кандидат технических наук;
candidate of technical sciences;
доктор химических наук;
doctor of chemical sciences;
Рассматривается задача формирования показателя защищенности информационных систем как инструмента оценки текущего состояния защиты информации. Актуальность исследования обусловлена необходимостью перехода от частных результатов контроля и мониторинга к единой интегральной количественной оценке. Предложена математическая модель показателя, включающая базовую интегральную оценку состояния защищенности и корректирующий коэффициент, учитывающий интегральный показатель остаточного риска. Базовая часть строится на основе взвешенного геометрического среднего частных критериев, отражающих состояние ключевых направлений защиты: выявление угроз и управление уязвимостями, контроль конфигураций и обновлений, управление доступом, мониторинг информационной безопасности, результаты контроля уровня защищенности и способность системы к восстановлению значимых функций. Интегральный показатель остаточного риска характеризует факторы, сохраняющие негативное влияние на состояние защиты информации после учета базовых характеристик защищенности. Научная новизна работы состоит в формализации процедуры расчета показателя защищенности автоматизированных информационных систем в виде аналитической модели, учитывающей как уровень реализации процессов защиты, так и влияние остаточного риска. Практическая значимость заключается в возможности применения подхода при внутреннем контроле защищенности, анализе динамики состояния систем, подготовке управленческих решений и автоматизированном расчете показателя.
The article considers the problem of forming a security index for information systems as a tool for assessing the current state of information protection. The relevance of the study is determined by the need to move from partial control and monitoring results to a unified integral quantitative assessment. A mathematical model of the index is proposed. The model includes a basic integral assessment of the security state and a corrective coefficient that takes into account an integral residual risk indicator. The basic part is constructed using a weighted geometric mean of partial criteria reflecting key areas of protection: threat identification and vulnerability management, configuration and update control, access management, information security monitoring, security-level control results, and the ability of the system to restore significant functions. The residual risk indicator characterizes factors that continue to have a negative impact on the state of information protection after the basic security characteristics have been taken into account. The novelty of the study lies in the formalization of the procedure for calculating the security index of automated information systems in the form of an analytical model that takes into account both the level of implementation of protection processes and the impact of residual risk. The practical significance lies in the possibility of applying the approach to internal security control, analysis of system dynamics, managerial decision-making, and automated calculation of the index.