Александр Викторович Гаврилов, к.т.н., доцент, доцент кафедры Прикладной информатики и информационной безопаcности
Москва
Aleksandr V. Gavrilov, Cand. Sci. (Engineering) Associate Professor, Associate Professor at the Department of Applied Informatics and Information Security
Moscow
Валерий Александрович Сизов, д.т.н., профессор, профессор кафедры Прикладной информатики и информационной безопасности
Москва
Valeriy A. Sizov, Dr. Sci. (Engineering), Professor, Professor at the Department of Applied Informatics and Information Security
Moscow
Елена Валерьевна Ярошенко, к.э.н. доцент кафедры прикладной информатики и информационной безопасности
Москва
Elena V. Yaroshenko, Cand. Sci. (Economics), Associate professor of the Academic Department of Applied Information Technology and Information Security
Moscow
Цель исследования. Построение эффективной системы информационной безопасности предприятия невозможно без адекватной оценки рисков, которым подвержены его активы. Результаты такой оценки должны стать основой для принятия решений в области информационной безопасности предприятия. Идентификация информационных активов и оценка их стоимости, определение уровня угроз безопасности активов позволяют спланировать мероприятия по созданию системы информационной безопасности предприятия.В настоящей работе рассматривается методика оценки рисков информационной безопасности предприятия, отличительной особенностью и новизной которой является применение современных средств и методов построения и анализа бизнес-процессов с целью выявления подлежащих защите информационных активов предприятия.Материалы и методы. Идентификацию информационных активов предлагается выполнять, опираясь на модель бизнес-процессов предприятия, выполняемую с использованием методики IDEF0. Моделирование бизнес-процессов выполнялось в среде Business Studio компании «Современные технологии управления».В качестве примера для анализа рисков рассматривалась деятельность типовой компании IT-индустрии.Результаты. Описываемая в статье методика оценки рисков информационной безопасности предприятия прошла успешную апробацию в учебном процессе. Её использование при проведении лабораторных занятий по дисциплине «Проектирование системы информационной безопасности предприятий и организаций» для магистров, обучающихся по направлению «Информационная безопасность» позволило, по мнению авторов статьи, повысить эффективность формирования у обучающихся профессиональных компетенций.Заключение. В работе предложена методика оценки рисков информационной безопасности для объектов информационной инфраструктуры предприятия, позволяющая выделить приоритетные направления защиты информации на предприятии. В результате применения методики формируется матрица потерь, показывающая проблемные места в организации защиты информации, на которые следует обратить первоочередное внимание при планировании мероприятий информационной безопасности. На основе полученных данных можно сформировать обоснованную с экономической точки зрения стратегию и тактику развития системы информационной безопасности предприятия.
Purpose of the study. Creating an effective information security system of an enterprise is impossible without an adequate assessment of the risks to which its assets are exposed. The results of such an assessment should become the basis for making decisions in the field of information security of the enterprise. Identification of information assets and assessment of their value, determination of the level of threats to the security of assets allow planning measures to create an enterprise information security system.This paper discusses a methodology for assessing the risks of information security of an enterprise, a distinctive feature and novelty of which is the use of modern tools and methods for constructing and analyzing business processes in order to identify the information assets of an enterprise to be protected.Materials and methods. It is proposed to identify information assets based on the model of business processes of the enterprise, performed using the IDEF0 methodology. Modeling of business processes was carried out in the Business Studio environment of the “Modern Management Technologies” company.The activity of a typical IT-industry company was considered as an example for the risk analysis.Results. The methodology for assessing the risks of information security of an enterprise described in the article has been successfully tested in the educational process. Its use in conducting laboratory classes in the discipline “Designing the information security system of enterprises and organizations” for masters studying in the direction of “Information security” allowed, according to the authors of the article, to increase the effectiveness of the formation of students’ professional competencies.Conclusion. The paper proposes a methodology for assessing information security risks for objects of an enterprise’s information infrastructure, which makes it possible to identify priority areas of information security at an enterprise. As a result of the application of the technique, a loss matrix is formed, showing the problem areas in the organization of information protection, which should be given priority attention when planning information security measures. Based on the data obtained, it is possible to form an economically justified strategy and tactics for the development of an enterprise information security system.
The authors declare that there are no conflicts of interest present.