3.3.6.5. Многомерные функции полезности

В большинстве задач принятия решений, в том числе в задачах анализа рисков, исходы оцениваются не одним, а многими критериями. В условиях вероятностной неопределенности сравнение вариантов многокритериальных решений сводится к сопоставлению по предпочтительности соответствующих распределений вероятностей на множестве векторных оценок (значений векторного критерия). Разумеется, и на такие задачи полностью распространяются основные положения теории полезности, касающиеся, в частности, существования функции полезности. Однако при этом функция полезности оказывается многомерной, то есть имеющей векторный аргумент.

С формальной точки зрения к многокритериальным задачам тоже приложи- мы методы построения (одномерной) функции полезности, описанные выше (если рассматривать векторную оценку как нечто неделимое). Однако непосредственное использование таких методов обычно невозможно в силу того, что лицо, принимающее решение, не в состоянии сравнивать лотереи с многомерными (многокритериальными) исходами. Основным путем построения многомерной функции полезности является декомпозиция многомерной структуры предпочтений на ряд подструктур меньшей размерности (в частности, одномерных) и, соответственно, представление многомерной функции полезности в виде составной (сложной) функции - «свертки» малоразмерных функций полезности. Структура такой сложной функции зависит от взаимосвязей подструктур структуры предпочтений. При такого рода декомпозиции построение многомерной функции полезности сводится к построению соответствующих маломерных (проще всего, конечно, одномерных) условных функций полезности, а также оцениванию ряда числовых параметров, определяемых конструкцией составной функции свертки.

Декомпозиция многомерной структуры предпочтений ЛПР на множестве вероятностных распределений случайной векторной оценки осуществляется за счет использования специфических особенностей этой структуры. Обычно эти особенности связаны с какими-либо видами независимости одних (групп) критериев от других. Поскольку условия независимости не всегда выполняются в полном объеме, указанный подход стали обобщать за счет «расщепления» шкал (точнее, носителей шкал) критериев и соответствующего разложения структуры предпочтений на подструктуры, для каждой из которых справедливы определенные виды независимости. С другой стороны, в последнее время развивается несколько иной подход к построению многомерной функции полезности, связанный с изучением одних (групп) критериев от других и соответствующих им форм составных функций свертки. Однако этот подход еще не доведен до требуемого практикой уровня развития. Существуют и принципиально иные подходы к моделированию многомерных полезностей. Они включают целенаправленную перестройку самой исходной математической модели ситуации на основе содержательного анализа конкретной проблемы принятия решений. Примером служит подход, предполагающий расщепление исходных критериев, - представление их через некоторые дополнительно вводимые, так чтобы преобразованная структура предпочтений обладала некими свойствами независимости.

Рассмотрим основные результаты декомпозиции структуры предпочтений и методы получения информации о предпочтениях, необходимой для построения соответствующих многомерных функций полезности.

Функция полезности выражает предпочтения ЛПР на множестве случайных исходов и поэтому должна строиться на основе информации о таких предпочтениях. При этом конкретный вид информации определяется допущениями, выдвигаемыми относительно особенностей структуры предпочтений (то есть конкретными видами независимости для различных факторов), и соответствующим функциональным представлением полезности [136].

Должны реализовываться такие варианты, при которых значительное снижение риска может быть достигнуто при относительно небольших затратах. Дополнительные варианты повышения эффективности могут быть неэкономичными, и необходимо принимать решение о целесообразности их применения.

Неблагоприятные последствия рисков необходимо снижать до разумных пределов независимо от каких-либо абсолютных критериев. Редкие, но серьезные риски должны рассматриваться руководством. В таких случаях может возникнуть необходимость реализации мер и средств контроля и управления, которые являются необоснованными по причинам затратности (например, меры и средства контроля и управления непрерывности, для охвата высоких специфических рисков).

Четыре варианта обработки риска не являются взаимоисключающими. В отдельных случаях система может получить значительную выгоду от объединения вариантов, таких, как снижение вероятности риска, уменьшение последствий и перенос или сохранение любого остаточного риска.

