ФГБОУ ВПО «Воронежский государственный технический университет»

А.Г. Остапенко М.В. Бурса

МАТЕМАТИЧЕСКИЕ ОСНОВЫ РИСК-АНАЛИЗА

Утверждено Редакционно-издательским советом

университета в качестве учебного пособия

Воронеж 2013

УДК 681.3

Остапенко А.Г. Математические основы риск-анализа: учеб. пособие / А.Г. Остапенко, М.В. Бурса. Воронеж: ФГБОУ ВПО «Воронежский государственный технический университет», 2013. 137 с.

В пособии рассматриваются концепции по оценке и управлению рисками, методы анализа рисков на основе экспертных оценок и аппарата теории нечетких множеств, меры риска систем на основе вероятностных параметров и характеристик риска, динамическое моделирование рисков, а также оценка рисков сложных систем на основе параметров рисков их компонентов, которые позволят всесторонне оценить защищаемую систему, на предмет ее защиты от атак различного вида.

Издание соответствует требованиям Федерального государственного образовательного стандарта высшего профессионального образования по специальностям 090301 «Компьютерная безопасность», 090302 «Информационная безопасность телекоммуникационных систем», 090303 «Информационная безопасность автоматизированных систем», дисциплине «Математические основы управления рисками».

Учебное пособие подготовлено в электронном виде в текстовом редакторе MW-2007 и содержится в файле МОРА.docx.

Табл. 15. Ил. 13. Библиогр.: 73 назв.

Рецензенты: ОАО «Концерн «Созвездие»

(канд. техн. наук, ст. науч. сотрудник О.В. Поздышева);

канд. техн. наук, доц. Д.О. Карпеев

©Остапенко А.Г., Бурса М.В., 2013

© Оформление. ФГБОУ ВПО «Воронежский государственный технический университет», 2013

Введение

В последние годы заметно интенсифицировались работы по оценке и управлению рисками в области обеспечения безопасности информационных технологий и компьютерных систем. Проблемы обеспечения безопасности входят в число ключевых и наиболее сложных проблем при создании любых информационных технологий, сетей и систем. При этом четко просматривается тенденция к увеличению роли и сложности этих проблем безопасности в жизненном цикле современных систем по мере развития информационных технологий. В связи с этим специалисты все больше осознают необходимость анализа и управления потенциальными рисками безопасности в системах [65].

В различных приложениях используются различные интерпретации понятия риска. Так, например, в статистике «риск – вероятность события, которое может вызвать отклонение от ожидаемых тенденций». При выполнении коммерческих операций «риск – возможность ущерба от события, которое изменяет исходную ситуацию». А в общепринятом употреблении «риск – возможное опасное событие». Таким образом, риск – возможное опасное событие, ущерб – последствия от происшедшего опасного (негативного) события. Понятия «риск» и «ущерб» имеют смысл только в отношении какого-то конкретного объекта или субъекта [45].

Оценка рисков является элементом сложного анализа, который проводится для определения правильных и своевременных мероприятий по повышению защиты, а также выбора средств, способных обеспечить оптимальный уровень безопасности объекта. Такой анализ называется риск-анализом, он позволяет наиболее эффективно управлять безопасностью и вырабатывать рекомендации по ее защите [40].

Риск-анализ представляет собой процесс комплексной оценки защищенности информационной системы с переходом к количественным или качественным показателям рисков, при этом риск обусловлен вероятным ущербом, который в свою очередь зависит от защищенности системы. Высшей целью риск-анализа является нахождение аналитического выражения риска для данной системы. При этом считается что, система в каждый момент времени находится в состоянии вероятностной неопределенности, так как невозможно предсказать следующее событие точно, но можно попытаться рассчитать вероятность каждого из возможных событий.

Однако в большинстве случаев множество возможных событий можно считать конечным, тогда риск можно представить как вероятностное распределение на конечном пространстве элементарных событий. При этом под элементарным исходом понимается факт достижения ущербом системы определенного значения за некоторый интервал времени или после реализации некоторых угроз.

Под ущербом понимается физическое повреждение или нанесение вреда здоровью людей, либо нанесение вреда имуществу или окружающей среде системы. Ущерб от реализации угрозы безопасности информации определяется содержанием деструктивного воздействия, осуществляемого в ходе реализации угрозы относительно защищаемой информационно-телекоммуникационной системы [60].

Риск-анализ является неотъемлемой составляющей процесса управления рисками систем, в том числе и информационными. Это объясняется тем, что анализ риска позволяет более эффективно управлять безопасностью, а также своевременно определять, что именно подлежит защите в системе, воздействию каких угроз она подвержена, и выработать рекомендации по практике защиты. В процессе качественного анализа может быть выведена обширная группа, или несколько групп рисков, при этом вероятность каждого типа риска различна, также как и объёмы ущербов, которые они могут вызвать. Качественная оценка вероятности наступления отдельных рисков и ущербов позволяет выделить наиболее вероятные по возникновению и весомые по величине потерь риски, которые будут являться объектами дальнейшего анализа для принятия мер по их пресечению

Риск-анализ — процесс комплексной оценки защищенности информационной системы с переходом к количественным или качественным показателям рисков. При этом риск — это вероятность возникновения ущерба определенной величины, т.е вероятный ущерб, который зависит от защищенности системы.

Анализ рисков предоставляет необходимую информацию системе управления рисками, в которой определяются контрмеры в зависимости от существующих угроз. Целью анализа является оценка величин отдельных рисков, определение наиболее значимых из них и формулировка приоритетов в реализации системы защиты.

С количественной точки зрения уровень риска является функцией вероятности реализации определенной угрозы (использующей некоторые уязвимые места), а также величины возможного ущерба [27].

При анализе рисков в отношении системы зачастую оперируют также следующими понятиями:

– угроза — совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности информации.

– уязвимость — слабость в системе защиты, которая делает возможным реализацию угрозы.

– цена потери — это качественная или количественная оценка степени серьезности происшествия.

В общем случае процесс оценки риска информационной системы включает в себя [46]:

– определение уязвимостей системы;

– определение списка угроз, актуальных для исследуемой информационной системы;

– оценку вероятности угроз;

– оценку вероятного ущерба в результате осуществления заданных угроз.

Риски можно оценивать по объективным либо субъективным критериям.

Под объективной вероятностью понимается относительная частота появления какого-либо события в общем объеме наблюдений. Объективная вероятность возникает при анализе результатов большого числа наблюдений, имевших место в прошлом, а также как следствия из моделей, описывающих некоторые процессы.

Под субъективной вероятностью понимается мера уверенности некоторого человека или группы людей в том, что рассматриваемое событие в действительности будет иметь место. Как мера уверенности человека субъективная вероятность может быть формально представлена вероятностным распределением на множестве событий, бинарным отношением на множестве событий и другими способами. Наиболее часто субъективная вероятность представляет собой вероятностную меру, полученную экспертным путем.

В данном пособии рассматриваются отечественные и международные стандарты и концепции по оценке и управлению рисками, методы анализа рисков на основе экспертных оценок и аппарата теории нечетких множеств, меры риска систем на основе вероятностных параметров и характеристик риска, динамическое моделирование рисков, а также оценка рисков сложных систем на основе параметров рисков их компонентов, которые позволят всесторонне оценить защищаемую систему, на предмет защиты ее, от атак различного вида.