Метод оценивания рисков информационной безопасности на основе открытых баз данных уязвимостей

Abstract

В основу построения различных систем защиты информации положен процесс оценивания рисков. Для его реализации применяются известные методы анализа и оценивания рисков, основанные на экспертных оценках. Часто в процессе оценивания приходится сталкиваться с ситуациями, при которых возникают сложности с привлечением экспертов или они не всегда четко могут оценить ту или иную уязвимость ресурсов информационных систем. Также при практическом использовании таких систем возникает необходимость оперативного оценивания и мониторинга (в реальном времени) рисков без привлечения экспертов. В связи с этим целесообразно использовать соответствующие базы данных уязвимостей. Суще-ствующие подходы пока не позволяют эффективно решать поставленные задачи. Для этого предлагается метод оценивания рисков на основе открытых баз данных уязвимостей. Он, в отличие от известных методов, путем использования оценок, которые предоставляются в существующих базах данных, позволяет автоматизировать процесс оценивания рисков без привлечения экспертов соответствующей предметной области.