Рис. 4.1. Деятельность по обработке риска

Некоторые варианты обработки риска могут быть эффективными для более чем одного риска (например, обучение и осведомленность в части ИБ). План обработки риска должен четко определять порядок приоритетов, при соблюдении которого должна реализовываться обработка отдельного риска. Порядок приоритетов может устанавливаться с использованием различных методов, включая ранжирование рисков и анализ «затраты-выгоды». В обязанности руководства входит принятие решения о балансе между затратами на реализацию мер и средств контроля и управления.

При определении существующих мер и средств контроля и управления может быть установлено, что существующие меры и средства контроля и управления превышают текущую потребность в показателях сравнения затрат, включая поддержку. В случае удаления избыточных или ненужных мер и средств контроля и управления (особенно, если расходы на их поддержку велики) должны учитываться факторы ИБ и стоимости. Поскольку меры и средства контроля и управления оказывают влияние друг на друга, удаление избыточных мер и средств контроля и управления может в итоге снизить эффективность использования всех оставшихся мер и средств обеспечения безопасности. Кроме того, может быть менее затратным оставить избыточные или ненужные средства контроля, чем удалить их.

Для разных вариантов обработки риска должно учитываться:

- как риск осознается затрагиваемыми сторонами;

- наиболее подходящие способы обмена информацией с этими сторонами.

Установление контекста (см. «Основные критерии») предоставляет информацию о законодательных и нормативных требованиях, которым необходимо выполнять в системе. Отказ от следования указанным требованиям является риском для системы, поэтому должны быть рассмотрены варианты решений, ограничивающие эту возможность. Все ограничения - организационные, технические, структурные и др., которые определяются в течение деятельности, связанной с установлением контекста, следует учитывать в течение обработки риска.

После уточнения плана обработки риска необходимо определить остаточные риски. Это включает обновление или повторную операцию оценки риска с учетом ожидаемого эффекта от предполагаемой обработки риска. Если остаточные риски по0-прежнему не будут удовлетворять критериям принятия риска в системе, может возникнуть необходимость в дополнительной итерации обработки риска, прежде чем перейти к принятию риска [138].

4.2. Снижение риска

Уровень риска должен быть снижен путем выбора меры и средства контроля и управления так, чтобы остаточный риск мог быть повторно оценен как допустимый.

Для выполнения данной задачи должны быть выбраны соответствующие и обоснованные меры и средства контроля и управления, чтобы удовлетворять требованиям, определенным путем оценки и обработки рисков. Такой выбор должен учитывать критерии принятия рисков, а также законодательные, нормативные и договорные требования. При выборе должны также учитываться стоимость и время реализации мер и средств контроля и управления или технические аспекты, аспекты среды и культурные аспекты. С помощью соответствующим образом выбранных мер и средств контроля безопасности зачастую можно снизить общие расходы для защиты системы.

В целом меры и средства контроля и управления могут обеспечивать один или несколько из перечисленных видов защиты: исправление, исключение, предупреждение, уменьшение влияния, сдерживание, обнаружение, восстановление, мониторинг и информированность. Во время выбора мер и средств контроля и управления важно установить баланс между стоимостью приобретения, реализации, администрирования, функционирования, мониторинга и поддержки мер и средств контроля и управления и ценностью защищаемых элементов. Кроме того, необходимо учитывать затраты с точки зрения снижения риска, и потенциал для использования новых возможностей системы, предоставляемых определенными мерами и средствами контроля и управления. Дополнительно следует обратить внимание на специализированные навыки, которые могут потребоваться для определения и реализации новых мер и средств контроля и управления или модификации существующих.

