Методика разработки программы аудита информационной безопасности с учетом весовых коэффициентов значимости свидетельств аудита на основе метода анализа иерархий

Воеводин Владислав Александрович; Маркин Павел Владиславович; Маркина Мария Сергеевна; Буренок Дмитрий Сергеевич

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

УДК 004.056

Методика разработки программы аудита информационной безопасности с учетом весовых коэффициентов значимости свидетельств аудита на основе метода анализа иерархий

Воеводин В. А., Маркин П. В., Маркина М. С., Буренок Д. С.

Постановка задачи. Аудит информационной безопасности (АИБ), по определению, представляет сбой систематический, независимый и документированный процесс получения объективного свидетельства и его объективной оценки для определения степени, с которой выполнены критерии аудита. Для достижения цели АИБ выделяется соответствующий ресурс и разрабатывается программа аудита, представляющая собой совокупность взаимоувязанных единой целью аудиторских процедур по добыванию объективных свидетельств аудита (СА), запланированных на конкретный период времени. В подавляющем большинстве случаев СА не поддаются оценке в количественных (метрических) шкалах, поэтому чаще применяются качественные (не метрические) шкалы и соответствующие им процедуры наблюдения, измерения, испытания, ставящие в соответствии со свойствами, ситуациями, событиями или процессами, связанными с объектом аудита (ОА), тот или иной элемент шкалы, как знаковой системы. В таких случаях применение инструментальных методов не всегда оправдано и возможно, поэтому для результативного и эффективного АИБ основными методами добывания СА и получения результатов их оценки на предмет соответствия критериям аудита являются экспертные методы. У каждого из экспертных методов есть свои преимущества и недостатки, но в целом, если их применять корректно, они позволяют получить достаточно объективные оценки. С целью обоснования выбора были проведены исследования возможностей методов парных сравнений и метода ранжирования. Однако названные методы позволяют получить лишь альтернативные экспертные оценки значимости СА и выбрать из пары наиболее информативное. Чтобы избежать потери информации из-за грубого сравнения были исследованы возможности метода анализа иерархий (МАИ), который позволяет учесть более тонкие предпочтения экспертов. Цель работы. Целью работы является проектирование методики разработки программы аудита информационной безопасности с учетом весовых коэффициентов значимости СА на основе метода анализа иерархий (методика). Используемые методы. Выбор методов для достижения цели основывался на публикациях в данной области, а также на результатах исследований, проводившихся авторским коллективом, ссылки на которые приведены в библиографии. В основе Методики лежит систематизация методических приемов МАИ и их практическое приложение для оценки весовых коэффициентов значимости СА, метод натурного эксперимента, методы системного анализа, экспертные методы. Новизна. Представлен авторский подход к систематизации и классификации СА, в результате чего множество СА преобразуется в кортеж, на базе которого строится ПА. Приведены новые вербальное и формальное описания проблемной ситуации и постановка задачи применения МАИ для построения ПА, разработана процедура расчета весовых коэффициентов значимости СА. Практическая значимость. Полученная методика, реализованная в виде совокупности компьютерных программ и включена в состав специализированного учебно-методического комплекса и в рабочую программу учебной дисциплины «Организация аудита информационной безопасности» при подготовке специалистов в области защиты информации по специализации «Аудит информационной безопасности». В перспективе методику планируется адаптировать и внедрить в деятельность лица, управляющего программой аудита для практического применения.

Ключевые слова: аудит, информационная безопасность, объективное свидетельство аудита, метод анализа иерархий, методика, модель объекта аудита, программа аудита информационной безопасности.

Библиографическая ссылка на статью:

Воеводин В. А., Маркин П. В., Маркина М. С., Буренок Д. С. Методика разработки программы аудита информационной безопасности с учетом весовых коэффициентов значимости свидетельств аудита на основе метода анализа иерархий // Системы управления, связи и безопасности. 2021. № 2. С. 96-129. DOI: 10.24412/2410-9916-2021-2-96-129. Reference for citation:

Voevodin V. A., Markin P. V., Markina M. S., Burenok D. S Technique for developing an information security audit program taking into account the weight coefficients of certificates audit based on the hierarchy analysis method. Systems of Control, Communication and Security, 2021, no. 2, pp. 96-129 (in Russian). DOI: 10.24412/2410-9916-2021-2-96-129.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Актуальность

Достоверные и полные сведения об объекте информатизации лежат в основе решения по применению сил и средств информационной безопасности (ИБ). Для добывания таких сведений выделяется специальный ресурс и организуется, и проводится аудит информационной безопасности (АИБ, далее, в рамках настоящей статьи - аудит) соответствующего объекта информатизации, который позиционируется как объект аудита (ОА).

