Концепция оценки рисков кибербезопасности информационной системы объекта критической инфраструктуры

Jazyk: ukrajinština
Rok vydání: 2022
Předmět:
Zdroj: Радіотехніка; № 209 (2022): Радіотехніка; 118-129
Радиотехника; № 209 (2022): Радиотехника; 118-129
Radiotekhnika; No. 209 (2022): Radiotekhnika; 118-129
ISSN: 0485-8972
2786-5525
Popis: Ensuring cyber and information security for critical infrastructure is achieved through the implementation of an appropriate set of information security management measures, which can be provided in the form of software policies, methods, procedures, organizational structures and functions. Information security requirements are determined, in particular, by systematic risk assessment of information security, which can be one of the elements of the predicted approach to identifying hazards in the provision of services to service participants in the information interaction of the information system. The paper presents conceptual provisions for assessing and managing cybersecurity risks of the critical infrastructure information system. The proposed concept involves the definition of: areas of security threats to the information system; involved information assets and calculation of their value; assessment of the probability of attacks on the information system; assessment of the probability of success of attacks on the information system and more. Risk assessment methods are proposed that take into account the probability of success of an attack and the probability of an attack occurring, which makes it possible to eliminate the shortcomings inherent in known approaches and provide more accurate identification of attack methods associated with the attacker's behavior. The concept of cybersecurity risk assessment and the methodology for analyzing and assessing security threats that are presented in the work correspond to approaches to building risk-oriented information security management systems and can become the basis for developing an information security system in the information system of a critical infrastructure object.
Обеспечение кибер- и информационной безопасности для критически важных объектов инфраструктуры достигается за сет реализации комплекса мер по управлению информационной безопасностью, которые могут быть предоставлены в форме политик, методов, процедур, организационных структур и функций программного обеспечения. Требования к информационной безопасности определяются, в частности, посредством систематической оценки рисков информационной безопасности, которая может быть одним из элементов прогнозируемого подхода выявления опасных факторов при предоставлении услуг по обслуживанию участников информационного взаимодействия информационной системы. Представлены концептуальные положения по оценке и управлению рисками кибербезопасности информационной системы объекта критической инфраструктуры. Предложенная концепция предполагает определение: областей угроз безопасности информационной системы; задействованных информационных активов и расчет их стоимости; оценку вероятности возникновения атак на информационную систему; оценку вероятности успеха атак на информационную систему и прочее. Предложены методы оценки риска, учитывающие вероятности успеха атаки и вероятности возникновения атаки, что позволяет устранить недостатки, которые присущи известным подходам и обеспечить более точную идентификацию методов атаки, связанных с поведением злоумышленника. Концепция оценки рисков кибербезопасности и методика анализа и оценки угроз безопасности, которые представлены в работе, отвечают подходам к построению рискоориентированных систем управления информационной безопасностью и могут стать основой для разработки системы безопасности информации в информационной системе объекта критической инфраструктуры.
Забезпечення кібер- і інформаційної безпеки для критично важливих об’єктів інфраструктури досягається шляхом реалізації комплексу заходів з управління інформаційною безпекою, які можуть бути надані у формі політик, методів, процедур, організаційних структур і функцій програмного забезпечення. Вимоги до інформаційної безпеки визначаються, зокрема, за допомогою систематичної оцінки ризиків інформаційної безпеки, яка може бути однією з елементів прогнозованого підходу виявлення небезпечних факторів при наданні послуг з обслуговування учасників інформаційної взаємодії інформаційної системи. Представлено концептуальні положення щодо оцінки і управління ризиками кібербезпеки інформаційної системи об’єкта критичної інфраструктури. Запропонована концепція припускає визначення: областей загроз безпеки інформаційної системи; задіяних інформаційних активів та розрахунок їхньої вартості; оцінку ймовірності виникнення атак на інформаційну систему; оцінку ймовірності успіху атак на інформаційну систему та інше. Запропоновано методи оцінки ризику, які враховують ймовірності успіху атаки та ймовірності виникнення атаки, що дозволяє усунути недоліки, які притаманні відомим підходам та забезпечити більш точну ідентифікацію методів атаки, пов'язаних із поведінкою зловмисника. Концепція оцінки ризиків кібербезпеки і методика аналізу та оцінки загроз безпеки, які надані у роботі, відповідають підходам до побудови ризикоорієнтованих систем управління інформаційною безпекою і можуть стати основою для розробки системи безпеки інформації в інформаційній системі об’єкта критичної інфраструктури.
Databáze: OpenAIRE
Externí odkaz: