Материал: Формализация управления рисками при деструктивных воздействиях на информационно-технологическую инфраструктуру критически важных объектов. Ермилов Е.В., Калашников А.О
∑( ) = |
( ) |
или при подстановке
(ср) |
= |
|
2 |
+1 |
|
× |
|
|
|
∑ |
|
|
доп |
+3 |
|
|
|
||
|
|
|
|
|
|
. |
|||
|
|
|
|
|
|
|
|
||
×∏
При атаках на компоненты системы оценку общего риска системы можно осуществить с помощью выражения
= |
Risk∑(АА) = |
= |
( ) = |
|
|
|||||
( ) |
( ) |
|
|
|
|
|
||||
= |
|
|
−1 |
( |
) = |
|
|
|||
|
доп |
|||||||||
= |
|
|
−1 |
1 |
|
|
|
|
|
, |
|
|
|
|
|
|
|||||
|
|
|
|
|||||||
|
доп |
|||||||||
где: ( ) - оценка риска, осуществленная независимо для i–ой переменной состояния;
61
x – значение i-ой переменной состояния атакуемого объекта.
Рассмотрим случай для двух переменных состояния. В этом случае для каждой из них имеем:
( ) = |
|
|
− 1 |
|
|
|
|
|
, |
|
||||
доп |
|
1 |
||||||||||||
( ) = |
|
|
− 1 |
|
|
|
|
|
. |
|||||
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
||||||||||
|
доп |
|||||||||||||
Максимумы рисков отдельных компонент системы являются значениями функции риска для моды:
R |
= |
|
ln |
доп −доп |
− 1 |
+ |
× |
||||
|
× |
|
ln |
доп |
доп |
+ |
|
− 1 |
× |
||
|
1 |
|
|
доп |
|
|
|||||
|
× |
|
доп |
доп |
|
|
доп доп |
, |
|||
|
|
|
|
|
|
|
|
||||
62
R |
= |
|
ln |
доп −доп |
−1 |
+ |
× |
||
|
× |
|
|
ln |
доп |
доп |
+ |
− 1 |
× |
|
1 |
|
|
|
доп |
|
|||
|
× |
|
доп |
доп |
|
доп доп |
. |
||
|
|
|
|
|
|
||||
Тогда интегральный риск определяется следующим образом:
Risk∑ (x) =
−1 |
|
|
|
++ |
|
|
|
. |
|
|
доп
Экстремумы суммарного риска в общем случае не совпадают с указанными максимумами отдельных переменных состояния. Для их определения необходимо решить следующее уравнение:
|
Risk′∑ |
( ) = 0, |
|
|
|
|
|
|
|
||||||
Risk′∑ (x) = |
|
|
− 1 |
1 |
|
|
|
|
|
|
|
+ |
|||
|
|
|
|
|
|
|
|||||||||
|
|
|
|
|
|
||||||||||
|
доп |
||||||||||||||
+ |
|
−1 |
|
1 |
|
|
|
|
|
|
= |
|
|||
|
|
|
|
|
|
|
|
||||||||
|
|
|
|
|
|
|
|||||||||
доп |
|
|
|
|
|||||||||||
63
= ( |
|
|
−1) |
|
|
|
|
|
|
|
|
|
|
|
|
+ |
|
|
|
|
|
|
|
+ |
|||||||||||||||||||||||||||||||||||||||
доп |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||
+ |
|
|
|
|
|
|
−1 |
|
− |
|
|
|
|
|
|
− |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
+ |
|||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||
|
|
доп |
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
+ − |
|
|
− |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
= |
|
|
|
|
|||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||
= |
|
|
|
|
|
|
−1 |
( |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
+ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
+ |
||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||
|
доп |
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||
|
|
+ |
|
|
|
|
|
|
−1 |
|
|
−1 − |
|
|
|
|
|
1 |
|
|
|
|
|
|
|
|
|
|
|
|
|
+ |
|
||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
|
доп |
|
|
1 |
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||||
+( |
|
|
− 1) |
−1− |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
) = 0 |
|
||||||||||||||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||||||||||||||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||
|
доп |
|
|
|
|
|
|
|
|
|
|
||||||||||||||||||||||||||||||||||||||||||||||||||||
или
|
|
1 |
|
|
|
|
− − |
|
|
+ |
+ |
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|||||||
+ |
1 |
|
|
|
|
− − |
|
|
+ |
+ |
||
|
|
|
|
|||||||||
|
|
|
|
|
|
|||||||
доп
доп
+
= 0.
Прологарифмировав и проведя эквивалентные преобразования, можно получить уравнение, имеющее аналитическое решение в радикалах.
64
3. УПРАВЛЕНИЕ РИСКАМИ АТАКУЕМОЙ ИНФОРМАЦИОННО-ТЕХНОЛОГИЧЕСКОЙ ИНФРАСТРУКТУРЫ КРИТИЧЕСКИ ВАЖНЫХ ОБЪЕКТОВ
3.1. Инструментарий риск-анализа и теория экстремальных значений в контексте обеспечения безопасности критически важных объектов
В соответствии с ГОСТ Р 53114-2008. Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения [66]:
Риск – влияние неопределенностей на процесс достижения поставленных целей. Примечания: 1) цели могут иметь различные аспекты: финансовые, связанные со здоровьем, безопасностью и внешней средой и могут устанавливаться на разных уровнях: на стратегическом уровне, в масштабах организации, на уровне проекта, продукта и процесса; 2) риск часто характеризуется ссылкой на потенциальные события, последствия или их комбинацию, а так же на то, как они могут влиять на достижение целей; 3) риск часто выражается в терминах комбинации последствий события или изменения обстоятельств и их вероятности (ст. 3.2.9).
Управление рисками – координированные действия по направлению и контролю над деятельностью организации в связи с рисками (ст. 3.2.16)
Мониторинг риска является важным инструментальным средством для определения наилучшего размещения ресурсов и усилий при анализе уязвимостей и вероятности их использования. Фактически это процесс, посредством которого выявляются и документируются конкретные сочетания угроз,
65