Александр Викторович Гаврилов – кандидат технических наук, доцент, доцент кафедры Прикладной информатики и информационной безопаcности
Москва
Aleksandr V. Gavrilov – Cand. Sci. (Engineering) Associate Professor, Associate Professor at the Department of Applied Informatics and Information Security
Moscow
Валерий Александрович Сизов – доктор технических наук, профессор, профессор кафедры Прикладной информатики и информационной безопасности
Москва
Valeriy A. Sizov – Dr. Sci. (Engineering), Professor, Professor at the Department of Applied Informatics and Information Security
Moscow
Цель исследования. В современных условиях для построения эффективной системы информационной безопасности предприятия требуются специалисты, обладающие соответствующими профессиональными компетенциями и навыками системного подхода при анализе совокупности факторов, оказывающих влияние на состояние информационной безопасности предприятия. Для подготовки такого рода специалистов требуются качественные изменения в содержании учебных дисциплин, основанные на использовании в процессе построения системы информационной безопасности методов и средств системного анализа.
Существующие в настоящее время подходы в оценке рисков предприятия основаны на формировании реестра его информационных ресурсов, необходимого для дальнейшей обработки рисков. Адекватная оценка стоимости ресурса невозможна без правильного понимания семантики этого ресурса и его роли в реализуемых бизнес-процессах. Современные подходы к вопросу формирования реестра информационных ресурсов предприятия, по мнению авторов, не предлагают эффективной методики выявления ресурсов и оценки их стоимости.
В настоящей работе рассматривается подход, основанный на применении в подготовке магистров по направлению «Информационная безопасность» методики структурно-функционального анализа и CASE-технологий при формировании реестра информационных ресурсов предприятия.
Материалы и методы. Для формирования реестра информационных ресурсов предприятия предлагается выполнять построение структурно-функциональной модели предприятия с использованием нотации IDEF0. Моделирование бизнес-процессов выполнялось в среде Business Studio компании «Современные технологии управления».
В качестве примера для анализа рисков рассматривалась деятельность типовой компании IT-индустрии, занимающейся разработкой и внедрением информационных систем управления предприятием.
Результаты. Методика прошла успешную апробацию в учебном процессе. По мнению авторов статьи, использование данной методики при проведении лабораторных занятий для магистров, обучающихся по направлению «Информационная безопасность» позволило повысить эффективность формирования у обучающихся профессиональных компетенций и, следовательно, в целом, качество обучения.
Полученные результаты могут быть использованы не только в качестве методики обучения специалистов в области информационной безопасности. Применение рассматриваемой в статье методики формирования реестра информационных ресурсов предприятия в практической деятельности по обеспечению информационной безопасности предприятия позволит повысить обоснованность решений по защите информации предприятия.
Заключение. В работе предложена методика, позволяющая обосновать выбор основных направлений по защите информации предприятия на основе анализа его бизнес-процессов. Отличительной особенностью методики является использование современных CASE-технологий для принятия решений в области информационной безопасности предприятия.
Реализация методики позволяет сформировать реестр информационных ресурсов предприятия, включающий оценку вероятного ущерба по каждому ресурсу. Реестр показывает узкие места в организации защиты, на которые следует обратить первоочередное внимание при планировании мероприятий по защите информации. На основе полученных данных можно сформировать обоснованную с экономической точки зрения стратегию и тактику развития системы защиты информации предприятия.
Purpose of the study. In modern conditions, building an effective information security system for an enterprise requires specialists with appropriate professional competencies and systems approach skills in analyzing a combination of factors that influence the state of information security of an enterprise. For the preparation of such kind of specialists, qualitative changes in the content of educational disciplines are required, based on the use of methods and means of system analysis in the process of building an information security system.
The current approaches to assessing the risk of an enterprise are based on the formation of a register of its information resources necessary for the further processing of risks. Adequate assessment of the value of a resource is impossible without a correct understanding of the semantics of this resource and its role in the implemented business processes. Modern approaches to the formation of the register of enterprise information resources, according to the authors, do not offer an effective method of identifying resources and estimating their value.
This paper considers an approach based on the use of structural and functional analysis methods and CASE-technologies in the formation of a register of information resources of the enterprise in the training of masters in the direction of “Information Security”.
Materials and methods. For the formation of the register of enterprise information resources, it is proposed to build a structural-functional enterprise model using the IDEF0 notation. Business process modeling was performed in the Business Studio environment of «Modern Control Technologies».
As an example for risk analysis, the activities of a typical IT-industry company engaged in the development and implementation of enterprise management information systems were considered.
Results. The technique was successfully tested in the educational process. According to the authors of the article, the use of this technique in conducting laboratory classes for masters enrolled in the “Information Security” direction has made it possible to increase the efficiency of the formation of professional competencies in students and, consequently, in general, the quality of education.
The results obtained can be used not only as a training method for specialists in the field of information security. The application of the methodology of forming the register of information resources of an enterprise considered in the article in practical activities to ensure the information security of an enterprise will increase the validity of decisions to protect the information of the enterprise.
Conclusion. The paper proposes a method to justify the choice of the main directions for the protection of enterprise information based on the analysis of its business processes. A distinctive feature of the technique is the use of modern CASE-technologies for decision-making in the field of enterprise information security.
The implementation of the methodology allows you to create a register of information resources of the enterprise, including an assessment of the likely damage for each resource. The registry shows the bottlenecks in the organization of protection, which should be given priority when planning measures to protect information. On the basis of the data obtained, it is possible to form a strategy and tactics for developing an enterprise information protection system that is reasonable from an economic point of view.
The authors declare that there are no conflicts of interest present.