Разумеется, в столь лаконичном пособии авторы не смогли рельефно показать всю глубину и широту затронутой проблемы. Поэтому уместно было бы в заключении обратить внимание читателя на ряд сущностных аспектов, указывающих на границы данной научной области и перспективы ее развития. В этой связи обозначим три концептуальные идеи:
Представив огибающие шанса и риска в единичном квадрате (имеется в виду нормировка их значений), можно весьма наглядно пояснить их сущность. Дело в том, что в результате всякого опыта мы как бы ”стреляем дуплетом из двустволки”. Левым стволом – попадаем в четверьплоскость риска, а правым – в четверть плоскость шанса. Опыт будет тем успешнее, чем выше значение дохода и меньше значение ущерба, что характеризует полезность системы (меткость и удачливость стрелка из двустволки). При этом, так же следует учесть затраты на ее функционирование (игра должна стоить свеч). Вышеизложенное наглядно свидетельствует в пользу необходимости совместного учета (комплексной оценки) шансов и рисков систем.
шанс
1
ущерб
1
1 польза
риск
1
У будущего есть одно свойство: стоит в него только заглянуть, как оно тут же меняется. Поэтому прогнозирование на основе «шансориска» обязательно должно учитывать временную динамику процесса. В данном случае угадывание (обоснование) ориентации вектора изменения случайных переменных и их будущих значений является «высшим пилотажем» предсказания. Интуитивно эффективность системы с точки зрения «шансориска» наиболее высока в период «зрелости» ее жизненного цикла. На этапе «заката», очевидно возрастают риски (приближается точка бифуркации) и убывают шансы системы. Такая картина возможна также в период активизации деструктивно деятельности инсайдеров внутри системы и/или давления конкурирующих систем извне. Огибающая «шансориска» в этом случае изменяется таким образом, что смещаются экстремумы риска (к единице) и шанса (к нулю).
Именно поэтому для технических систем обозначают время безотказной работы, а в рамках социальных систем существуют медико-биологические (возрастные) цензы трудовой деятельности. Разные режимы функционирования обеспечивают максимальную эффеективность в различные периоды жизни системы. Таким образом, временную динамику «шансориска» безусловно следует учитывать и прогнозировать.
Кажется, мы находимся на пороге аналитического конструирования систем с заданным «шансориском». Разумется, это качественно иная, более сложная задача. Однако некоторые предпосылки для ее успешного решения имеются. Пусть задан набор элементов, «шансориски» которых известны. Компонуя эти элементы во времени и в пространстве (образуя систему), мы получаем некий результирующий «шансориск» системы.
Поскольку огибающая «шансориска» может быть получена из известных законов распределения вероятности (плотностей вероятности), то набор следует осуществлять с использованием функции данного типа.
Открывается перспектива в заданных интервалах ущерба (пользы) получать линейные участки (при определенной неравномерности) зависимости вероятности или риска (шанса) от ущерба. Если удастся решить для них задачи аппроксимации, имея ввиду заданные уровни неравномерности (как это делается, скажем, в теории фильтров), то возможен весьма заманчивый результат, имеющий вполне реальный практический ракурс. Хочется верить, что такая перспектива не утопична.
Вышеприведенные соображения подчеркивают актуальность, широту и перспективность научного направления, которое развивает настоящая монография, а изложенные идеи могут рассматриваться как векторы дальнейших фундаментальных и прикладных исследований.
Настоящая монография в какой-то степени может претендовать на роль «пионерской». Представляется, что она своим аналитическим локализмом и существенной общностью будет полезна как для специалистов информационной сферы, так и для экономистов, медиков и социологов.
Монографию подготовили сотрудники кафедры «Системы информационной безопасности» Воронежского государственного технического университета и она является результатом исследований в данной области, инициированных Общественной палатой Воронежской области. Хочется пожелать им, чтобы данный труд нашел своего читателя среди ученых, практиков, аспирантов и студентов.
Профессор А.Г. Остапенко
Александров В.В., Болтянский В.Г., Лемак С.С., Парусников Н.А., Тихомиров В.М. Оптимальное управление движением – М.: ФИЗМАТЛИТ, 2005. – 376 с.
