Обеспечение информационной безопасности бизнеса
Шрифт:
Для проведения оценки функционирования процессов каждый процесс должен быть представлен совокупностью атрибутов, требуемых для функционирования процессов в соответствии с их назначением:
В общем случае каждый вид атрибута описывается набором атрибутов, т. е
Для описания соответствия реальных атрибутов процесса требуемым атрибутам YTP
Для совокупности атрибутов функция соответствия (Y (u), YTP) показывает степень достижения требуемых атрибутов. Совокупность атрибутов Y может быть случайной переменной Y (и) (числовой или нечисловой), зависящей от стратегии и U. Стратегиями U могут быть следующие действия в отношении процессов обеспечения ИБ: применение базовой оценки рисков ИБ, использование определенного поставщика для реализации СОИБ, применение аутсорсинга для реализации некоторых процессов. Функция соответствия (Y (u), YTP) в этом случае также может быть случайной величиной. Тогда показатель функционирования определяется математическим ожиданием функции соответствия:
Если Y (u), и YTP — неслучайные переменные, то W (и) = (Y (u), YTP).
На рис. 60 показана модель оценки процессов обеспечения ИБ организации на основе измерения атрибутов процессов.
Данная модель оценки соответствия ИБ связывает потребности в оценке функционирования процессов обеспечения ИБ с соответствующими процессами и представляющими интерес атрибутами процессов. С помощью метода измерения атрибуты преобразовываются в основные меры (частные показатели), с помощью производных мер формируются групповые показатели.
Примеры метрик из [30] и [23] для измерения атрибутов представлены в приложении 3
Для оценивания функционирования (правильности реализации) любого процесса введем групповой (векторный) показатель функционирования
объединяющий частные показатели разных видов:
— частные показатели правильности реализации входных атрибутов
— частные показатели правильности реализации атрибутов управления
— частные показатели правильности реализации атрибутов ресурсов
— частные показатели правильности реализации атрибутов мероприятий
— частные
Для каждого атрибута процесса, когда Y(u), и YTP — неслучайные (детерминированные) переменные, функция соответствия служит частным показателем функционирования:
где mk — число атрибутов определенного вида, k = 5.
Введение векторного показателя функционирования накладывает дополнительные требования: минимальность числа частных показателей и полнота. Требование минимальности числа частных показателей связано со стремлением к снижению трудоемкости оценивания, однако при сохранении полноты охвата атрибутов процесса.
В зависимости от вида функции соответствия можно получить различные значения частных показателей функционирования. Вид функции соответствия определяется преобразованиями, которые допустимы в выбранных для метода измерения шкалах.
Например, пусть событие А означает достижение атрибута процесса требуемого значения. Вероятность Ри (А) наступления этого события зависит от стратегии и U. Тогда функция соответствия р в этом случае вводится как переменная, которая может принять лишь два значения 0 или 1, т. е.
Частные показатели могут иметь различную размерность. Поэтому при формировании группового показателя необходимо оперировать с нормированными значениями показателей.
Характеристики и свойства процессов обеспечения ИБ, которые несут атрибуты, не равнозначные с точки зрения реализации этих процессов. Поэтому необходимо определить способ объединения частных показателей (рис. 60) при формировании групповых показателей из частных. Наиболее часто применяемой производной мерой является усреднение объединяемых основных мер, т. е. групповые показатели формируются путем усреднения частных показателей, предполагая их равную значимость:
где Wj — групповой показатель j– го процесса;
Wji — частный показатель i-го атрибута j– го процесса;
n — число показателей всех измеряемых атрибутов j– го процесса.
Вычисление среднего значения для количественных показателей или вычисление медианы для качественных показателей дают хорошие результаты с точки зрения понимания правильности реализации процессов, однако адекватность такой обобщенной оценки не столь высока ввиду различной значимости оцениваемых атрибутов. Повысить адекватность обобщенной оценки процессов позволяет использование коэффициентов значимости (весовых коэффициентов) частных показателей.
Под значимостью частного показателя будем понимать важность оцениваемых частным показателем атрибутов процессов обеспечения ИБ с точки зрения функционирования (правильности реализации) этих процессов.
Групповые показатели при различной значимости частных показателей вычисляются следующим образом:
где ji — коэффициент значимости частного показателя i– го атрибута j– го процесса.