В статье рассматривается возможность решения проблемы повышения эффективности и объективности оценки защищенности объектов критической информационной инфраструктуры (КИИ) в условиях изменяющегося ландшафта угроз и ужесточения нормативных требований. Анализируются ограничения традиционных подходов, основанных на статических моделях и экспертных оценках, которые не учитывают иерархическую структуру системы безопасности и не обладают механизмами адаптации. Предлагается методика, основанная на применении неявной схемы для динамической балансировки оценок между различными уровнями иерархии. Ядром методики является математическая модель, формализованная через уравнение баланса, разрешаемое методом Ньютона. Показано, что метод позволяет снизить дисперсию оценки, обладает сходимостью и позволяет уточнять оценку с накоплением данных. Предложенная модель способна корректировать веса с появлением новых или изменением существующих требований. Продемонстрировано, что система обеспечивает устойчивость к колебаниям входных данных и имеет возможность самообучения. Приводятся результаты имитационного моделирования, демонстрирующие ключевые преимущества подхода. Отражена апробация методики в ходе аттестации объектов КИИ, которая подтвердила практическую пользу метода. Созданы предпосылки для дальнейших работ и описаны возможные направления последующих исследований.
< ... >
This article examines the potential for improving the efficiency and objectivity of critical information infrastructure (CII) security assessments in the face of a changing threat landscape and increasingly stringent regulatory requirements. A methodology is proposed based on the use of an implicit scheme for dynamically balancing assessments between different hierarchical levels. The core of the methodology is a mathematical model formalized through a balance equation solved by Newton’s method. It is demonstrated that the method reduces assessment variance, exhibits convergence, and enables assessment refinement with the accumulation of data. The proposed model is capable of adjusting weights as new requirements emerge or existing ones change. It is demonstrated that the system is robust to fluctuations in input data and has self-learning capabilities. Simulation results are presented, demonstrating the key advantages of the approach. The methodology is validated during the certification of CII facilities, which confirmed its practical utility.
Keywords:
implicit schema, assessment methods, critical information infrastructure, information security, decomposition, dynamic assessment generation, security assessment
Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд»
