Mathematical model for evaluating the impact coefficient of a single factor on information security threats

Derendyaev Denis Aleksandrovich post-graduate student of the Department of Computer Systems Design and Safety at Saint Petersburg National Research University of Information Technologies, Mechanics and Optics 197101, Russia, Saint Petersburg, str. Kronverkskii Prospekt, 49 battelnet.net@mail.ru Other publications by this author     Gatchin Yurii Armenakovich Doctor of Technical Science professor of the Computing System Design and Safety at Saint Petersburg National Research University of Information Technologies, Mechanics and Optics 197101, Russia, Saint Petersburg, str. Kronverkskii Prospekt, 49 gatchin@mail.ifmo.ru Other publications by this author

Bezrukov Vyacheslav Alekseevich PhD in Technical Science associate professor of the Department of Computer Systems Design and Safety at Saint Petersburg National Research University of Information Technologies, Mechanics and Optics 197101, Russia, Saint Petersburg, str. Kronverkskii Prospekt, 49 bezrukov@mail.ifmo.ru Other publications by this author

Борьба с угрозами информационной безопасности является важным аспектом функционирования множества современных предприятий в связи с циркуляцией в них большого объема конфиденциальной информации, кража, модификация или уничтожение которой приведет к финансовым потерям в организации. Модели, методы и средства защиты информации (ЗИ), используемые на предприятиях, различны и, как правило, выбираются в результате решения одной из задач вида `min, R>=R_(dop)>` или `max, S<=S_(dop)>` , `S` где – затраты на разработку, внедрение и сопровождение системы ЗИ на предприятии; `S_(dop)` – допустимая стоимость системы ЗИ на предприятии; `R` – уровень защиты, обеспечиваемый выбранным вариантом системы ЗИ; `R_(dop)` – допустимый уровень качества системы ЗИ в целом ^[1]. Уровень защиты характеризуется величиной остаточного риска, получившегося в результате влияния механизмов системы ЗИ на риски угроз информационной безопасности. При расчете рисков угроз чаще всего используют следующую формулу:`R=P*Z` , где `R` – риск угрозы информационной безопасности; `P` – вероятность угрозы; `Z` – критичность угрозы для предприятия ^[2,3]. Критичность и вероятность угрозы определяются путем экспертных оценок или статистическим методом. Однако при определении этих критериев та или иная угроза рассматривается целиком, под действием всех возможных факторов. Математическое описание коэффициента влияния отдельно взятых факторов может помочь лучше разобраться в причинах возникновения угроз информационной безопасности, что делает рассмотрение данного вопроса актуальным.

Целью данной работы является представление коэффициента влияния отдельно взятого фактора на угрозу информационной безопасности в виде математической модели.

Пусть множество всех не взаимосвязанных угроз информационной безопасности `A={a_(i)}` , `i=1,...,L` , тогда множество не взаимосвязанных угроз информационной безопасности с присутствием конкретного фактора `B={b_(i)}` , `i=1,...,N` и `Asub B .`

Положим далее, что на возникновение угроз безопасности множества `B` оказывают влияние различные, не зависящие друг от друга факторы `C={c_(i)}` , `i=1,...,K` . В таком случае вероятность возникновения любой угрозы из множества `B` можно представить как сумму вероятностей под влиянием различных факторов:

`P(b_(i))=P(b_(i)|c_(1))+...+P(b_(i)|c_(k))=sum_(i=1)^k P(b_(i)|c_(k))` , `sum_(i=1)^k P(b_(i)|c_(k))<1` (1)

Введем множество коэффициентов влияния конкретного фактора на угрозы информационной безопасности `X={x_(i)}`, `i=1,...,N` и положим, что в нашем случае, интересующим нас фактором будет `c_(1)` , тогда вероятность возникновения угрозы можно представить в виде:

`P(b_(i))=x_(i)*P(b_(i))+...+P(b_(i)|c_(k))` , `x_(i)<1` (2)

Так как мы рассматриваем множество не взаимосвязанных угроз информационной безопасности, то вероятность реализации `P_(B)` хотя бы одной угрозы, вызванной конкретным фактором, можно определить следующим образом:

