования и приложения. Основной текст изложен на 171 страницах машинописного текста. Работа содержит 19 рисунков и 1 таблицу.

ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ, ОПУБЛИКОВАННЫЕ В ИЗДАНИЯХ, РЕКОМЕНДОВАННЫХ ВАК РФ

123. Карпеев Д.О., Г.А. Остапенко, В.И. Белоножкин. Стратегии управления рисками в социотехнических информационных системах. // Журнал «Информация и безопасность». — Воронеж: ВГТУ, 2006. - Вып. 2 -С.133-134.

124. Кулаков В.Г., Карпеев Д.О, Остапенко А.Г. Риск-анализ информационных систем. // Журнал «Информация и безопасность». -Воронеж: ВГТУ, 2008. - Вып. 1 - С.7-30.

125. Карпеев Д.О. Анализ динамики рисков информационных систем. // Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2008. - Вып. 2 - С.284-287.

126. Карпеев Д.О., Остапенко О.А. Применение кластерного анализа в мониторинге рисков систем. // Журнал «Информация и безопасность». -Воронеж: ВГТУ, 2008. - Вып. 3 - С.395-398.

НАУЧНЫЕ ТРУДЫ И МАТЕРИАЛЫ КОНФЕРЕНЦИЙ

127. Карпеев Д.О., Остапенко О.А. Управление информационными рисками социотехнических информационных систем. // Материалы пятой региональной конференции «ЮниорИнфоСофети». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2006. — Вып. 1 — С.139.

128. Карпеев Д.О. Распределенный риск-анализ систем // Материалы региональной научно-практической конференции «Информационные аспекты безопасности систем». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2007. - Вып. 2 - С.357.

129. Исаев А.С., Карпеев Д.О., Асеев В.Н. Автоматизированные системы при фиксированной мощности множества неудачных атак: статистический риск-анализ и управление защищенностью. // Материалы региональной научно-практической конференции «Информационные аспекты безопасности систем». Журнал

Информация и безопасность». - Воронеж: ВГТУ, 2007. - Вып. 2 -С.361.

130. Карпеев Д.О. Исследование процессов обеспечения безопасности информационных систем в контексте анализа и управления рисками. // Материалы региональной научно-практической конференции «Передача, прием, обработка и защита информации, информационная безопасность». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2007. - Вып. 4 - С.620.

131. Карпеев Д.О. Анализ и управление рисками: исследование в контексте обеспечения безопасности информационных систем. // Современные информационные технологии в науке, образовании и практике. Материалы VI всероссийской научно-практической конференции (с международным участием). - Оренбург: ИПК ГОУ ОГУ, 2007 - 840 с. С 306-307.

132. Карпеев Д.О. Классификация рисков информационных систем. // Материалы региональной научно-практической конференции «Методы, системы и процессы обеспечения безопасности». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2008. - Вып. 2 -С.310.

133. Карпеев Д.О. Анализ изменения уровня рисков на различных стадиях жизненного цикла информационных систем. // Материалы региональной научно-практической конференции «Методы, системы и процессы обеспечения безопасности». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2008. - Вып. 2 - С.308.

134. Остапенко О.А., Карпеев Д.О. Динамическая постановка задачи оценки и управления рисками. // Научный форум «Системы, процессы и безопасность» 2008/2009. Межрегиональная научно-практическая конференция «Инновации, риски, безопасность» Сборник научных трудов. Воронеж: МИКТ, 2008. С 67-68.

1. Баранин В. Н. Экономика чрезвычайных ситуаций и управление рисками: учеб. пособие для вузов и системы повышения квалификации / под ред. А. Я. Корольченко. - М.: Пожнаука, 2004. - 327 с.

2. Баранов А. П., Зегжда П. Д., Корт и др. Теоретические основы информационной безопасности (дополнительные главы). - СПб., СПбГТУ, 1998.-174С.

3. Баранов В.В. Процессы принятия управляющих решений, мотивированных интересами. - М.: ФИЗМАТ ЛИТ, 2005. - 296 с.

