Глушенко Сергей Андреевич – ассистент кафедры экономической информатики и автоматизации управления, Ростовский государственный экономический университет.
Адрес: 344002, г. Ростов-на-Дону, ул. Большая Садовая, д. 69.
E-mail: www.555.sergey@mail.ru

В статье обосновывается важность применения анализа рисков при реализации системы обеспечения информационной безопасности организации. Рассматриваются наиболее распространенные методики оценки риска NIST и CRAMM, а также обосновываются ограничения и недостатки данных подходов. Оценку риска информационной безопасности организации предлагается проводить с использованием теории нечеткой логики. Применение нечетких моделей позволяет учитывать как количественные, так и качественные характеристики, а также представлять нечеткие описания с помощью нечетких множеств и лингвистических переменных. На основе предложенной методики была разработана нечеткая продукционная модель, в которой определены семь входных лингвистических переменных, характеризующих факторы риска, и четыре выходных лингвистических переменных, характеризующих риски различных областей информационной безопасности. Модель содержит четыре базы правил и позволяет проводить лингвистический анализ рисков информационной безопасности организации. Нечеткая продукционная модель позволяет снять ограничения на число учитываемых входных переменных и интегрировать как качественные, так и количественные подходы к оценке рисков.
Реализация процесса нечеткого моделирования базы правил проводится посредством применения специализированного пакета Fuzzy Logic Toolbox программного средства MATLAB. Механизм получения оценок риска на основе алгоритма Мамдани позволяет получить численное значение риска, лингвистическое описание степени риска, а также уровень уверенности эксперта в возникновении рискового события. Результаты моделирования могут быть использованы ИТ-менеджерам для выявления приоритетов рисков (очень высокий, высокий, средний, низкий, очень низкий) и выбора плана мероприятий по снижению влияния наиболее опасных угроз на информационную безопасность организации.