2. Регулирование рисков реализации неправомерного доступа к компьютерной информации в распределенных компьютерных системах

Рассмотрим распределенную КС, состоящую из 3-х компонентов. Поставим задачу по нахождению алгоритма перемещения кривой риска из положения 1 (рис. 6.6 - ) в положение 2 (рис. 6.6 - ) при сохранении величин и Д. Таким образом, первый максимум перейдет в максимум , второй максимум перейдет в максимум и так далее.

Рис.6.6. Схема перемещения кривой риска при регулировании

Как видно на графике (рис. 6.8), каждый из компонентов переносится влево, при этом разброс значений каждого компонента не меняется. Рассмотрим, возможно ли достижение подобного результата при логарифмически нормальном законе распределения ущерба.

Перемещение кривой интегрального риска РКС вправо на некоторую величину P означает увеличение параметров mi на некоторую величину , причем определяется следующим образом:

Таким образом, интегральный риск для РКС из n компонентов примет вид:

где

Так как параметр уменьшается на , то при перемещении кривой интегрального риска значения ущерба, определяющие максимум риска для i-го компонента РКС, с учетом поправок будет иметь следующий вид:

,

где - поправки с учетом перемещения.

Пусть задано перемещение кривой интегрального риска РКС вправо по диапазону ущерба на некоторую величину P, тогда параметры mi риска уменьшатся на некоторую величину , диапазон ущерба уменьшится в раз. При этом неравномерность риска останется прежней.

Рассчитаем диапазон ущерба. Для определения диапазона ущерба при перемещении кривой интегрального риска исследуем случай, когда пики рисков 2-х соседних компонентов РКС оказываются на расстоянии, достаточном чтобы за диапазон ущерба считать величину:

где задает уровень отсчета от _.

При перемещении параметр каждого компонента уменьшится на , следовательно, диапазон ущерба примет вид:

Таким образом, при перемещении кривой риска диапазон ущерба уменьшится в раз.

Пик риска для i-го компонента РКС определяется по формуле:

Как видно из формулы, пик риска для i-го компонента РКС не зависит от параметра . Следовательно, изменение параметра не влияет на пик риска.

Результаты, полученные при перемещении кривой риска, проиллюстрированы на рис. 6.7. Здесь рассмотрен случай РКС из 3-х компонентов, для которых параметры одинаковы.

Рис.6.7. Схема перемещения кривой риска РКС из 3-х компонентов при регулировании

Как видно на графике (рис.6.7), при переносе нескольких компонентов РКС в область меньшего ущерба многократно уменьшился диапазон ущерба – Д. Для его дальнейшего снижения и снижения писка риска предлагается регулировать параметр масштаба - . При изменении параметра каждого компонента пик суммарного риска изменится (рис.6.8), а также изменится и неравномерность. Регулирование неравномерности представляется нетривиальной задачей, решаемой подбором оптимальных значений параметров масштаба согласно алгоритму, представленному на рис. 6.9.

Рис.6.8.Схема перемещения кривой риска РКС из 3-х компонентов при изменении параметров m и

По графику видно, что неравномерность риска осталась прежней, а диапазон ущерба снизился.

Ниже приведен алгоритм регулирования рисков, задачей которого является перемещение кривой риска в область большего ущерба с заданной неравномерностью и оптимальным значением диапазона ущерба.

Рис. 6.9. Алгоритм перемещения кривой риска в область большего ущерба с заданной неравномерностью и оптимальным значением диапазона ущерба

Оценка и управление рисками неправомерного доступа к компьютерной информации представляют собой процессы, так или иначе затрагивающие все сферы деятельности предприятия. Эти процессы могут быть интегрированы в бизнес-процессы организации, работа которых так или иначе связана с компьютерной информацией. Причем каждый отдельно взятый бизнес-процесс имеет свою специфику, следовательно, управление рисками в отдельном бизнес-процессе должно удовлетворять его требованиям по защите компьютерной информации от неправомерного доступа. Специфика бизнес-процесса во многом определяется его принадлежностью к элементу организационной структуры предприятия, либо к сфере деятельности, в котором этот процесс задействован. Рассмотрим обобщенную структуру типового предприятия (рис. 6.10).

Рис. 6.10. Обобщенная структура типового предприятия

Таким образом, процессы по обеспечению информационной безопасности предприятия так или иначе связаны с каждой сферой его деятельности.

Компьютерные преступления, связанные с неправомерным доступом к компьютерной информации, по статистике чаще всего совершаются внутренними пользователями системы, следовательно, для снижения риска рассматриваемого вида деструктивных воздействий на компьютерную систему предприятия необходимо более тщательно подходить к процедуре набора персонала.

Рассмотрим алгоритм процесса рекрутинга с интегрированным процессом управления рисками неправомерного доступа к компьютерной информации (рис. 6.11).

Рис.6.11. Процесс найма работников в организации с учетом требований безопасности

На рисунке видно, что стандартный процесс подбора кадров на должность обогатился новыми составляющими, задачей которых является проверка соискателя на соответствие требованиям норм этики и морали, что способствует выбору в конечном итоге именно того сотрудника, которому можно доверить работу с конфиденциальными данными.