4. Бартон Т.Л., Шенкир У.Г., Уокер П.Л. Риск-менеджмент: практика ведущих компаний. - М.: Вильяме, 2008 . - 207 с.

5. Бершадский А.В. Что могут дать технологии управления рисками современному бизнесу? //Управление и обработка информации: модели процессов: Сб. ст. /МФТИ. - М., 2001 .- 34-51.

6. Бешелев Д. Гурвич Д. Математическо-статистические методы экспертных оценок. М.: «Статистика», 1980. - 263 с.

7. Бешелев Д. Математико-статистические методы экспертных оценок.- М.: Статистика, 1990. - 287 с.

8. Буянов В.П., Кирсанов К.А., Михайлов Л.А. Рискология: Управление рисками - М.: Экзамен, 2002 .- 382 с.

9. Буянов В.П., Хачатрян СР., Пинегина М.В. Методы и модели решения экономических задач. - М,: Издательство «Экзамен», 2008. - 383 с.

10. Вентцель Е.С. Теория вероятностей: Учеб. для вузов, — 5-е изд. стер. — М.: Высш. школа, 1998. - 576 с , ил.

11. Вентцель Е.С, Овчаров Л.А. Теория вероятностей и ее инженерные приложения. Учеб. пособие для втузов. - 2-е изд., стер. - М.: Высш. шк., 2000. - 480 с: ил.

12. Вентцель Е.С, Овчаров Л.А. Теория вероятностей. - М.: Наука, 1969. - 368 с, ил.

13. Вентцель Е.С., Овчаров Л.А. Теория случайных процессов и ее инженерные приложения. — Учеб. пособие для втузов. — 2-е изд., стер. — М.: Высш. шк., 2000. - 383 с: ил.

14. Вишняков Я.Д., Радаев Н.Н. Обш,ая теория рисков: з^еб. пособие для студ. высш. учеб. заведений. — М.: Издательский центр «Академия», 2007. - 368 с.

15. Воронцовский А.В. Управление рисками: Учеб. пособие - СПб.: Изд-во -Петерб. ун-та, 2000 .- 206 с.

16. Гаценко О.Ю. Защита информации. Основы организационного управления. — СПб.: Сентябрь, 2001. - 228с.

17. Гехер К. Теория чувствительности и допусков электронных цепей - М.: Советское радио, 1973. - 200 с.

18. Глущенко В.В. Управление рисками: Страхование. - Железнодорожный: Крылья, 1999.- 334 с.

20. ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий».

21. ГОСТ Р ИСО/МЭК 17799-2005. «Информационная технология. Практические правила управления информационной безопасностью»

22. ГОСТ Р ИСО/МЭК 18045 «Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий».

23. ГОСТ Р ИСО/МЭК 27001-2005. «Информационные технологии. Методы защиты. Системы менеджмента защиты информации. Требования».

24. ГОСТ Р ИСО/МЭК т о 19791 «Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем».

25. Гостехкомиссия России. Руководящий документ. Автоматизированные системы, защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации, 1997.

26. Гражданкин А.И. Риск аварии и оценка нежелательных потерь // Безопасность жизнедеятельности. - Б.м. - 2002 . — N 1 1 . - 7-11.

27. Гранатуров В.М., Мартюченко О.Ю. Социальные модели рисков и их связь с изменениями в социальной структуре общества. - Саратов, 2004.-35 с.

29. Гранатуров Б.М. Экономический риск: сущность, методы измерения, пути снижения : Учеб. пособие. - 2-е изд., перераб. и доп. - М.: Дело и Сервис, 2002.-159 с.

30. Губко М.В. Отношения предпочтения и функция полезности. - М.: Институт системного анализа РАН, 1998. - 455 с.

31. Денисов Д.В. Актуарная математика. М. - 2000, 101с.

32. Долматов А.С. Математические методы риск-менеджмента: учебное пособие. - М . : Издательство «Экзамен», 2007. - 319 с,

33. Долматов А.С. Математические методы риск-менеджмента: учебное пособие для студентов, обучающихся по специальности "Финансы и кредит" - М.: Экзамен, 2007.-319 с.