Основным организационно-распорядительным документом, в соответствии с которым организуется аудит, является программа аудита (ПА) см. ISO 19011:2018 и [30-32]. ПА содержит временные рамки и объем аудита, содержание аудиторских процедур, перечень ресурсов, необходимых для достижения цели аудита. По своему содержанию она является набором инструкций для аудиторов, а также средством контроля и проверки качества его проведения. Разработка ПА является важным и самостоятельным этапом организации и проведения АИБ.

Разработка ПА осуществляется в соответствии с рекомендациями, приведенными в [30-32]:

1. Постановка задачи: уяснение требований заказчика АИБ, формулирование и согласование с заинтересованными сторонами цели, показателей и критериев аудита.

2. Определение области АИБ: формирование совокупности объективных СА, которые необходимо добыть для вывода аудиторского заключения (АЗ), а также определение границ аудита.

3. Оценка требуемых ресурсов.

4. Оценка внешних и внутренних факторов, влияющих на организацию и проведение аудита, а также рисков и возможностей, связанных с реализацией ПА.

5. Разработка инструкций для аудиторов по добыванию соответствующих объективных свидетельств аудита (СА), вывода на их основе аудиторских доказательств (АД), а на их основе АЗ в целом.

Результаты решения задач по формированию совокупности СА, включаемых в ПА, а также определения границ аудита служат исходными данными для принятия решения лицом, управляющим программой аудита.

Анализ современных работ зарубежных [2-4] и отечественных [5-8] ученых и практиков в области аудита и экспертных методов свидетельствует, что, наряду с достигнутыми существенными достижениями в области организации и проведения АИБ, недостаточно полно, для практического применения, проработан вопрос определения весовых коэффициентов значимости СА и использования этих знаний для разработки ПА. Актуальность решения данной задачи усиливается при ограничении ресурса, выделяемого для организации и проведения АИБ. Зная весовые коэффициенты значимости, лицо, управляющее программой аудита, может мотивированно отдавать приоритет СА для включения в ПА.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

В результате внедрения Методики представляется возможным целенаправленно управлять разработкой ПА и аудиторским риском. Общие постановки задачи по разработке ПА:

а) при фиксированном уровне достоверности АЗ, найти такую ПА, для реализации которой требуются минимальные ресурсы, при которых достигается требуемая достоверность АЗ. Сравнить требуемые ресурсы с выделенными и принять решение о целесообразности заключению договора с Заказчиком о проведении АИБ, при необходимости мотивировать его к увеличению ресурсов или изменению требований к достоверности АЗ;

б) при фиксированных ресурсах, найти такую ПА, при реализации которой обеспечивается максимальный уровень достоверности АЗ, сравнить с требуемым и принять решение о целесообразности заключения договора с заказчиком о проведении АИБ. Если в рамках выделенных ресурсов не представляется возможным найти ПА, удовлетворяющую данным требованиям, то мотивировать Заказчика, либо увеличить ресурс, либо снизить требование к достоверности АЗ.

Результаты анализа действующих стандартов в области обеспечения ИБ и организации аудита ИБ, позволяют утверждать, что в настоящее время эти стандарты в большинстве своем содержат ответ на вопрос «Что нужно делать?», а методическая составляющая, «Как это делать?», часто остается за рамками их содержания. Поэтому была предпринята попытка компенсировать, от части, этот разрыв.

В основу статьи положено развитие более ранних работ авторского коллектива в соавторстве и по отдельности [17, 19, 23, 24, 28, 29, 41, 42], а также известные работы в смежной области - аудита достоверности финансовой отчётности [39, 40, 41]. Основные идеи публикации базируются на результатах исследований в области АИБ [7, 8, 9, 33-38].

С учетом того, что акцент в данной статье сделан именно на разработку ПА с учетом весовых коэффициентов значимости СА, использовались результаты исследований, посвященные практическому тестированию систем на проникновение и, так называемому, инструментальному аудиту [10-15]. Для рассмотрения относительно новой области организации аудита ИБ посредством разработки ПА обладающей минимальным аудиторским риском использовались работы [30-32]. С учетом ресурсного ограничения обследовать объект аудита в полном объеме не представляется возможным, поэтому целесообразно выбирать наиболее информативные свидетельства аудита, т.е. имеющие большую значимость при меньшей стоимости его добывания.

