ИССЛЕДОВАНИЕ МЕТОДИК ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
Введение
Появление новых технологий снижает уровень защищенности существующих систем. В связи с этим на первый план выходит необходимость формирования полного перечня угроз информации, однако данная проблема не имеет простого решения. Для решения этой задачи создаются различные модели угроз, в основе которых лежат всевозможные математические аппараты и информационные модели.
Значительный вклад в развитие теории и практики защиты информации в информационных системах, внесли: А.А. Грушо, Н.А. Гайдамакин, В.А. Герасименко, П.Д. Зегжда, А.М. Ивашко, С.М. Климов, И.Д. Королев, А.И. Костогрызов, А.С. Кузьмин, А.И. Куприянов, В.В. Меньших, О.Б. Макаревич, В.Ф. Макаров, С.Н. Новиков, А. М. Сычев, А.А. Стрельцов, Л.М. Ухлинов, А.В. Черемушкин, В.Ф. Шаньгин, и др. В их исследованиях разработана концепция защиты информации, обоснованы принципы обеспечения информационной безопасности и построения систем защиты информации объектов информатизации, а также сформулированы основы построения моделей угроз и нарушителей безопасности информации.
Цель работы: провести исследование методик оценки угроз безопасности информации.
Для достижения цели, необходимо решить ряд задач:
1) провести оценку актуальности угроз безопасности информации по методике ФСТЭК России; 
2) исследовать оценку угроз безопасности информации по ATT&CK Matrix for Enterprise; 
3) провести анализ методики оценки угроз безопасности информации по таксономии инцидентов Ховарда-Лонгстаффа; 
4) исследовать оценку угроз безопасности информации, основанную на модели безопасности.
1 Оценка актуальности угроз безопасности информации по методике ФСТЭК России
Исходными данными для оценки актуальности угроз безопасности информации являются [1]:
а) общий перечень угроз безопасности информации, содержащийся в банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), модели угроз безопасности информации, разрабатываемые ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085, а также отраслевые (ведомственные, корпоративные) модели угроз безопасности информации;
б) описания векторов компьютерных атак, содержащихся в базах данных и иных информационных источниках, опубликованных в сети «Интернет» (CAPEC, ATT&CK, OWASP, STIX, WASC и др.);
в) негативные последствия от реализации (возникновения) угроз безопасности информации, определенные в соответствии с методикой ФСТЭК России;
г) объекты воздействия угроз безопасности информации и виды воздействий на них, определенные в соответствии с методикой ФСТЭК России;
д) виды и категории актуальных нарушителей, которые могут реализовывать угрозы безопасности информации, в том числе непреднамеренные угрозы, и их возможности, определенные в соответствии с методикой ФСТЭК России;
е) актуальные способы реализации (возникновения) угроз безопасности информации.
Приведем пример определения актуальных угроз безопасности информации, определенный по методике ФСТЭК России, на примере условной организации «Х» (табл. 1) [2,3].
Таблица 1 Актуальные угрозы безопасности информации, определенные по методике ФСТЭК России
Методика оценки угроз безопасности информации ФСТЭК России имеет следующие достоинства и недостатки:
а) достоинства:
– методика ориентирована на оценку антропогенных угроз безопасности информации, возникновение которых обусловлено действиями нарушителей;
– методика разделяет угрозы на возможные и актуальные.
б) недостатки:
– методика имеет качественную оценку (экспертная оценка);
– методика не имеет возможности определения степени ущерба последствий реализации угрозы. 
2 Исследование оценки угроз безопасности информации 
по ATT&CK Matrix for Enterprise Матрица MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) – это глобально доступная база знаний о тактике и технике злоумышленника, основанная на реальных наблюдениях. Данная база знаний ATT&CK используется в качестве основы для разработки моделей и методологий угроз [4, 5].
Матрица позволяет строить модели угроз для разных типов компаний и показывать, какие из известных угроз можно закрыть конкретными решениями. В теории это выглядит так: компания, выбирающая решения для защиты своей инфраструктуры, проецирует возможности злоумышленника на матрицу ATT&CK и смотрит, какие актуальные угрозы остались незакрытыми.\
По данной методике рассмотрена база знаний и выбраны наиболее подходящие угрозы безопасности информации для условной организации «Х» (табл. 2).
