Методи управління ризиками інформаційної безпеки CRAMM та COBIT 5 for Risk

Автор(и)

  • Павло Сидоркін Інститут спеціального зв’язку та захисту інформації Національного технічного університету України “Київський політехнічний інститут імені Ігоря Сікорського”, Україна https://orcid.org/0000-0003-2374-1402
  • Сергій Горліченко Національний технічний університет України “Київський політехнічний інститут імені Ігоря Сікорського”, Україна https://orcid.org/0000-0002-8999-7526
  • Василь Некоз Національний технічний університет України “Київський політехнічний інститут імені Ігоря Сікорського”, Україна https://orcid.org/0000-0001-5091-0529
  • Микола Шилан Національний університет оборони України, Україна https://orcid.org/0000-0002-8801-4364

DOI:

https://doi.org/10.33099/2311-7249/2023-47-2-41-47

Ключові слова:

управління ризиками, потенційна шкода, ранжування ризиків, оцінювання ризиків безпеці інформації, реагування на ризик

Анотація

Метою статті є проведення детального аналізу відомих методів управління ризиками CRAMM та COBIT 5 for Risk для їх використання стосовно мінімізації впливу ризиків на інформаційну безпеку підприємства (організації, установи). Під час написання статті застосовано теоретичні методи, а саме аналіз досліджень і публікацій за тематикою управління ризиками. Зазначений методологічний підхід дає змогу порівняти основні методи управління ризиками. У роботі зазначено, що найбільш поширеними у світі методами та методиками управління ризиками інформаційної безпеки є CRAMM, COBIT for Risk, FRAP, Octave і Microsoft. Проведено ретельний аналіз методів CRAMM і COBIT 5 for Risk. Зазначено що метод CRAMM має етапи ініціювання, ідентифікації й оцінювання ІТ-активів, оцінювання загроз і вразливостей, визначення ризику. Наведено структуру методології COBIT 5 for Risk, розглянуто компоненти установи стосовно опису функцій і процесів управління ризиками за цією методологією та запропоновано рекомендації щодо впровадження заходів зниження ризиків. Наведено основні переваги та недоліки розглянутих методів управління ризиками. Значимість ризиків інформаційної безпеки зростає через збільшення кількості реалізованих нападів, і з урахуванням їх руйнівного потенціалу. Поряд із визначеними перевагами вони мають і свої обмеження. Зокрема, розглянуті методи ефективно використовуються комерційними компаніями і державними установами, а також можуть бути застосовані під час оцінювання й управління ризиками інформаційної безпеки об’єктів критичної інфраструктури.

Біографії авторів

Павло Сидоркін, Інститут спеціального зв’язку та захисту інформації Національного технічного університету України “Київський політехнічний інститут імені Ігоря Сікорського”

Старший науковий співробітник науково-дослідної спеціальної лабораторії №2 Науково-дослідного центру 

Сергій Горліченко , Національний технічний університет України “Київський політехнічний інститут імені Ігоря Сікорського”

Науковий співробітник Науково-дослідного центру Інституту спеціального зв’язку та захисту інформації

Василь Некоз , Національний технічний університет України “Київський політехнічний інститут імені Ігоря Сікорського”

Старший науковий співробітник Науково-дослідного центру Інституту спеціального зв’язку та захисту інформації

Посилання

Про основні засади забезпечення кібербезпеки України: Закон України від 5 жовтня 2017 року № 2163-VIII. URL: https://zakon.rada.gov.ua/laws/show/2163-19# Text. (дата звернення: 30.08.2023).

Про рішення Ради національної безпеки і оборони України «Про Стратегію національної безпеки України» від 14 вересня 2020 року: Указ Президента України від 14 вересня 2020 року № 392/2020. URL:https://zakon.rada.gov.ua/laws/show/392/ 2020#Text. (дата звернення: 30.08.2023).

Потій О. В., Горбенко Ю. І., Замула О. А., Ісірова К. В. Аналіз методів оцінки і управління ризиками кібер- і інформаційної безпеки Радіотехніка. 2021. Вип. 206 С. 5–23.

Потій О. В., Лєншин А. В. Дослідження методів оцінки ризиків безпеці інформації та розробка пропозицій з їх вдосконалення на основі системного підходу. Зб. наук. праць Харків. ХУПС. 2010. Вип. 2(24). C. 85–91.

Савельєва Т. В., Панаско О. М., Пригодюк О. М. Аналіз методів і засобів для реалізації ризик-орієнтованого підходу в контексті забезпечення інформаційної безпеки підприємства. Вісник Черкаського державного технологічного університету. Сер: Технічні науки. 2018. № 1. С .81-89.

Бучик С. С., Шалаєв В. О. Аналіз інструментальних методів визначення ризиків інформаційної безпеки інформаційно-телекомунікаційних систем. Наукоємні технології № 3 (35). 2017. С. 215-226.

CRAMM user guide, Risk Analysis and Management Method, United Kingdom Central Computer and Telecommunication Agency (CCTA), UK, 2001.

COBIT 5: A Business Framework for the Governance and Management of Enterprise ISACA, 2012.

Мельничук О. Управління критичною інфраструктурою держави: базові методи та критерії ідентифікації об’єктів. Державне управління та місцеве самоврядування. 2019. № 3(42). С. 13–27.

##submission.downloads##

Опубліковано

2023-09-22

Номер

Том 47 № 2 (2023)

Розділ

Протиборство у кібернетичному просторі

Ліцензія

Автори, які публікуються у цьому журналі, погоджуються з наступними умовами:

1. Автори залишають за собою право на авторство своєї роботи та передають журналу право першої публікації цієї роботи на умовах ліцензії Creative Commons Attribution License, котра дозволяє іншим особам вільно розповсюджувати опубліковану роботу з обов'язковим посиланням на авторів оригінальної роботи та першу публікацію роботи у цьому журналі.

2. Автори мають право укладати самостійні додаткові угоди щодо неексклюзивного розповсюдження роботи у тому вигляді, в якому вона була опублікована цим журналом (наприклад, розміщувати роботу в електронному сховищі установи або публікувати як монографію), за умови збереження посилання на першу публікацію роботи у цьому журналі.

3. Політика журналу дозволяє і заохочує розміщення авторами в мережі Інтернет (наприклад, у сховищах установ або на особистих веб-сайтах) рукопису роботи, як до подання цього рукопису до редакції, так і під час його редакційного опрацювання, оскільки це сприяє виникненню продуктивної наукової дискусії та позитивно позначається на оперативності та динаміці цитування опублікованої роботи (див. The Effect of Open Access).

4. Персональні дані і метадані, які наводяться у статтях, надаються для їх зберігання і оброблення в різноманітних базах даних і інформаційних системах, включення їх в аналітичні і статистичні звітності, створення обгрунтованих взаємозв'язків об'єктів творів науки, літератури і мистецтва з персональними даними і т.п. на території, яка не обмежена.