Необходимо зарегистрироваться, чтобы получить доступ к полным текстам статей и выпусков журналов!
- Название статьи
- Методика формирования численных метрик ИБ (Обзор)
- Авторы
- Лившиц Илья Иосифович Livshitz.il@yandex.ru, канд. техн. наук; ведущий инженер департамента проектирования, ООО «Газинформсервис», Санкт-Петербург, Россия
- В разделе
- ОБЩИЕ ВОПРОСЫ БЕЗОПАСНОСТИ ИНФОРМАЦИИ И ОБЪЕКТОВ
- Ключевые слова
- информационная безопасность / система менеджмента информационной безопасности / метрики / стандарт / измерение результативности
- Год
- 2016 номер журнала 3 Страницы 54 - 64
- Индекс УДК
- 006.07
- Код EDN
- Код DOI
- Финансирование
- Тип статьи
- Обзорная статья
- Аннотация
- Актуальность публикации вызвана вниманием к проблеме формирования достоверных результатов измерения (оценки) результативности систем менеджмента информационной безопасности (СМИБ). Лица, принимающие решения, должны оперировать достоверными результатами выполнения измерений результативности СМИБ, основанными на объективных количественных метриках ИБ. Известные способы оценки систем безопасности представляются без учета требований цикла PDCA и отдельно от общих требований, предъявляемых непосредственно к СМИБ. Выполненное исследование применимых стандартов (ISO, NIST, ГОСТ) и существующей практики дало возможность предложить методику формирования метрик ИБ, позволяющую оценить численно результативность СМИБ. В качестве методической базы для выбора метрик ИБ применяются стандарты ISO серии 27000 и, дополнительно, оптимизированная для цикла PDCA теория "элитных групп". Предложенная база позволяет обеспечить формирование численных метрик ИБ и перейти к оценке результативности СМИБ на базе суперкритериев различного типа. Результаты исследования могут найти практическое применение при независимой оценке результативности СМИБ.
- Полный текст статьи
- Необходимо зарегистрироваться, чтобы получить доступ к полным текстам статей и выпусков журналов!
- Список цитируемой литературы
-
Винер Н. Кибернетика, или управление и связь в животном и машине. Изд. 2-е. - М.: Наука. Главная редакция изданий для зарубежных стран, 1983. - 344 с.
Кини Р. Л., Райфа Х. Принятие решений при многих критериях: предпочтения и замещения / Пер. с англ. Под ред. Шехнова И. Ф. - М.: Радио и Связь, 1981. - 560 с.
Пригожин И., Стенгерс И. Время. Хаос. Квант. К решению парадокса времени. - М.: Едиториал УРСС, 2003. - 240 с.
Николис Г., Пригожин И. Познание сложного. Введение. - М.: Мир, 1990. - 345 с.
Рудакова С. А. Концепция выбора метрик информационной безопасности // Вестник государственного университета морского и речного флота им. адмирала С. О. Макарова. 2013. № 3 (22). С. 162-166.
Зефиров С. Л., Голованов В. Б. Система менеджмента информационной безопасности организации и измерения. Метрология, метрики, безопасность // Защита информации. Инсайд. 2008. № 2 (20). С. 22-27.
Скрыль С. В., Белокуров С. В., Зыбин Д. Г. и др. Показатели эффективности информационных процессов в интегрированных системах безопасности в условиях угроз искажения и блокирования информации // Приборы и системы. Управление, контроль, диагностика. 2014. № 4. С. 23-27.
Котенко И. В., Юсупов Р. М. Перспективные направления исследований в области компьютерной безопасности // Защита информации. Инсайд. 2006. № 2 (8). С. 46-57.
Петренко С. А. Требования SOX 404 к контролю ИТ // Защита информации. Инсайд. 2006. № 3 (9). С. 10-16.
ISO/IEC 27000:2014. Information Technology - Security Techniques - Information Security Management Systems. - Overview and vocabulary. International Organization for Standardization, 2014. - 31 p.
ISO/IEC 27001:2013. Information Technology - Security Techniques - Information Security Management Systems. - Requirements, International Organization for Standardization, 2013. - 23 p.
ISO/IEC 27004:2009. Information Technology - Security Techniques - Information Security Management. - Measurement, International Organization for Standardization, 2009. - 55 p.
ISO/IEC 27005-2011. Information Technology - Security Techniques - Information Security Risk Management. - International Organization for Standardization, 2011. - 68 p.
Лившиц И. И. Совместное решение задач аудита информационной безопасности и обеспечение доступности информационных систем на основании требований международных стандартов BSI и ISO // Информатизация и связь. 2013. Вып. 6. С. 48.
The Global State of Information Security Survey 2016. [Электронный ресурс]. Режим доступа: www.pwc.com/gx/ en/consulting-services/information-security-survey/index.jhtml/ свободный (дата обращения 18.04.2016).
Center for strategic and International Studies. [Электронный ресурс]. Режим доступа: www.csis.org свободный (дата обращения 18.04.2016).
Официальный сайт Infosecurity Russia. [Электронный ресурс]. Режим доступа: www.infosecurityrussia.ru/2015 г./ program/23.09.2015 г./?lang=ru#s22083/ свободный (дата обращения 18.04.2016).
Security Report. [Электронный ресурс]. Режим доступа:https://www.trustwave.com/Resources/Library/Documents/Security-on-the-Shelf---An-Osterman-Research-Survey-Report/ свободный (дата обращения 18.04.2016).
White Paper "Dealing with Data Breaches and Data Loss Prevention". [Электронный ресурс]. Режим доступа: https://www.proofpoint.com/de/id/PPWEB-WP-Osterman-Data-Breaches-and-DLP-Q115/ свободный (дата обращения 18.04.2016).
Лившиц И. И. Актуальность применения метрик информационной безопасности для оценки результативности проектов систем менеджмента информационной безопасности // Менеджмент качества. 2015. Вып. 1. С. 74-81.
Лившиц И. И. Подходы к решению проблемы учета потерь в интегрированных системах менеджмента // Информатизация и связь. 2013. № 1. С. 57-62.
Лившиц И. И. Подходы к применению модели интегрированной системы менеджмента для проведения аудитов сложных промышленных объектов - аэропортовых комплексов // Труды СПИИРАН. 2014. № 6. С. 72-94.
Federal Information Security Management Act (FISMA). [Электронный ресурс]. Режим доступа: www.csrc.nist.gov/ свободный (дата обращения 18.04.2016).
ISO. [Электронный ресурс]. Режим доступа: http://www.iso.org/iso/annual_report_2014_en_-_lr.pdf/ свободный (дата обращения 18.04.2016).
Лившиц И. И., Полещук А. В. Практическая оценка результативности СМИБ в соответствии с требованиями различных систем стандартизации - ИСО 27001 и СТО Газпром // Труды СПИИРАН. 2015. № 3. С. 33-44.
ГОСТ Р 52447-2005. Защита информации. Техника защиты информации. Номенклатура показателей качества. - М.: Стандартинформ, 2006. - 23 с.
Ефимов А. Н. Элитные группы, их возникновение и эволюция // Знание-сила. 1988. № 1. С. 56-64.
ГОСТ Р ИСО 19011:2011. Руководящие указания по проведению аудитов систем менеджмента. - М.: Стандартинформ, 2013.
Number of U.S. government "cyber incidents" jumps in 2015 г. Reuters. [Электронный ресурс]. Режим доступа: http://www.reuters.com/article/us-usa-cyber-idUSKCN0WN263 / свободный (дата обращения 10.08.2015).
- Купить