Таблица 2 Анализ оценки угроз безопасности информации по ATT&CK Matrix for Enterprise [4]
Методика оценки угроз безопасности информации по ATT&CK Matrix for Enterprise имеет следующие достоинства и недостатки:
а) достоинства: 
– методика позволяет строить модели угроз для разных типов компаний и показывать, какие из известных угроз можно закрыть конкретными решениями. Помогает понять, какие инструменты используют злоумышленники, ознакомиться с их техниками и тактиками. Эти знания позволяют прогнозировать вероятную точку входа в организации. Активное и повсеместное применение базы знаний ATT&CK позволит унифицировать подход всего сообщества кибербезопасности — как бы поможет говорить на общем языке.
б) недостатки:
– методика имеет качественную оценку (экспертная оценка). 
3 Исследование оценки угроз безопасности информации, основанное на модели безопасности 
Третий вариант анализа оценки угроз безопасности информации основан на модели безопасности.
В данном способе для исследования оценки угроз безопасности информации используются такие характеристики, как мотивация, цели, уровень квалификации, используемые программно-технические средства, осведомленность (наличие достаточно необходимой информации об объекте разрушающего деструктивного воздействия (РДВ)), локация (пути проникновения в защищаемую сеть), пространственно-временные характеристики [6, 7].
В табл. 3 приведен анализ угроз безопасности информации по данным характеристикам для условной организации «Х» [6].
Таблица 3 Анализ угроз безопасности информации, основанный на модели безопасности 
Методика оценки угроз безопасности информации, основанный на модели безопасности имеет следующие достоинства и недостатки: 
а) достоинства: достаточно объемный перечень характеристик, по которым определяются угрозы; 
б) недостатки: методика имеет качественную оценку (экспертная оценка). 
4 Анализ методики оценки угроз безопасности информации по таксономии инцидентов Ховарда-Лонгстаффа 
Четвертый способ анализа методики оценки угроз безопасности информации проведён с помощью таксономии «Common Language for Computer Security Incidents (Общий язык для инцидентов компьютерной безопасности)», авторами которого являются Джон Ховард и Томас Лонгстафф. Данная таксономия была подготовлена в Национальной лаборатории Сандиа (Sandia National Laboratories) по заказу энергетического департамента правительства США и используется по настоящий момент [8, 9]. 
В таксономии авторы выделили семь характеристик, с помощью которых проводится анализ угроз безопасности информации: атакующий, средства, уязвимости, действия, объекты воздействия, результат несанкционированных действий, цели.
На основании данных характеристик был проведен анализ угроз безопасности информации на примере условной организации «Х» (табл. 4).
Таблица 4 Актуальные угрозы безопасности информации, определенные по таксономии инцидентов Ховарда-Лонгстаффа [8, 10]
Методика оценки угроз безопасности информации по таксономии инцидентов Ховарда-Лонгстаффа имеет следующие достоинства и недостатки:
а) достоинства: достаточно хорошая проработка категорий определения угроз; 
б) недостатки: 
– построение классификации для уже осуществленных атак; 
– методика имеет качественную оценку (экспертная оценка).
Заключение 
Исходя из проделанной работы при исследовании методик оценки угроз безопасности информации, были определены как достоинства, так и недостатки методики ФСТЭК России, ATT&CK Matrix for Enterprise, таксономии инцидентов Ховарда-Лонгстаффа, модели безопасности – каждая из них, имеет свою уникальность. Но при этом, все вышеперечисленные методики имеют один общий недостаток: качественную оценку (экспертную оценку) определения угроз безопасности информации. Как известно, данная оценка является неточной, так как носит субъективный характер.
На основании вышеизложенного, можно сделать вывод о том, что применение только качественных методик оценки угроз безопасности информации недостаточно, необходимо осуществлять количественную оценку, основанную на математических подходах. 