При подготовке публикации также были приняты во внимание подходы к аудиту зарубежных ученых [12-15].

Несмотря на весомые результаты, полученные по этим направлениям исследования, актуальной остается задача по разработке методов формирования эффективной ПА с учетом значимости СА и выделенного для аудита ресурса.

Таким образом, результаты проведенного анализа позволяют утверждать, что основные усилия ученых и практиков были направлены на разрешение актуальной проблемы, связанной с накоплением эмпирических знаний, связанных

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

с разработкой и внедрением процедур добывания соответствующих СА. Вопросы теоретического обобщения накопленных эмпирических знаний находятся в стадии активного исследования. Особую актуальность приобретают вопросы, связанные с научной организацией АИБ, управлением ПА с учетом аудиторского риска, разработкой календарного плана. В результате сходимость результатов аудита (АЗ) недостаточно высока, что на практике проявляется в феномене: «Сколько аудиторов, столько и АЗ, часто принципиально различающихся», что оказывает отрицательное влияние на выстраивание среды доверия к результатам АИБ.

Для разработки методики было принято исходное положение: «Интуитивно понятно и принимается без доказательства, что при разработке ПА целесообразно учитывать значимость СА и стоимость его добывания».

Описание (моделирование) объекта аудита, с учетом значимости СА является трудно формализуемой задачей [16-19], поэтому успех определяется, прежде всего, искусством и опытом лица, управляющего программой аудита и системного аналитика, глубиной их понимания проблемы АИБ [30-32]. Ошибочная постановка задачи АИБ может свести на нет результаты аудита - привести к недостоверному АЗ. Поэтому при разработке ПА и оценке её эффективности в основном применяются экспертные методы в сочетании с математическими методами обработки полученных экспертных оценок: метод парных сравнений, метод векторов предпочтений, метод бальных оценок, метод анализа иерархий и им подобные. Обширная библиография, касающаяся преимуществ и недостатков методов экспертного оценивания сложных систем, общих вопросов и рекомендаций по организации и проведению опроса экспертов, методам расчета весовых коэффициентов значимости СА, приведена в [20].

Для дальнейшего изложения под программой аудита (ПА) понимается абстрактная модель ОА, имеющая структуру реального ОА [17] с учетом цели аудита и выделенного для проведения аудита ресурса. ПА имеет иерархическую структуру, нижние элементы соответствуют процедурам добывания объективных СА, следующий (средний) уровень соответствует выводу групповых СА, позиционируемых как аудиторские АД, которые выводятся на основе добытых объективных СА, а верхний уровень соответствует АЗ, которое выводится на основе АД [16, 21].

Описание проблемной ситуации

При разработке ПА не все связи между СА, которые отображаются в эталонной модели ОА [17-19], могут быть количественно измерены и учтены из-за отсутствия необходимых информации и знаний.

Для построения модели ОА эти связи представляют в виде весовых коэффициентов значимости СА, назначение которых - числовая оценка вклада, соответствующего СА в конечный результат - достоверность АЗ. В этих случаях весовые коэффициенты значимости устанавливаются экспертным путем, путем попарного сравнения СА и отображения результата сравнения в шкалу МАИ.

Аудиторское заключение - это вершина иерархической структуры ПА, которая может быть отождествлена с целью аудита. Аудиторские

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

доказательства позиционируются как взаимоувязанные общей целью промежуточные суждения, которые отождествляются с соответствующими подцелями аудита. Объективные СА позиционируются как результаты соответствующих аудиторских процедур для которых задано отображение (операции наблюдения, измерения, испытания) ставящее в соответствие реальному свойству ОА, событиям, ситуациям соответствующее значения показателя того или иного свойства.

Некоторые результаты приложения методов обработки экспертных оценок для целей аудита были опубликованы авторами настоящей статьи, отдельно или в соавторстве, в [23, 24]. Результаты исследований, позволяют утверждать, что для расчета весовых коэффициентов значимости СА используются разные подходы, в рамках которых разработано множество различных методов [20]. Поскольку целью настоящей статьи не является подробное рассмотрение и сравнение преимуществ и недостатков существующих методов оценки весовых коэффициентов значимости СА, ограничимся перечислением лишь основных:

Прямая расстановка коэффициентов. Эксперты расставляют веса значимости СА [22]. Сложность процедуры расстановки коэффициентов значимости возрастает в геометрической прогрессии по мере увеличения числа СА.