`P_(B)=sum_(i=1)^n P(b_(i))=P(b_(1))+...+P(b_(n)),` `sum_(i=1)^n P(b_(i))<1` (3)

Подставляя (2) в (3), можно записать следующее выражение для определения вероятности `P_(B)` :

`P_(B)=(x_(1)*P(b_(1))+...+P(b_(1)|c_(k)))+...+(x_(1)*P(b_(n))+...+P(b_(n)|c_(k)))` (4)

Вероятность всех угроз безопасности с присутствием конкретного фактора и только под его влиянием `P_(B)(c_(1))` можно представить в виде:

`P_(B)(c_(1))=sum_(i=1)^n P(b_(i)|c_(1))=x_(1)*P(b_(1))+...+x_(n)*P(b_(n)),` `sum_(i=1)^n P(b_(i)|c_(1))<1` (5)

В связи с тем, что затруднительно точно определить значение коэффициента влияния конкретного фактора на каждую из угроз в отдельности, воспользуемся средним значением коэффициента`<< x>>` :

`<< x>>=(x_(1)+...+x_(n))/n` (6)

Тогда формула (5) примет вид:

`P_(B)(c_(1))=<< x>>*P(b_(1))+...+<< x>>*P(b_(n))=<< x>>*(P(b_(1))+...+P(b_(n)))` (7)

Коэффициент влияния конкретного фактора равен:

`<< x>>=(sum_(i=1)^n P(b_(i)|c_(1)))/(sum_(i=1)^n P(b_(i)))` (9)

Данный коэффициент актуален как для вероятности угрозы, так и для её критичности, тогда значение критичности угрозы под влиянием только конкретного фактора можно оценить как:

`Z(b_(i)|c_(1))=<< x>>*Z(b_(i))` (10)` `

Рассчитаем коэффициент влияния человеческого фактора на угрозы информационной безопасности.

Проведем анализ экспертных оценок угроз информационной безопасности с условием присутствия в них влияния человеческого фактора. Большинство экспертных оценок угроз информационной безопасности можно разделить на две группы: вероятность возникновения угрозы и её критичность. С точки зрения вероятности выделяются ошибки персонала и несанкционированный доступ^[4,5]. Наиболее критичными являются кража информации, халатность сотрудников и их неправомерные действия^[6]. Определенные исследования за длительный период^[7] указывают на рост вероятности возникновения угроз безопасности с присутствием человеческого фактора. Помимо этого можно выделить общие статистики ^[8,9], в которых явно выделен человеческий фактор, как причина возникновения белее половины всех угроз безопасности.

Составим примерную таблицу. Для критичности представим следующую градацию: низкая 0-33, средняя 34-66, высокая 67-100. Малым влиянием человеческого фактора в данном примере можно пренебречь, так как будет находиться среднее значение коэффициента влияния для наиболее подверженных влиянию угроз информационной безопасности.

Таблица. Показатели угроз информационной безопасности

Согласно исследованию CompTIA ^[10] в 52% случаях возникновения угрозы информационной безопасности основополагающим фактором был именно человеческий, то есть `sum_(i=1)^n P(b_(i)|c_(1))=0,52` , тогда коэффициент влияния человеческого фактора равен:

`<< x>>=(0,52)/(0,25+0,2+0,17+0,12)=0,7`

Критичность угрозы информационной безопасности «НСД» под действием человеческого фактора определяется следующим образом:

`Z_(nsd)=07*73%=51%`

В данном конкретном случае значение коэффициента влияния человеческого фактора получилось 0,7, однако полученное значение может принимать разные значения для конкретного предприятия в зависимости от исходных данных.

В результате работы мы получили математическую модель оценки коэффициента влияния отдельно взятого фактора на угрозы информационной безопасности и рассмотрели её на примере человеческого фактора. Полученные результаты являются индивидуальными и зависят от значения входных параметров модели, сама же модель может быть использованна для определения значения коэфициента влияния любого фактора.