Алексеев В.М., Тихомиров В.М., Фомин С.В. Оптимальное управление. – М.: Наука. Главная редакция физико-математической литературы, 1979 – 432 с.
Алымов В.Т. Техногенный риск: Анализ и оценка: учеб. пособие: допущено УМО. – М.: Академкнига – 118 с.
Альгин А.П. Риск и его роль в общественной жизни. – М.: Мысль, 1989 – 187 с.
Асташкин В.П. Надежность и техногенный риск: Учеб. пособие / В.П.Асташкин.– Воронеж: ВГТУ, 2002 .– 127с.
Балабанов И.Т. Основы финансового менеджмента. – М.: Финансы и статистика, 1998. – 480 с.
Балабанов И.Т. Риск-менеджмент. – М.: Финансы и статистика, 1996. – 192 с., ил.
Балдин К.В., Воробьев С.Н. Риск-менеджмент: Учебное пособие. – М.: Гардарики, 2005. – 285 с: ил.
Балдин К.В., Воробьев С.Н. Управление рисками: Учеб. пособие для студентов вузов, обучающихся по специальностям экономики и управления (060000). – М.: ЮНИТИ-ДАНА, 2005. – 511 с.
Балдин К.В. Управление рисками и выбор стратегии // Высшее образование сегодня. – Реферируемое издание ВАК России. – Б.м. – 2005.– № 11. – С. 36-38.
Банди Б. Методы оптимизации. Вводный курс: Пер. с англ. связь, 1988. – 128 с: ил.
Баранин В. Н. Экономика чрезвычайных ситуаций и управление рисками: учеб. пособие для вузов и системы повышения квалификации / под ред. А. Я. Корольченко. – М.: Пожнаука, 2004. – 327 с.
Баранов А. П., Зегжда П. Д., Корт С. С. и др. Теоретические основы информационной безопасности (дополнительные главы). – СПб., СПбГТУ, 1998. – 174 с.
Баранов В.В. Процессы принятия управляющих решений, мотивированных интересами. – М.: ФИЗМАТЛИТ, 2005. – 296 с.
Бартон Т.Л., Шенкир У.Г., Уокер П.Л. Риск-менеджмент: практика ведущих компаний. – М.: Вильямс, 2008 . – 207 с.
Бершадский А.В. Что могут дать технологии управления рисками современному бизнесу? //Управление и обработка информации: модели процессов: Сб. ст. /МФТИ. – М., 2001. – С.34-51.
Бешелев С.Д. Гурвич С.Д. Математическо-статистические методы экспертных оценок. М.: «Статистика», 1980. – 263 с.
Бешелев С.Д. Математико-статистические методы экспертных оценок.– М.: Статистика, 1990. – 287 с.
Буянов В.П., Кирсанов К.А., Михайлов Л.А. Рискология: Управление рисками – М.: Экзамен, 2002 .– 382 с.
Буянов В.П., Хачатрян С.Р., Пинегина М.В. Методы и модели решения экономических задач. – М.: Издательство «Экзамен», 2008. – 383 с.
Вентцель Е.С. Теория вероятностей: Учеб. для вузов. – 5-е изд. стер. – М.: Высш. школа, 1998. – 576 с., ил.
Вентцель Е.С., Овчаров Л.А. Теория вероятностей и ее инженерные приложения. Учеб. пособие для втузов. – 2-е изд., стер. – М.: Высш. шк., 2000. – 480 с: ил.
Вентцель Е.С., Овчаров Л.А. Теория вероятностей. – М.: Наука, 1969. – 368 с, ил.
Вентцель Е.С., Овчаров Л.А. Теория случайных процессов и ее инженерные приложения. – Учеб. пособие для втузов. – 2-е изд., стер. – М.: Высш. шк., 2000. – 383 с: ил.
Вишняков Я.Д., Радаев Н.Н. Общая теория рисков: учеб. пособие для студ. высш. учеб. заведений. – М.: Издательский центр «Академия», 2007. – 368 с.
Воронцовский А.В. Управление рисками: Учеб. пособие – СПб.: Изд-во С.-Петерб. ун-та, 2000 .– 206 с.