Ранжирование СА. Этот подход несколько облегчает экспертам работу, поскольку не требует контроля общей суммы коэффициентов. Но не избавляет эксперта от необходимости держать в поле зрения все СА, как и при прямой расстановке.

Присвоение коэффициентов СА. В соответствии с этим методом экспертам предлагается оценивать СА по некоторой балльной шкале, например, от 1 до 10 [22]. При этом методе в определенной степени реализуется более слабая зависимость экспертной оценки конкретного СА от экспертных оценок других СА, но окончательно не избавляет от необходимости взаимного сравнения СА, поскольку сопоставлять СА все же требуется - иначе расставить коэффициенты значимости корректно не представляется возможным.

Метод парных сравнений СА. Суть метода заключается в сравнении СА между собой по парам относительно друг друга [22]. Но в чистом виде, метод основан на альтернативной шкале - «лучше» или «хуже».

Общим недостатком рассмотренных методов для целей разработки ПА является то, что в их основе лежит альтернативная шкала оценки, которая не позволяет учесть более тонкие различия СА, что важно при ограничении на ресурс, отпущенный для организации и проведения аудита.

Частично компенсировать, указанные выше недостатки, позволяет метод анализа иерархий (МАИ). Известно, что МАИ предложен Т. Саати [25]. Среди методов многокритериальной теории полезности по интуитивным оценкам данный метод уже более 20 лет удерживает ведущие позиции в решении слабоструктурированных многокритериальных задач [1-2, 6-8]. Практическое применение МАИ для различных современных приложений в транспорте, энергетике, логистике, управлении персоналом приведено в публикациях [12, 3-5, 26]. Однако приложение метода для решения задачи оценки значимости СА в известных публикациях не встречалось.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Суть метода применительно к задаче, изложенной в статье, заключается в том, что СА сравниваются между собой парами, в результате, оценивается их влияние на достоверность АЗ. При этом влияние других СА не учитывается. Для попарного сравнения автором МАИ предложена специальная оценочная шкала, состоящая из пяти основных и четырех промежуточных суждений. Общие положения МАИ изложены Т. Саати и опубликованы в его работе [25].

Применение метода основано на анализе и обобщении известных и опубликованных в многочисленной литературе [6-8, 10, 21, 27] методах и принципах многоуровневого (иерархического) исследования сложных систем и процессов. Заслуга Т. Саати состоит в том, что он предложил новый подход к построению и анализу иерархических структур, описывающих процесс принятия решения в сложных задачах. Применение метода позволяет вырабатывать решение путем попарного сравнения, но при этом используется не альтернативная шкала, как в методе парного сравнения, а шкала, позволяющая производить более тонкое экспертное оценивание.

По существу, МАИ содержит процедуру синтеза приоритетов, определяемых на основе субъективных суждений экспертов. Число суждений может измеряться десятками или даже сотнями, что важно при построении ПА. Математические вычисления для задач небольшой размерности можно выполнить вручную, однако для задач большой размерности требуется соответствующее программное средство. Самый доступный способ компьютерной поддержки метода для учебных целей - применение электронных таблиц. Для практического применения МАИ требуется специализированное программное средство, которое было разработано авторским коллективом по материалам настоящей статьи и получено положительное решение Роспатента [44].

Формальное описание проблемной ситуации

Реальный объект аудита обладает бесконечным множеством свойств -Moa, в том числе и теми, которые аудиторская группа не может обнаружить, и, тем более, оценить в силу недостаточного познания реальной действительности и ограниченности в инструментальном оснащении.

Из этого бесконечного множества свойств ОА - Мм, возможно, с помощью интуитивного воображения эксперта (интуитивной модели ОА), выделить конечное подмножество свойств, которые достаточно полно характеризуют ОА и аудитор, в силу своей компетенции и инструментального обеспечения, может эти свойства наблюдать и оценивать каждое в отдельности.

Лицо, управляющее программой аудита, в силу ресурсного ограничения, вынуждено сократить подмножество Мм, до подмножества существенных свойств - Moa* = {¡¡*}, ¡¡í - идентификатор i-го свойства ОА, j = 1, 2, ..., N*, N - мощность множества М. При этом, под существенным свойством ОА понимается такое свойство ОА, которое оказывает решающее влияние на успех достижения цели АИБ. В результате получаем эталонную модель ОА [17].

