Экспертные методы в задачах оценки рисков информационной безопасности

6.     Угрозы, связанные с ошибками людей – повреждение кабелей из-за небрежности (Т 3.5);

7.     Угрозы, связанные с техникой – отказы внутренних сетей электроснабжения (Т 4.2);

8.     Угрозы, связанные с техникой – потери данных из-за старения (ухудшения качества) носителя данных (Т 4.20);

9.     Угрозы, связанные с техникой – потери данных в базе данных (Т 4.28);

10.                 Угрозы, возникающие на предпроектном этапе – подбор паролей (Т 5.18);

11.                 Угрозы, возникающие на предпроектном этапе – враждебные апплеты и вирусы (Т 5.23);

12.                 Угрозы, возникающие на предпроектном этапе – воровство (Т 5.4)..

В результате проведенной экспертизы методом Дельфи получены следующие оценки рисков:

Угроза	T.1.4	T.2.21	T.2.6	T.2.62	T.3.25	T.3.5	T.4.2	T.4.20	T.2.38	T.5.18	T.5.23	T.5.4
Риск	0,18	0,36	0,15	0,28	0,30	0,24	0,21	0,45	0,30	0,24	0,42	0,24

Ранжируем угрозы по возрастанию риска.

T.2.6	T.1.4	T.4.2	T.3.5	T.5.18	T.5.4	T.2.62	T.3.25	T.4.28	T.2.21	T.5.23	T.4.20
0,15	0,18	0,21	0,24	0,24	0,24	0,28	0,30	0,30	0,36	0,42	0,45

Таким образом, наименьший риск имеет угроза «Несоответствие помещений требованиям в области безопасности» (0,15), а наибольший риск у угрозы «Потери данных из-за старения (ухудшения качества) носителя данных» (0,45).

Экспертные методы в задачах оценки рисков информационной безопасности

Анализируя достоинства и недостатки количественных методов можно сказать следующее

Достоинства

1.           Результат формируется в количественной форме, более естественной для последующей аналитической обработки (например, для расчета ROI, эффективности СЗИ). Качественные оценки не позволяют это сделать.

2.           Эти методы дают более четкий ответ по сравнению с качественными методами, последние же ответ размывают, иногда достаточно сильно (большой ущерб), что не позволяет в некоторых случаях эффективно решать, например, задачи оптимизации, проводить точную ранжировку угроз.

Недостатки

1.     Количественные методы эффективно использовать только для оценки факторов, имеющих элементарные измеримые свойства (скорость, время, рубли и т.д.).

2.     Трудно обеспечить релевантность и согласованность оценок. Она обеспечивается путем принудительного введения большой избыточности в получаемую от экспертов информацию, использования специализированных методик, в методы экспертного опроса.

3.     Эксперту достаточно сложно формировать и работать с подобными оценками. Для него более удобно работать с качественными категориями. В особенности, если сами критерии являются качественными.

4.     Эксперту приходится удерживать в голове сразу все элементы (в особенности, когда качественные критерии принудительно пытаются оценить на количественной шкале), а при формировании конкретной количественной оценки сравнивать значения с более ранее сформированными, так как необходимо еще учесть и величину превосходства одного значения над другим.

5.     Эксперта в данных методах заставляют отвечать четко, тогда как оценки должны быть размытыми (идет прогноз и эксперт не может ответить четко на многие из поставленных вопросов). Притягивание к четкости исходных данных приводит к четким результатам, но часто не согласующимся с действительностью. Здесь определенный выход из ситуации видится в использовании нечетких чисел.