Гаценко О.Ю. Защита информации. Основы организационного управления. – СПб.: Сентябрь, 2001. – 228с.
Гехер К. Теория чувствительности и допусков электронных цепей – М.: Советское радио, 1973. – 200 с.
Глущенко В.В. Управление рисками: Страхование. – Железнодорожный: Крылья, 1999.– 334 с.
Гончаренко Л.П., Филин С.А. Риск-менеджмент: учебное пособие / Рос. экон. акад. им. Г.В. Плеханова; под ред. Е.А. Олейникова . – Изд. 2-е, стер. – М. : КНОРУС, 2007 . – 215 с.
ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий».
ГОСТ Р ИСО/МЭК 17799-2005. «Информационная технология. Практические правила управления информационной безопасностью»
ГОСТ Р ИСО/МЭК 18045 «Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий».
ГОСТ Р ИСО/МЭК 27001-2005. «Информационные технологии. Методы защиты. Системы менеджмента защиты информации. Требования».
ГОСТ Р ИСО/МЭК ТО 19791 «Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем».
Гостехкомиссия России. Руководящий документ. Автоматизированные системы, защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации, 1997.
Гражданкин А.И. Риск аварии и оценка нежелательных потерь // Безопасность жизнедеятельности. – Б.м. – 2002 . – N 11 . – С.7-11.
Гранатуров В.М., Мартюченко О.Ю. Социальные модели рисков и их связь с изменениями в социальной структуре общества. – Саратов, 2004. – 35 с.
Гранатуров В.М. Проблемы оценки и учета экономического риска при принятии рыночных решений // Маркетинг в России и за рубежом. — 1998. – № 6. – С. 31-36.
Гранатуров В.М. Экономический риск: сущность, методы измерения, пути снижения : Учеб. пособие. – 2-е изд., перераб. и доп. – М.: Дело и Сервис, 2002 . – 159 с.
Губко М.В. Отношения предпочтения и функция полезности. – М.: Институт системного анализа РАН, 1998. – 455 с.
Денисов Д.В. Актуарная математика. М. – 2000, 101 с.
Долматов А.С. Математические методы риск-менеджмента: учебное пособие. – М.: Издательство «Экзамен», 2007. – 319 с.
Долматов А.С. Математические методы риск-менеджмента: учебное пособие для студентов, обучающихся по специальности "Финансы и кредит" – М.: Экзамен, 2007.– 319 c.
Домарев В.В. Безопасность информационных технологий. Системный подход. – ТИД «ДС», 2004 – 212 с.
Енгалычев О.В. Риск-менеджмент: его роль и составляющие. // Газовая промышленность . – Б.м. – 2005 . – N 1 . – С. 21-23.
Жуковский В.И., Жуковская Л.В. Риск в многокритериальных и конфликтных системах при неопределенности. М.: Едиториал УРСС, 2004 . – 267с.
Захаров С.А., Медведев Н.В., Румянцев Н.В.. Нечеткие множества и лингвистические комбинации в анализе рисков: Учебное пособие. – М.: Изд-во Московского государственный технический университет им. Н.Э.Баумана, 2005г. – 75 с., ил.
Зражевский В.В. Основы направления совершенствования системы управления рисками // Банковское дело. – 2002. – №2. – С.28-30.
Зубов И. В. Методы анализа динамики управляемых систем. – М.: ФИЗМАТЛИТ, 2003. – 224 с.
Измаилов А. Ф. Чувствительность в оптимизации. – М.: ФИЗМАТЛИТ, 2006. – 248 с.
Иода Е.В. Кузнецова В.Б. Управление рисками предприятия: теория и практика страхования рисков – Тамбов: Изд-во Тамб. гос. техн. ун-та, 2003. – 132 с.
Ковалевич О.М. Риск в техногенной сфере / О. М. Ковалевич . – М.: Изд. дом МЭИ, 2006. – 151 с.
Корт С.С. Теоретические основы защиты информации: учебное пособие для студ. вузов, обуч. по группе специальностей в обл. информ. безопасности. – М.: Гелиос АРВ, 2004. – 233 с.: ил.