Лицо, управляющее программой аудита, в силу временных и ресурсных ограничений, вынуждено сократить подмножество МОА*, и сформировать на его базе, подмножество свойств - Mr = {¡¡R*}, jur*í - идентификатор i-го свойства

DOI: 10.24412/2410-9916-2021-2-96-129

Systems of Control, Communication and Security

ISSN 2410-9916

ОА, включенного в ПА, j = 1, 2, ..., N* R , N* R - мощность множества MR. Подмножество Mr - составляет ядро содержательной части ПА.

Таким образом, подмножество СА - MR, составляющее ядро ПА, строится в соответствии с цепочкой последовательного ограничения множества свойств ОА - MR с Moa * с Moa.

Данный подход позволяет сформулировать задачу разработки ПА в поле теории множеств.

Вербальная постановка задачи

Для заданного подмножества Moa * = {¡и*} существенных свойств ОА, составляющих эталонную модель ОА, найти такую ПА, реализация которой позволила бы, учетом ресурсных ограничений, ограничить подмножество Moa* до подмножества Mr = {¡R*}, Mr с Moa*, составляющего ядро ПА.

В зависимости от концепции рационального поведения лица, управляющего программой аудита, возможны четыре постановки задачи поиска эффективной ПА.

Содержательно задачу разработки ПА можно свести:

в первой постановке - к поиску такой ПА, реализация которой, при фиксированном ресурсе, выделенном для организации и проведения АИБ, обеспечивала бы аудиторский риск:

а) не выше заданного при принятии, для оценивания эффективности ПА, критерия пригодности;

б) или минимизацию аудиторского риска при принятии, для оценивания эффективности ПА, критерия оптимизации;

во второй постановке - к поиску такой ПА, для реализации которой, при заданном аудиторском риске - го:

а) требовался бы ресурс, не выше заданного, при принятии для оценивания эффективности ПА, критерия пригодности;

б) или минимизацию требуемого ресурса, при принятии для оценивания эффективности ПА, критерия оптимизации.

Таким образом, суть задачи поиска ПА заключается в том, что для заданного множества СА, которое в совокупности исчерпывающе полно характеризует ОА, требуется разработать методику, с помощью которой представляется возможным найти такую ПА, при которой выполняются требования Заказчика и расходы на АИБ находятся в пределах нормы или минимальными.

Формальная постановка задачи

Дано:

Moa* = {ц*-} - множество идентификаторов СА, которое отображает эталонную модель ОА (ЭМОА) в соответствии с целью АИБ, ц=1, 2,..., N¡, N¡ -число СА эталонной модели ОА;

MR = {uR*}, MR с Moa* - множество идентификаторов СА, вошедших в искомую ПА, k=1, 2,..., Nk, Nk - мощность множества;

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Б* = - множество идентификаторов профессиональной специализации аудиторов, необходимое для реализации п-ой ПА, где j - индекс профессиональной специализации, j = 1, 2, ..., - мощность множества.

При формировании множества - Бп = целесообразно использовать общероссийский классификатор профессий рабочих, должностей служащих и тарифных разрядов;

Оп = {о} - множество идентификаторов средств измерения (наблюдения, испытания), необходимых для реализации п-ой ПА, где п = 1, 2,..., Ып, Ып -число сравниваемых ПА, I - индекс средства измерения (наблюдения, испытания), I = 1, 2, ..., Ыпо, Ыпо - число средств измерения (наблюдения, испытания), требуемых для реализации п-ой ПА (мощность множества Оп для п-ой ПА);

То - трудоемкость специалистаj-й профессиональной специализации, которая выделена для применения в рамках АИБ, где j = 1, 2, ..., Ы,, N - число профессиональных специализаций выделенных для применения в ходе АИБ;

Tjж - трудоемкость специалиста j-й профессиональной специализации, которая требуется для реализации п-й ПА, где j = 1, 2, ..., Ып, Ып- число профессиональных специализаций требуемых для реализации п-й ПА;

Ту - трудоемкость специалиста^й профессиональной специализации, которая требуется для выполнения ¡-й аудиторской процедуры, I = 1, 2, N -число аудиторских процедур закрепленных за специалистом ^й профессиональной специализации;

