МЕТОДИКА ПОБУДОВИ СИСТЕМИ УПРАВЛІННЯ ІНФОРМАЦІЙНОЮ БЕЗПЕКОЮ НА ОСНОВІ МЕТОДІВ АНАЛІЗУ ІЄРАРХІЙ, МЕРЕЖЕВОГО АНАЛІЗУ ТА ТЕОРІЇ ІГОР В УМОВАХ ОБМЕЖЕНИХ РЕСУРСІВ

Анотація

В умовах цифровізації та швидкої еволюції кіберзагроз стає критично важливим побудова надiйної системи управління інформаційною безпекою (CУІБ). Наявні міжнародні та національні стандарти побудови СУІБ не враховують специфіки розподілу ресурсів, а лише вказують на важливість забезпечення ресурсами для створення, реалізації, підтримки та безперервного розвитку СУІБ, тобто прослідковується певний брак механізмів прийняття управлінських рішень та оптимізації виділених ресурсів. Тому актуальною залишається проблема ідентифікації, розподілу та раціонального використання ресурсів для досягнення достатнього рівня ефективності СУІБ. Крім того, при імплементації СУІБ на базі будь-якої з методик, одним із найскладніших кроків є визначення та інтеграція дієвих заходів і інструментів інформаційного захисту. У цьому контексті відчувається нестача практичних та методичних інструментів для оптимізації, адже навіть за умов істотних вкладень і широкомасштабного впровадження засобів захисту інформації (ЗЗІ) виникає сумнів щодо доцільності та ефективності таких рішень. У роботі запропоновано методику побудови СУІБ, що поєднує метод аналізу ієрархій (МАІ), методи аналізу мереж (МАМ) та математичний апарат теорії ігор для вибору оптимальної базової методики і засобів захисту в умовах обмежених ресурсів та наявних загроз. Запропонований підхід також передбачає використання мережевого аналізу для моделювання проєкту з урахуванням строків, витрат, ресурсів та можливих сценаріїв реалізації. Методика включає побудову мережевої моделі проєкту, розрахунок критичного шляху, виявлення критичних та некритичних робіт, аналіз часових резервів, варіантів прискорення проєкту і визначення впливу прискорення на загальну вартість. Запропоновано спосіб порівняльної оцінки кількох сценаріїв реалізації проєкту: при звичайних строках, при прискоренні лише критичних робіт, а також при прискоренні всіх або лише некритичних робіт. У результаті отримано графіки розподілу ресурсів у часі, фінансових витрат та залученості людського ресурсу, що дозволяють приймати більш зважені управлінські рішення. Методика є практичним інструментом для Chief Information Security Officer (CISO) та керівників, що дозволяє визначити оптимальний обсяг інвестицій на кожному етапі проєкту СУІБ та обґрунтовано аргументувати потребу в ресурсах, забезпечуючи баланс між ефективністю та витратами.