Качественно-количественный метод оценивания рисков информационной безопасности

Abstract

В основу систем менеджмента информационной безопасности положены процессы анализа и оценивания рисков. Для их реализации применяются известные методы анализа и оценивания рисков, основанные на экспертных оценках. Часто в процессе оценивания возникают ситуации, при которых эксперт не всегда четко может оценить ту или иную уязвимость ресурсов информационных систем. В связи с этим целесообразно использовать соответствующие базы данных уязвимостей. Существующие подходы пока не позволяют эффективно решать поставленную задачу. Для этого предлагается качественно-количественный метод оценивания рисков. Он, в отличие от известных методов, путем использования оценок, которые предоставляются в существующих базах данных, позволяет автоматизировать процесс оценивания рисков и не привлекать для этого экспертов соответствующей предметной области.