Кричевский Н.А. Страхование как составная часть риск-менеджмента // Аудитор.– Б.м. – 2004 .– N8 .– С.41-48.
Лисицына Е.В. Технология риск-менеджмента // Упр.риском .– Б.м. – 2004. – N1. – С.11-14.
Максимов В.И., Никонов О.И. Моделирование риска и рисковых ситуаций: Учебное пособие. Екатеринбург: ГОУ ВПО УГТУ-УПИ, 2004. – 82 с.
Малашихина Н.Н., Белокрылова О.С. Риск-менеджмент: учебное пособие для вузов – Ростов-н/Д: Феникс, 2004 . – 317 с.
Марков А., Цирлов В. Управление рисками – нормативный вакуум информационной безопасности. //Открытые системы – №8 – 2007.
Мельников А.В. Риск-менеджмент: Стохаст. анализ рисков в экономике финансов и страхования. – М.: Анкил, 2001 . –112 с.
Мур, А. Руководство по безопасности бизнеса: Практ.пособие по управлению рисками: Пер.с англ. – М.: Филинъ, 1998. – 328 с.
Найт Фрэнк Хейнеман. Риск, неопределенность и прибыль / Акад. нар. хоз-ва при Правительстве Рос. Федерации; пер. с англ. М.Я. Каждана; науч. ред. пер. В.Г. Гребенников. – М.: Дело, 2003 . – 359 с. : ил.
Никонов В.О. Системное управление рисками информационной безопасности в Банке24.ру на основе международного стандарта ISO 27001:2005 // Бизнес и безопасность в России – № 52. – 2009. – С. 48-55.
Ожегов С.И. Словарь русского языка. – М.: Советская энциклопедия, 1970. – 900 с.
Оранжевая книга. Критерии оценки надежных компьютерных систем Министерства обороны. Department Of Defense Trusted Computer System Evaluation Criteria, (DoD 5200.28-std).
Остапенко Г.А. Оценка рисков и защищенности атакуемых кибернетических систем на основе дискретных распределений случайных величин. //Информация и безопасность: Регион. науч.-техн. журнал. - Воронеж. 2005. Вып. 2. - С. 70 – 75.
Остапенко О.А. Методология оценки риска и защищенности систем. //Информация и безопасность: Регион. науч.-техн. журнал. - Воронеж. 2005. Вып. 2. - С. 28 – 32
Остапенко О.А., Карпеев Д.О., Асеев В.Н., Морев Д.Е., Щербаков В.Б. Риски систем: оценка и управление / под. ред. Ю. Н. Лаврухина, А. Г. Остапенко. – Воронеж: Междунар. ин-т компьют. технологий, 2007. – 261 с.
Петренко А.А., Петренко С.А. Оцени свой риск // IT Manager. – № 6. – 2002. – С. 42-48.
Петренко С.А. Управление информационными рисками. Экономически оправданная безопасность. – М.: Компания АйТи; ДМК Пресс, 2004. – 384 с.: ил.
Петренко С.А. Современная концепция безопасности корпоративных компьютерных систем // Конфидент. Защита информации. – № 6. – 2000. – С. 79-83.
Петренко С.А. Управление информационными рисками компании // Экспресс-электроника. – № 2-3. – 2002. – С. 106-113.
Пикфорд, Д. Управление рисками / Пер.с англ.О.Н.Матвеевой .– М.: Вершина, 2004. – 352с
Построение экспертных систем / Под ред. Ф. Хейеса-Рота. – М.: Мир, 1987. – 370 с.
Просветов Г.И. Управление рисками. Задачи и решения. – Учебно-практическое пособие. – М.: Издательство «Альфа-Пресс», 2008. – 416 с.
Райзберг Б.А. Предпринимательство и риск. – М.: Знание, [1992] .– 61 с.
Риск-менеджмент = Risk management: Учеб. / И. Ю. Юргенс ; Ред. И.Ю. Юргенс . – М. : Дашков и К°, 2003 . – 493 с.
Розенвассер Е.Н., Юсупов Р.М. Чувствительность систем управления – М.: Наука, Главная редакция физико-математической литературы. 1981. – 464 с.
