Одним из ключевых вопросов в процессе организации информационной безопасности является оценка соответствия предъявляемым требованиям по защите инфраструктуры, а также реагирование на актуальные угрозы и риски. Данная оценка обеспечивается проведением соответствующего аудита. В отечественных и международных стандартах указываются различные методики по проведению аудита информационной безопасности, а также приводятся концептуальные модели построения процесса оценки. Однако к недостаткам этих стандартов можно отнести невозможность их углубленной адаптации в рамках отдельных информационных систем, а также частичное или полное отсутствие числовой оценки параметров безопасности, что в негативной форме может влиять на объективность оценки применяемых параметров и не отражать реальных угроз. В свою очередь адаптация числовых методов при анализе уровня зрелости процессов информационной безопасности позволяет решить ряд важных задач, например, автоматизацию процесса оценки, обеспечение более точного показателя выявления уязвимых компонентов информационной инфраструктуры, а также возможность интеграции полученных значений с иными процессами, направленными на нейтрализацию актуальных угроз безопасности со стороны злоумышленников. Целью настоящей работы являются анализ возможности применения числовой оценки уровня зрелости информационной безопасности, а также использование аппарата нечетких множеств при проведении аудита.
One of the key issues in the process of organizing information security is the assessment of compliance with the requirements for infrastructure protection, as well as response to current threats and risks. This assessment is ensured by conducting an appropriate audit. Domestic and international standards specify various methods for conducting an information security audit, and also provide conceptual models for constructing the assessment process. However, the disadvantages of these standards include the impossibility of their in-depth adaptation within individual information systems, as well as the partial or complete lack of a numerical assessment of security parameters, which can negatively affect the objectivity of the assessment of the parameters used and not reflect real threats. In turn, the adaptation of numerical methods in the analysis of the maturity level of information security processes allows solving a number of important problems, for example, automation of the assessment process, providing a more accurate indicator of identifying vulnerable components of the information infrastructure, as well as the ability to integrate the obtained values with other processes aimed at neutralizing current security threats from intruders. The purpose of this work is to analyze the possibility of using a numerical assessment of the maturity level of information security, as well as the use of fuzzy sets in the audit.
The authors declare that there are no conflicts of interest present.