Существует много ограничений, которые могут влиять на выбор мер и средств контроля и управления. Технические ограничения, такие, как требования к функционированию, проблемы управляемости (требования операционной поддержки) и совместимости, могут препятствовать использованию определенных мер и средств контроля и управления или могут вводить ошибку оператора, либо аннулирующую эти меры и средства контроля и управления, внушая ложное чувство безопасности, либо даже увеличивающую риск, как если бы не имелось никаких мер и средств контроля и управления (например, требование использования сложных паролей без соответствующего обучения, которое может приводить к записи паролей пользователями). Более того, может возникнуть ситуация, когда меры и средства контроля и управления будут влиять на производительность. Руководство должно стремиться принять такое решение, которое будет удовлетворять требованиям производительности, гарантируя в то же время достаточную ИБ. Результатом этого первого шага является перечень возможных мер и средств контроля и управления с указанием их стоимости, эффективности и приоритета реализации.

При формировании рекомендаций и в процессе реализации должны учитываться различные ограничения. Типичными ограничениями являются:

- временные ограничения;

- финансовые ограничения;

- технические ограничения;

- операционные ограничения;

- культурные ограничения;

- этические ограничения;

- ограничения, связанные с окружающей средой;

- юридические ограничения;

- ограничения, связанные с простотой использования;

- кадровые ограничения;

- ограничения, касающиеся интеграции новых и существующих мер и средств контроля и управления [306].

4.3. Сохранение риска

Решение сохранить риск, не предпринимая дальнейшего действия, следует принимать в зависимости от оценки риска.

Если уровень риска соответствует критериям принятия риска, то нет необходимости реализовывать дополнительные меры и средства контроля и управления, и риск может быть сохранен.

4.4. Предотвращение риска

Отказ от деятельности или условия, вызывающего конкретный риск.

Если идентифицированные риски считаются слишком высокими или расходы на реализацию других вариантов обработки риска превышают выгоду, может быть принято решение о полном предотвращении риска путем отказа от планируемой или существующей деятельности, или их совокупности, или изменения условий, при которых осуществляется деятельность. Например, в отношении рисков, вызываемых природными факторами, наиболее экономически выгодной альтернативой может быть физическое перемещение средств обработки информации туда, где этого риска не существует или он контролируется.

4.5. Перенос риска

Риск должен быть перенесен на сторону, которая может наиболее эффективно осуществлять управление конкретного риска, в зависимости от оценки риска.

Перенос риска включает в себя решение разделить определенные риски с внешними сторонами. Перенос риска может создавать новые риски или модифицировать существующие идентифицированные риски. Поэтому может быть необходима дополнительная обработка риска.

Перенос может быть осуществлен путем страхования, которое будет поддерживать последствия, или путем заключения договора субподряда с партнером, чья роль будет заключаться в проведении мониторинга информационной системы и осуществлении незамедлительных действий по прекращению атаки, прежде чем она приведет к определенному уровню ущерба [140].

4.6. Принятие риска информационной безопасности

Входными данными является наличие плана обработки риска и оценки остаточного риска, что в свою очередь является необходимым условием решения о принятии риска.

При принятии риска должно быть принято решение о принятии рисков и установлена ответственность за это решение, что должно быть официально зарегистрировано.

В планах обработки рисков должен быть описан способ оценки рисков, которые следует обрабатывать, для того чтобы соответствовать критериям принятия рисков (см. «Основные критерии»). Важно, чтобы ответственные за принятие рисков проверяли и поддерживали предлагаемые планы обработки рисков и вытекающие из них остаточные риски, а также регистрировали все условия, связанные с такой поддержкой.

Критерии принятия риска могут быть более многогранными, чем только определение того, находится ли остаточный риск выше или ниже единого порогового значения.

