СИСТЕМА ОЦІНКИ РИЗИКІВ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ ПІДПРИЄМСТВА НА ОСНОВІ НЕЧІТКОЇ ЛОГІКИ

Анотація

В роботі розглядається процес створення нечіткої продукційної моделі оцінки ризику інформаційної безпеки підприємства. Показано, що традиційні методи недостатньо придатні для вирішення подібних завдань саме тому, що вони не завжди взмозі чітко описати умови і надати необхідні дані для прийняття відповідних рішень, як правило, виникає невизначеність. Показано, що існуючі методи урахування та оцінки ризиків не позбавлені суб'єктивізму й суттєвих умов, що призводять до неправильних оцінок ризиків проектів. Суттєво, що якісно виконаний аналіз інформаційних ризиків дозволяє провести порівняльний аналіз «ефективність – вартість» різних варіантів захисту, обрати адекватні контрзаходи і засоби контролю, оцінити рівень залишкових ризиків. Крім того, інструментальні засоби аналізу ризиків, що ґрунтуються на сучасних базах знань і процедурах логічного висновку, дозволяють побудувати структурні та об'єктно-орієнтовані моделі інформаційних активів компанії, моделі загроз і моделі ризиків, пов'язаних з окремими інформаційними та бізнес-транзакціями і, отже, виявляти такі інформаційні активи компанії, ризик порушення захищеності яких є критичним, тобто неприйнятним. Запропоновано використання теорії нечіткої логіки для оцінки ризиків. Для моделювання ризику інформаційної безпеки підприємства, запропоновано нечіткі моделі надавати у вигляді нечітких мереж. Модель містить бази правил і дозволяє проводити лінгвістичний аналіз ризиків, які несуть потенційні загрози і збиток організації. Взаємозв'язок між факторами (антецедентом) і показниками ризику (консеквентом) являє собою бінарне нечітке відношення на декартовому множенні відповідних нечітких множин. Нечітке причинно-наслідкове відношення між антецеденом і консеквентом задається у вигляді нечіткої продукції. Використовуваний в методиці механізм отримання оцінок ризику на основі нечіткої логіки дозволяє отримати чисельне значення ризику, лінгвістичний опис ступеня ризику, а також рівень впевненості експерта у виникненні ризикової події.