Роик В.Д. Профессиональный риск: оценка и управление. – М.: Анкил, 2004 . – 222 с.
Рыхтикова Н.А. Анализ и управление рисками организации: учебное пособие для студентов, обучающихся по специальностям "Финансы и кредит", "Бух. учет, анализ и аудит". – М.: ФОРУМ : ИНФРА-М, 2007. – 239 с.
Симонов С.В. Анализ рисков в информационных системах. Практические аспекты // Конфидент. Защита информации. – № 2. – 2001. – С. 48-53.
Симонов С.В. Анализ рисков, управление рисками //Jet Info. – № 1. – 1999. – С. 3-28.
Симонов С.В. Аудит безопасности информационных систем //Jet Info. –№ 9. – 1999. – С. 3-24.
Симонов С.В. Методология анализа рисков в информационных системах // Конфидент. Защита информации. – № 1. – 2001. – С. 72-76.
Симонов С.В. Технологии аудита информационной безопасности // Конфидент. Защита информации. – № 2. – 2002. – С. 36-41.
Симонов С.В. Технологии и инструментарий для управления рисками //Jet Info. – № 2. – 2003. – С. 3-32.
Советский энциклопедический словарь. Гл. ред. А.М. Прохоров. Изд. 4-е. М., Советская энциклопедия, 1987. 1599 с.
Соловьев В.И. Математические методы управления рисками: Учебное пособие / ГУУ. – М., 2003 – 100 с.
Станиславчик Е.Н. Риск-менеджмент на предприятии: Теория и практика. – М.: Ось-89, 2002 .– 80 с.
Ступаков В.С., Токаренко Г.С. Риск-менеджмент: учебное пособие для студ. вузов. М.: Финансы и статистика, 2005 . – 281 с.
Управление риском. Риск, устойчивое развитие, синергетика. – М.; Наука, 2000. – 432 с.
Уткин Э.А. Риск - менеджмент: Учебник. / Ассоц. авт. и изд. "ТАНДЕМ" – М.: Б.и., 1998 . – 287 с.
Уткин Э.А., Фролов Д.А. Управление рисками предприятия : Учебно-практическое пособие.– М.: ТЕЗИС, 2003 .– 247 с.
Федотов Н. В., Алешин В. А. Оценка и нейтрализация рисков в информационных системах: Методическое пособие по курсу «Основы информационной безопасности»/ Под ред. Н.В. Медведева. – М.: Изд-во МГТУ им. Н.Э.Баумана, 2004, – 52 с., ил.
Филина Ф. Риск-менеджмент как способ снизить издержки предприятия // Финансовый менеджер. – Б.м. – 2007 . – N 7 .– С. 5-9.
Фомичев А.Н. Риск-менеджмент: Учеб. пособие. – М.: Дашков и К°, 2004 . – 291 с
Хохлов, Н.В. Управление риском: Учеб. пособие для вузов. – М.: ЮНИТИ, 2003. – 239с
Цымбал С.В. Управление рисками и конфликтами в процессе реализации проекта // Упр.риском.– Б.м. – 2003. – N2. – С.13-16 .
Чернова Г. В., Кудрявцев А. А. Управление рисками: учеб. пособие. – М.: ТК Велби, Изд-во Проспект, 2005. – 160 с.
Чернова Г.В. Практика управления рисками на уровне предприятия: Учеб. пособие – СПб. и др. : Питер, 2000 .– 172 с.
Четыркин Е.М. Финансовые риски: науч.-практич. пособие. – М.: Издательство «Дело» АНХ, 2008. – 176 с.
Чупров С.В. Риск и управление устойчивостью промышленного предприятия // Упр.риском .– Б.м. – 2004. – N2 .– С.20-24.
Шапкин А.С. Шапкин В.А. Теория риска и моделирование рисковых ситуаций: Учебник. – М.: Издательско-торговая корпорация «Дашков и Ко», 2005. – 880 с.
Шимко П. Д. Оптимальное управление экономическими системами: Учеб. пособие. – СПб.: Издательский дом «Бизнес-пресса», 2004. – 240 с.
