Сравнительный анализ методик оценки рисков информационной безопасности

Содержание

Введение

Глава 1. Теоретико-методологический базис управления рисками ИБ в Российской Федерации

1.1. Эволюция нормативно-правового обеспечения технической защиты информации и категорирования рисков

1.2. Сравнительная характеристика понятийного аппарата: угроза, риск, уязвимость и ущерб в терминах регуляторов

1.3. Классификация подходов к анализу рисков: количественные, качественные и гибридные методы

Глава 2. Анализ и практическая апробация методик оценки рисков на объектах информатизации

2.1. Специфика оценки актуальности угроз согласно Методике ФСТЭК России 2021 года

2.2. Сравнительный анализ эффективности российских инструментальных средств оценки рисков и зарубежных аналогов

2.3. Методические рекомендации по интеграции риск-ориентированного подхода в систему защиты ГИС и ИСПДн

Заключение

Список использованной литературы

КУРСОВАЯ РАБОТА

Сравнительный анализ методик оценки рисков информационной безопасности

ВВЕДЕНИЕ

Актуальность темы исследования обусловлена динамичным развитием информационных технологий и одновременным ростом киберугроз, направленных на объекты информатизации российских организаций. По данным Positive Technologies, в 2024 году количество атак на информационную инфраструктуру критически важных объектов увеличилось на 38% по сравнению с предыдущим периодом, что подчеркивает необходимость системного подхода к управлению рисками информационной безопасности. Реализация требований Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», Указов Президента РФ № 166 и № 250, а также положений Доктрины информационной безопасности РФ требует от операторов значимых объектов применения научно обоснованных методик оценки рисков ИБ. В условиях импортозамещения и технологического суверенитета особую значимость приобретает сравнительный анализ существующих подходов к оценке рисков с целью выбора оптимальной методики, соответствующей требованиям российских регуляторов — ФСТЭК России, ФСБ России и Роскомнадзора.

Степень разработанности проблемы в отечественной научной литературе характеризуется наличием значительного числа исследований, посвящённых управлению рисками ИБ. Теоретические основы изложены в трудах Щеглова А.Ю., Мельникова В.П., Клейменова С.А., Лукацкого А.В., Петракова А.В. Методологические подходы к моделированию угроз и оценке рисков разработаны ФСТЭК России и реализованы в Методике оценки угроз безопасности информации 2021 года. МГТУ им. Н.Э. Баумана, ИПИБ МГУ им. М.В. Ломоносова и Университет ИТМО активно развивают научную школу управления рисками ИБ на объектах информатизации различных категорий. Вместе с тем, сравнительный анализ эффективности различных методик применительно к задачам защиты государственных информационных систем и информационных систем персональных данных остаётся недостаточно изученным.

Цель работы — провести сравнительный анализ методик оценки рисков информационной безопасности для объектов информатизации на базе компьютерных систем.

Задачи исследования:

• изучить эволюцию нормативно-правового обеспечения технической защиты информации и категорирования рисков в Российской Федерации;
• провести сравнительную характеристику понятийного аппарата в области управления рисками ИБ в терминах российских регуляторов;
• классифицировать существующие подходы к анализу рисков: количественные, качественные и гибридные методы;
• исследовать специфику оценки актуальности угроз согласно Методике ФСТЭК России 2021 года;
• выполнить сравнительный анализ эффективности российских инструментальных средств оценки рисков и зарубежных аналогов;
• разработать методические рекомендации по интеграции риск-ориентированного подхода в систему защиты ГИС и ИСПДн.

Объект исследования — информационная безопасность объектов информатизации на базе компьютерных систем.

Предмет исследования — методики оценки рисков информационной безопасности объектов информатизации на базе компьютерных систем.

Методологическая база исследования включает теоретическую основу в виде концепций управления рисками ИБ, модели угроз безопасности информации, принципов построения системы защиты информации. Методы исследования: анализ угроз по Методике ФСТЭК России 2021 года, сравнительный анализ методик оценки рисков, метод экспертных оценок, структурный анализ. Нормативно-правовая база: ФЗ № 149-ФЗ, ФЗ № 152-ФЗ, ФЗ № 187-ФЗ, приказы ФСТЭК России № 17, № 21, № 31, № 239, ГОСТ Р ИСО/МЭК 27001-2021, ГОСТ Р 57580.1-2017. Источниковая база: нормативные документы ФСТЭК России и ФСБ России, научные публикации, аналитические отчёты Positive Technologies и «Лаборатории Касперского».

Научная новизна заключается в систематизации и сравнительном анализе методик оценки рисков ИБ с позиций соответствия требованиям российских регуляторов и адаптации к задачам защиты ГИС и ИСПДн.

Теоретическая значимость состоит в обобщении понятийного аппарата и классификации подходов к оценке рисков ИБ в контексте российской нормативно-правовой базы.

Практическая значимость определяется разработкой методических рекомендаций по применению риск-ориентированного подхода для операторов информационных систем.

Структура работы включает введение, две главы, заключение и список использованной литературы. В первой главе рассматриваются теоретико-методологические основы управления рисками ИБ в Российской Федерации. Во второй главе проводится анализ и практическая апробация методик оценки рисков на объектах информатизации.

ГЛАВА 1. ТЕОРЕТИКО-МЕТОДОЛОГИЧЕСКИЙ БАЗИС УПРАВЛЕНИЯ РИСКАМИ ИБ В РОССИЙСКОЙ ФЕДЕРАЦИИ

1.1. Эволюция нормативно-правового обеспечения технической защиты информации и категорирования рисков

Система технической защиты информации в Российской Федерации прошла длительный путь становления от советской модели защиты государственной тайны к современной регуляторной системе, основанной на риск-ориентированном подходе. Исторически первые нормативные документы в области защиты информации появились в СССР в рамках деятельности органов государственной безопасности и Государственной технической комиссии при Президенте СССР, которая координировала работы по созданию защищённых средств вычислительной техники и автоматизированных систем обработки данных. Переход к рыночной экономике и информатизация общества в 1990-е годы потребовали формирования новых подходов к защите информации ограниченного доступа, не составляющей государственную тайну [1, c. 24].

Ключевым этапом стало принятие в 1992 году Руководящих документов Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации» и «Средства вычислительной техники. Защита от несанкционированного доступа к информации», которые установили классификацию АС и СВТ по уровням защищённости и определили требования к организационным и техническим мерам защи

…