103
Состав нечеткой когнитивной модели оценки возможного уровня качества
образовательной информационной системы в случае реализации угроз может быть
описана в виде кортежа:
<
D
,
G
,
P
,
V
,
Alg
,
>,
(1)
где
D
– исходные сведения, необходимые для оценки качества ОИС;
G
– граф с
отсутствующими горизонтальными ребрами на любом из уровней иерархической
структуры;
P
– выраженная словесным образом переменная,
которая дает
возможность представить в формальном виде вербальные экспертные оценки
значений в
G
;
V
– веса ребер графа
G
, которые определяют собой влияние
параметров на следующие уровни иерархии;
Agl
– алгоритм вычисления значений
параметров на любых иерархических уровнях графа
G
;
-
мера схожести для
вербального распознавания итогов математических процедур.
Граф
G
НКМ представлен на рисунке 1.
Рисунок 1 – Граф G НКМ оценки возможного уровня качества ОИС в случае
реализации атаки на информационные активы учреждения
На самом верхнем уровне графа
G
находится
Quality
– значение совокупного
параметра качества ОИС. На втором следующем за ним уровне: параметры, которые
образуют комплексный критерий качества, показанные в формуле 1. Третий и
четвертый уровень характеризуют составные элементы критериев качества.
Пятый уровень графа
G
представлен потенциально возможными повреждениями
структурных компонентов образовательной информационной системы
Pov
{1,2,3,…}
,
которые становятся следствием реализации атак на
информационные активы ОИС
Atr
{1,2,3,…}
. Атаки же в свою очередь выступают следствием реализации угроз ОИС
Thr
{1,2,3,…}
через уязвимости ОИС
Vul
{1,2,3,…}
. Последний уровень графа
G
есть
совокупность СЗИ
Sc
{1,2,3,…}
[1-2]
. .
Анализ научной литературы, связанной с вопросами обеспечениями
информационной безопасности [3-4] дал возможность выявить типовые значения
элементов множеств
Pov
{1,2,3,…},
Atr
{1,2,3,…},
Thr
{1,2,3,…},
Vul
{1,2,3,…},
Sc
{1,2,3,…}.
Важно
отметить, что этот набор является не окончательным, и может быть
дополнен или изменен в зависимости от требований и условий конкретной
образовательной организации.
Практика показывает, что угрозы имеют тесную взаимосвязь друг с другом, в
результате чего появление уязвимости в системе защиты ОИС по отношению к
одной угрозе приводит к повышению вероятности возникновения другой или даже
нескольких угроз.
При
этом важно учесть, что негативное воздействие на активы чаще всего
104
осуществляется путем несанкционированного доступа, когда доступ выходит за
рамки разрешенных полномочий пользователей. Также актуальными являются
угрозы психологического воздействия на сотрудников, взаимодействующих с ОИС.
Это может быть шантаж, моральное давление,
угрозы физического насилия, в том
числе на родственников пользователей. Эти аспекты необходимо учитывать и с
теоретической, и с практической точки зрения [4].
После оценки возможного уровня качества ОИС в случае реализации атаки ЛПР
решает вопрос о целесообразности его повышения. Этот процесс осуществляется на
основе результатов сравнения необходимого уровня качества ОИС с возможным.
Сравнение осуществляется путем нахождения абсолютного отклонения
:
,
(2)
где
– возможный уровень качества ОИС в случае реализации атаки;
- желаемый уровень качества ОИС.
Показатель
представляет собой нечеткую величину. Чтобы привести ее к
количественному отображению
, необходимо выполнить дефаззификацию.
Дефаззификация (от англ.
defuzzification
) - это преобразование нечеткого множества
в четкое число. Простейшим способом выполнения этой
операции является выбор
четкого числа, соответствующего максимуму функции принадлежности. Для этих
целей целесообразно применить метод центроидов, в рамках которого вычисляется
центроид трапеции:
∫
∫
, где
– результат процедуры деффазификации;
a
1
и
a
4
– абсциссы нижнего основания нечеткого числа;
- ее функция
принадлежности.
В случае, если вычисленная
не удовлетворяет желанию ЛПР ОИС, то проводится
процедура по повышению возможного уровня качества
ОИС в случае реализации
атак на требуемый уровень и в дальнейшем перерасчет величины
.
Учитывая описанную выше схему управления качеством ОИС, процедура
повышения возможного уровня качества может происходить на этапах
планирования, модернизации и эксплуатации. При этом важно отметить, что
повышение возможного уровня качества ОИС в случае реализации атаки
предполагает изменения не только с целью
ликвидации или уменьшения
имеющихся уязвимостей или воздействия угроз на ОИС, но и с целью снижения
стоимости эксплуатации ОИС и повышению социально-экономического эффекта.