В некоторых случаях уровень остаточного риска может не соответствовать критериям принятия риска, поскольку применяемые критерии не учитывают превалирующих обстоятельств. Например, может быть доказано, что необходимо принимать риски по причине привлекательности выгод или по причине значительных расходов, связанных со снижением риска. Такие обстоятельства показывают, что критерии принятия риска неадекватны и должны быть по возможности пересмотрены. Однако не всегда бывает возможным пересмотреть критерии принятия риска своевременно. В таких случаях ответственные за принимаемые решения могут быть обязаны принять риски, которые не соответствуют стандартным критериям принятия рисков. Если это необходимо, ответственный за принимаемые решения, должен дать комментарий, касающийся рисков, с обоснованием решения, выходящего за рамки стандартного критерия принятия рисков.

Результатом принятия рисков будет перечень принятых рисков с обоснованием рисков, не соответствующих стандартным критериям принятия риска системы [68].

Глава 5. Коммуникация риска информационной безопасности

Входными данными является вся информация о рисках, полученная в результате деятельности по управлению рисками (см. рис. 1.1).

Должен осуществляться обмен информацией о риске или ее совместное использование лицом, принимающим решение, и другими причастными сторонами.

Коммуникация риска представляет собой деятельность, связанную с достижением соглашения о том, как осуществлять управление рисками путем обмена и/или совместного использования информации о риске лицами, принимающими решения, и другими причастными сторонами. Информация включает в себя наличие, характер, форму, вероятность, серьезность, обработку и приемлемость рисков, но этими факторами не ограничивается [29].

Эффективная коммуникация между причастными сторонами имеет большое значение, поскольку она может оказывать существенное влияние на решения, которые должны быть приняты. С помощью коммуникации лица, отвечающие за осуществление управления рисками, и лица, относящиеся к заинтересованным кругам, достигают понимания основы, на которой принимаются решения, и причины необходимости выполнения определенных действий. Коммуникация является двунаправленным процессом.

Осознание риска может быть разным из-за различий в предположениях, понятиях, потребностях, проблемах и беспокойствах причастных сторон, связанных с риском или обсуждаемыми проблемами. Причастные стороны, как правило, выносят суждения о приемлемости риска на основе своего осознания риска. Поэтому очень важно обеспечить, чтобы осознание риска причастными сторонами, а также осознание ими выгод могло быть определено и документировано, а лежащие в основе причины были четко поняты и учтены.

Коммуникация риска должна осуществляться с целью достижения следующего:

- обеспечения доверия к результатам управления рисками организации;

- сбора информации о риске;

- совместного использования результатов оценки риска и представления плана обработки риска;

- предотвращения или снижения возможности возникновения и последствий нарушений ИБ из-за отсутствия взаимопонимания между принимающими решения лицами и причастными сторонами;

- поддержки принятия решений;

- получения новых знаний об ИБ;

- координации с другими сторонами и планирования реагирования с целью уменьшения последствий какого-либо инцидента;

- повышения осведомленности.

Для системы должны быть разработаны планы коммуникации риска, как для повседневной работы, так и для чрезвычайных ситуаций. Следовательно, деятельность, связанная с коммуникацией риска, должна выполняться непрерывно [21].

Глава 6. Мониторинг и переоценка риска информационной безопасности

6.1. Мониторинг и переоценка факторов риска

Входными данными является вся информация о рисках, полученная в результате деятельности по управлению рисками (см. рисунок 1).

При этом должны подвергаться управлению и переоценке риски и их факторы (т. е. ценность элементов, влияние, угрозы, уязвимости, вероятность возникновения) с целью определения любых изменений в контексте системы на ранней стадии, и должно поддерживаться общее представление о всей картине риска.

Риски не являются статичными. Угрозы, уязвимости, вероятность или последствия могут изменяться неожиданно, без каких-либо признаков изменений. Поэтому для выявления изменений необходимо непрерывное управление. Оно может поддерживаться внешними сервисами, которые предоставляют информацию о новых угрозах или уязвимостях.

Для систем должно обеспечиваться проведение непрерывного управление следующих факторов:

- новых элементов, которые были включены в область действия управления рисками;

- необходимой модификации ценности элементов, например, вследствие изменившихся требований;

- новых угроз, которые могут действовать вне и внутри системы и которые еще не были оценены;