34. Домарев В.В. Безопасность информационных технологий. Системный подход. - ТИД «ДС», 2004 - 212 с.

36. Жуковский В.И., Жуковская Л.В. Риск в многокритериальных и конфликтных системах при неопределенности. М.: Едиториал УРСС, 2004 . - 267с.

37. Захаров А., Медведев Н.В., Румянцев Н.В.. Нечеткие множества и лингвистические комбинации в анализе рисков: Учебное пособие. - М.: Изд-во Московского государственный технический университет им. Н.Э.Баумана, 2005г. - 75 с , ил.

38. Зражевский В.В. Основы направления совершенствования системы управления рисками // Банковское дело. — 2002. — №2. — 28-30.

39. Зубов И. В. Методы анализа динамики управляемых систем. - М.: ФИЗМАТЛИТ, 2003. - 224 с.

40. Измаилов А. Ф. Чувствительность в оптимизации. - М.: ФИЗМАТЛИТ, 2006. - 248 с.

41. Иода Е.В. Кузнецова В.Б. Управление рисками предприятия: теория и практика страхования рисков - Тамбов: Изд-во Тамб. гос. техн. ун-та, 2003.-132 с.

42. Ковалевич О.М. Риск в техногенной сфере / О. М. Ковалевич . - М.: Изд. дом МЭИ, 2006. - 151 с.

43. Корт С. Теоретические основы защиты информации: учебное пособие для студ. вузов, обуч. по группе специальностей в обл. информ. безопасности. - М.: Гелиос АРВ, 2004. - 233 с : ил.

44. Кричевский Н.А. Страхование как составная часть риск-менеджмента // Аудитор.-Б.м. - 2004 .-N8 .- 41-48.

45. Лисицына Е.В. Технология риск-менеджмента // Упр.риском .- Б.м. - 2004.-N1.-C.11-14.

46. Максимов В.И., Никонов О.И. Моделирование риска и рисковых ситуаций: Учебное пособие. Екатеринбург: ГОУ ВПО УГТУ-УПИ, 2004. - 82 с.

47. Малашихина Н.Н., Белокрылова О.С, Риск-менеджмент: учебное пособие для вузов - Ростов-н/Д: Феникс, 2004 . - 3 1 7 с.

48. Марков А., Цирлов В. Управление рисками - нормативный вакуум информационной безопасности. //Открытые системы — №8 - 2007.

49. Мельников А.В. Риск-менеджмент: Стохаст. анализ рисков в экономике финансов и страхования. - М.: Анкил, 2001 .-112с.

50. Мур, А. Руководство по безопасности бизнеса: Практ.пособие по управлению рисками: Пер.с англ. - М.: Филинъ, 1998. - 328 с.

51. Найт Фрэнк Хейнеман. Риск, неопределенность и прибыль / Акад. нар. хоз-ва при Правительстве Рос. Федерации; пер. с англ. М.Я. Каждана; науч. ред. пер. В.Г. Гребенников. - М.: Дело, 2003 . — 359 с. : ил.

52. Никонов В.О. Системное управление рисками информационной безопасности в Банке24.ру на основе международного стандарта ISO 27001:2005 // Бизнес и безопасность в России- № 52. - 2009. - 48-55.

53. Ожегов СИ. Словарь русского языка. — М.: Советская энциклопедия, 1970.-900 с.

54. Оранжевая книга. Критерии оценки надежных компьютерных систем Министерства обороны. Department Of Defense Trusted Computer System Evaluation Criteria, (DoD 5200.28-std).

55. Остапенко Г.А. Оценка рисков и защищенности атакуемых кибернетических систем на основе дискретных распределений случайных величин. //Информация и безопасность: Регион, науч.-техн. журнал. - Воронеж. 2005. Вып. 2. - С, 70 - 75.

