Пристрій управління ризиками інформаційної безпеки в інформаційних системах

Abstract

У роботі запропоновано пристрій управління ризиками інформаційної безпеки в інформаційних системах. Запропонований пристрій містить модуль ідентифікації активів, модуль ідентифікації загроз, модуль ідентифікації вразливостей, модуль оброблення ризиків інформаційної безпеки, модуль оформлення звіту з аналізу ризиків інформаційної безпеки. Перший вихід модуля ідентифікації активів з’єднано з входом модуля ідентифікації загроз, а другий вихід з’єднано з входом модуля ідентифікації вразливостей, які з’єднані між собою зворотнім зв’язком. Технічним результатом є забезпечення підвищення швидкості аналізу рівня інформаційної безпеки, підвищення ефективності алгоритму оцінки ризику інформаційної безпеки, зменшення кількості звітного матеріалу, що генерується пристроєм в процесі роботи, створювати додаткову можливість створювати шаблони звіту рівня інформаційної безпеки та модифікувати наявні, створити додаткову можливість уникнення ризику або прийняття ризику інформаційної безпеки шляхом додаткового введення до складу пристрою управління ризиками інформаційної безпеки в інформаційних системах модуля визначення ймовірності реалізації загроз, модуля оцінки можливих наслідків від реалізації загроз, модуля визначення рівня ризику інформаційної безпеки, модуля визначення допустимого рівня ризику інформаційної безпеки.

The paper proposes a device for managing information security risks in information systems. The proposed device contains an asset identification module, a threat identification module, a vulnerability identification module, an information security risk processing module, and an information security risk analysis report design module. The first output of the asset identification module is connected to the input of the threat identification module, and the second output is connected to the input of the vulnerability identification module, which are interconnected by feedback. The technical result is to increase the speed of information security level analysis, increase the efficiency of the information security risk assessment algorithm, reduce the amount of reporting material generated by the device during operation, create an additional opportunity to create information security level report templates and modify existing ones, create an additional opportunity to avoid risk, or acceptance of information security risk by additional introduction to the information security risk management device in information systems of the module for determining the probability of the realization of threats, the module for assessing the possible consequences of the implementation of threats, the module for determining the level of information security risk, the module for determining the permissible level of information security risk.