Шинкаренко И.Э. Риск-менеджмент-философия управления рисками корпорации // Упр.риском .– Б.м. – 2004. – N2. – С.56-60.
Ярочкин В.Н. Безопасность информационных систем. – М.: Ось-89, 1996. – 320с.
Information security management systems – Part 3: Guidelines for information security risk management. British Standard BS 7799-3:2006.
Information technology - Code of practice for Information security management. International Standard ISO/IEC 17799:2000(E).
Information technology – Security techniques – Code of practice for information security management. International Standard ISO/IEC 17799:2005.
Information technology – Security techniques – Information security anagement systems – Requirements. International Standard ISO/IEC 27001:2005.
Information technology – Security techniques – Information security risk management. International Standard ISO/IEC 27005:2008.
Neil A. Doherty Integrated Risk Management. Techniques and Strategies for Managing Corporate Risk.
Risk Management Guide for Information Technology Systems. National Institute of Standards and Technology Special Publication 800-30, 54 pages (July 2002).
The SOMAP.org Open Information Security Risk Management Handbook Version 1.0, September 2006.
Thomas J. Linsmeier, Neil D. Risk Measurement: An Introduction to Value at Risk. Pearson University of Illinois at Urbana-Champaign. July 1996.
http://cve.mitre.org/
http://nvd.nist.gov/
http://webappsec.org/projects/threat/
http://www.first.org/cvss/
http://www.iso27000.ru/
http://www.ptsecurity.ru/
http://www.sans.org/newsletters/cva/
Введение 4
1. Арсенал риск-анализа (на примере информационных систем) 12
1.2. Современные стандарты в области управления рисками информационных систем 12
1.1.1. Международный стандарт ISO IEC 17799 и ГОСТ Р ИСО/МЭК 17799-2005 14
1.1.2. Международный стандарт ISO IEC 27001 и ГОСТ Р ИСО/МЭК 27001-2005 32
1.1.3. Британский стандарт BS 7799-3 «Руководство по управлению информационными рисками» 45
1.1.4. Стандарт США NIST 800-30 «Руководство по управлению информационными рисками IT-систем» 55
2.2. Экспертные методы оценки рисков 67
2. Риски и шансы: аналитический подход в методологии оценки 84
3.2. Понятие риска и шанса 84
2.1.1. Концепции оценки рисков и шансов 86
2.1.2. Обобщенная модель оценки риска и шанса 89
2.1.3. Вероятностная природа риска и шанса 91
2.1.4. Методы оценки риска и шанса 93
2.1.5. Формальное определение меры риска и шанса 96
2.1.6. Основные меры риска и шанса 98
2.1.7. Методы рационализации вычислений при расчете риска и шанса 106
1.2.8. Объективные и субъективные составляющие риска и шанса 111
4.2. Динамические характеристики риска и шанса 112
2.1.8. Базовое движение характеристик 112
4.1. Временная динамика характеристик 118
5.2. Меры эффективности на основе шанса и риска 130
3. Методическое и алгоритмическое обеспечение управления рисками и шансами. 147
6.2. Аналитические методы управления шансами и рисками 147
3.1.1. Понятия и обобщенная схема управления 147
3.1.2. Принципы принятия решений по управлению шансами и рисками 150
3.1.3. Основные критерии выбора оптимальных решений по управлению шансами и рисками 153
7.2. Постановка задачи управления рисками и шансами 157
3.1.4. Интересо-ориентированные системы в контексте постановки задачи управления рисками 157
3.1.5. Общий вид модели управления 161
3.1.6. Формализация управления 165
3.1.7. Критерий принятия решений при управлении на основе функций полезности 168
3.1.8. Динамические модели управления 171
8.2. Алгоритмы управления рисками и шансами 184
Послесловие редактора 201
Библиографический список 207
Учебное издание
Карпеев Дмитрий Олегович
Олейниченко Дмитрий Геннадьевич
Транин Валерий Александрович
СПецглавы математики
В авторской редакции
Компьютерный набор Д.Г. Олейниченко
Подписано к изданию 15.11.2011.
Объем данных 11700 Кб.
ФГБОУ ВПО «Воронежский государственный технический
университет»