56. Остапенко О.А. Методология оценки риска и защищенности систем. //Информация и безопасность: Регион, науч.-техн. журнал. - Воронеж. 2005.Вьш. 2 .-С. 2 8 - 3 2

57. Остапенко О.А., Карпеев Д.О., Асеев В,П., Морев Д.Е., Щербаков В.Б. Риски систем: оценка и управление / под. ред. Ю. П. Лаврухина, А. Г. Остапенко. - Воронеж: Междунар. ин-т компьют. технологий, 2007. -261с.

58. Петренко А.А., Петренко А. Оцени свой риск // IT Manager. - № 6. — 2002. - 42-48.

59. Петренко А. Управление информационными рисками. Экономически оправданная безопасность. - М.: Компания АйТи; ДМК Пресс, 2004. — 384 с : ил.

60. Петренко А. Современная концепция безопасности корпоративных компьютерных систем // Конфидент. Защита информации. — № 6. — 2000.-С. 79-83.

61. Петренко А. Управление информационными рисками компании // Экспресс-электроника. - № 2-3. - 2002. - 106-113.

62. Пикфорд, Д. Управление рисками / Пер.с англ.О.Н.Матвеевой .- М.: Вершина, 2004. - 352с

63. Построение экспертных систем / Под ред. Ф. Хейеса-Рота. - М.: Мир, 1987.-370 с.

64. Просветов Г.И. Управление рисками. Задачи и решения. - Учебно- практическое пособие. - М.: Издательство «Альфа-Пресс», 2008. - 416 с.

65. Райзберг Б.А. Предпринимательство и риск. - М.: Знание, 1992. .-61 с.

67. Розенвассер Е.Н., Юсупов P.M. Чувствительность систем управления - М.: Наука, Главная редакция физико-математической литературы. 1981.-464 с.

68. Роик В.Д. Профессиональный риск: оценка и управление. — М.: Анкил, 2004 . - 222 с.

69. Рыхтикова Н.А. Анализ и управление рисками организации: учебное пособие для студентов, обучающихся по специальностям "Финансы и кредит", "Бух. учет, анализ и аудит". - М.: ФОРУМ : ИНФРА-М, 2007. - 239 с.

71. Симонов СВ. Анализ рисков, управление рисками //Jet Info.- № l . - 1999.-C.З-28.

73. Симонов С В . Методология анализа рисков в информационных системах // Конфидент. Защита информации. - № 1. - 2001. - 72-76.

74. Симонов СВ. Технологии аудита информационной безопасности // Конфидент. Защита информации. - № 2. - 2002. - 36-41,

75. Симонов СВ. Технологии и инструментарий для управления рисками //Jet Info. - № 2. - 2003. - 3-32.

76. Советский энциклопедический словарь. Гл. ред. A.M. Прохоров. Изд. 4- е. М., Советская энциклопедия, 1987. 1599 с.

77. Соловьев В.И. Математические методы управления рисками: Учебное пособие / ГУУ. - М., 2003 - 100 с.

78. Станиславчик Е.Н. Риск-менеджмент на предприятии: Теория и практика. - М . : Ось-89, 2002 .- 80 с.

79. Ступаков B.C., Токаренко Г.С. Риск-менеджмент: учебное пособие для студ. вузов. М.: Финансы и статистика, 2005 . — 281 с.

80. Управление риском. Риск, устойчивое развитие, синергетика. - М.; Наука, 2000. - 432 с.

81. Уткин Э.А. Риск - менеджмент: Учебник. / Ассоц. авт. и изд. "ТАНДЕМ" - М.: Б.и., 1998 . - 287 с.

82. Уткин Э.А., Фролов Д.А. Управление рисками предприятия : Учебно- практическое пособие.— М.: ТЕЗИС, 2003 .— 247 с.

83. Федотов Н. В., Алешин В. А. Оценка и нейтрализация рисков в информационных системах: Методическое пособие по курсу «Основы информационной безопасности»/ Под ред. Н.В. Медведева. - М.: Изд-во МГТУ им. Н.Э.Баумана, 2004, - 52 с , ил.

84. Филина Ф. Риск-менеджмент как способ снизить издержки предприятия // Финансовый менеджер. - Б.м. - 2007 . - N 7 .- 5-9.

86. Хохлов, Н.В. Управление риском: Учеб. пособие для вузов. - М.: ЮНИТИ, 2003.-239с

87. Цымбал С В . Управление рисками и конфликтами в процессе реализации проекта // Упр.риском.— Б.м. - 2003. — N2. - 13-16 .

88. Чернова Г. В., Кудрявцев А. А. Управление рисками: учеб. пособие. — М.: ТК Велби, Изд-во Проспект, 2005. - 160 с.

89. Чернова Г.В. Практика управления рисками на уровне предприятия: Учеб. пособие - СПб. и др. : Питер, 2000 .- 172 с.

90. Четыркин Е.М. Финансовые риски: науч.-практич. пособие. — М.: Издательство «Дело» АНХ, 2008. - 176 с.

91. Чупров СВ. Риск и управление устойчивостью промышленного предприятия // Упр.риском .- Б.м. - 2004. - N2 .- 20-24.

92. Шапкин А.С. Шапкин В.А, Теория риска и моделирование рисковых ситуаций: Учебник. - М.: Издательско-торговая корпорация «Дашков и Ко», 2005.-880 с.

93. Шимко П. Д. Оптимальное управление экономическими системами: Учеб. пособие. - СПб.: Издательский дом «Бизнес-пресса», 2004. - 240 с.

94. Шинкаренко И.Э. Риск-менеджмент-философия управления рисками корпорации // Упр.риском .— Б.м. — 2004. — N2. — 56-60.

95. Ярочкин В.Н. Безопасность информационных систем. - М.: Ось-89, 1996.-320с.

96. Information security management systems — Part 3: Guidelines for information security risk management. British Standard BS 7799-3:2006.

97. Information technology - Code of practice for Information security management. International Standard ISO/IEC 17799:2000(E).

98. Information technology - Security techniques — Code of practice for information security management. International Standard ISO/IEC 17799:2005.

99. Information teclinology — Security techniques - Information security anagement systems — Requirements. International Standard 180ЯЕС 27001:2005.

100. Information technology - Security techniques - Information security risk management. International Standard ISO/IEC 27005:2008.

101. Neil A. Doherty Integrated Risk Management. Techniques and Strategies for Managing Corporate Risk.

102. Risk Management Guide for Information Technology Systems. National Institute of Standards and Technology Special Publication 800-30, 54 pages (July 2002).

103. The SOMAP.org Open Information Security Risk Management Handbook Version 1.0, September 2006.

104. Карпеев Д.О., Г.А. Остапенко, В.И. Белоножкин. Стратегии управления рисками в социотехнических информационных системах. // Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2006. - Вып. 2 -С.133-134.

105. Кулаков В.Г., Карпеев Д.О, Остапенко А.Г. Риск-анализ информационных систем. // Журнал «Информация и безопасность». -Воронеж: ВГТУ, 2008. -Вып. 1 - 7-30.

106. Карпеев Д.О. Анализ динамики рисков информационных систем. // Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2008. - Вып. 2 - 284-287.

107. Карпеев Д.О., Остапенко О.А. Применение кластерного анализа в мониторинге рисков систем. // Журнал «Информация и безопасность». -Воронеж: ВГТУ, 2008. -Вып. 3 - 395-398. НАУЧНЫЕ ТРУДЫ И МАТЕРИАЛЫ КОНФЕРЕНЦИЙ

108. Карпеев Д.О., Остапенко О.А. Управление информационными рисками социотехнических информационных систем. // Материалы пятой региональной конференции «ЮниорИнфоСофети». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2006. — Вып. 1 — 139.

109. Карпеев Д.О. Распределенный риск-анализ систем // Материалы региональной научно-практической конференции «Информационные аспекты безопасности систем». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2007. - Вып. 2 - 357.

110. Карпеев Д.О. Классификация рисков информационных систем. // Материалы региональной научно-практической конференции «Методы, системы и процессы обеспечения безопасности». Журнал «Информация и безопасность». - Воронеж: ВГТУ, 2008. - Вып. 2 -С.ЗЮ.