(гфк - ресурс ¡-го средства измерения (наблюдения, испытания) необходимый аудитору j-й специализации, требуемый для выполнения к-й аудиторской процедуры, к = 1, 2, Ц-, N - число аудиторских процедур закрепленных за специалистом j-й профессиональной специализации;

Pj - тарифная ставка аудитора ^й профессиональной специализации, за единицу времени (один час) без учета компенсационных, стимулирующих и социальных выплат;

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

Рк - накладные расходы, в том числе амортизация средств измерения (наблюдения, испытания), транспортные издержки, необходимые для добывания к-го СА, к - индекс СА в составе эталонной модели аудита;

Требуется:

разработать методику Д которая бы позволила на множестве М = {¡и} построить отношение порядка элементов множества (ранжировать), в соответствии с принятым правилом. Другими словами, преобразовать множество элементов в кортеж в котором элементы расположены по убыванию веса значимости СА.

Ограничения:

1. Ресурс, требуемый для реализации ПА, не должен превышать выделенного для цели аудита в соответствии с формулой (1).

2. Аудиторский риск, связанный с реализацией программы аудита Я(п) не должен превышать заданного Я0.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

3. САп^САЭМ - п-я ПА строится на множестве СА, включенных в ЭМОА.

4. j < Tj0 - требуемая трудоемкость специалиста j-й профессиональной специализации не должна превышать трудоемкость - Tj0 специалиста j-й профессиональной специализации, которая выделена для проведения АИБ.

5. Суммарная стоимость оплаты труда аудиторов с учетом накладных расходов по каждой аудиторской процедуре в сумме не должны превышать стоимости аудита в целом.

6. Считается, что аудиторский риск, связанный с профессиональной ошибкой аудитора, ничтожно мал, по сравнению с риском аудиторской выборки. Если аудиторская выборка полностью покрывает ЭМОА, то аудиторский риск равен риску ошибки аудитора, т.е. им можно принеберчь.

7. Должны накладываться некоторые ограничения, связанные с предпочтениями Заказчика, в виде условий:

- модель актуальных угроз ИБ должна соответствовать предпочтениям Заказчика и требованиям Регулятора;

- производственная деятельность Заказчика должна осуществляться в поле обязательных требований Регулятора, контроль выполнения которых выборочно включается в ПА.

СА добываются посредством измерения (наблюдения, испытания) соответствующего свойства ОА. В результате аудитор добывает СА, которые сравниваются с соответствующими критериями (эталонами). Значения критериев (эталонов) содержатся в ЭМОА [17].

В соответствии с с ISO 19011:2018 и [30-32] «... приоритет при аудите должен быть отдан выделению ресурсов и выбору методов для элементов ОА с более высоким уровнем риска и более низким уровнем показателей трудоемкости и ресурсоемкости». Таким образом, при построении ПА необходимо учесть рекомендованные приоритеты.

Таким образом, перед лицом управляющим программой аудита, существует актуальная задача построения ПА с учетом значимости СА, которую оно может решить с помощью предлагаемой методики.

При поиске решения поставленной задачи учитывались особенности проблемной области:

- показатели СА в большинстве случаев оцениваются в качественных шкалах, количественные шкалы скорее исключение, чем правило;

- объективный взвешивающий (измерительный) прибор и сама процедура взвешивания отсутствует - это наиболее типичная ситуация при организации аудита;

- невозможно сформировать универсальную шкалу для всех СА, входящих в программу аудита, что делает процедуру обобщения нетривиальной.

Для оценки весовых коэффициентов значимости СА был выбран МАИ.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Для построения иерархии была применена следующая последовательность:

1. Построение иерархической модели ОА, включающей цель, альтернативные варианты достижения цели и критерии для оценки качества альтернатив достижения цели.

2. Определение приоритетов всех СА, включенных в ПА с использованием метода парных сравнений.

3. Синтез групповых приоритетов СА путём линейной свертки их приоритетов в поле иерархии.

4. Проверка суждений экспертов о приоритетах СА, с точки зрения достижения цели АИБ, на согласованность.

5. Принятие решения об одобрении ПА.

Для дальнейшего исследования понятийный аппарат, приведенный в [6, 25], был адаптирован для применения МАИ при ранжировании СА по существенности вклада в достоверность АЗ и минимизации аудиторского риска.

Цель применения МАИ - обобщение оценок СА для формулирования АЗ, оценки аудиторского риска и уровня существенности при реализации той или иной ПА. Применение МАИ также может быть целесообразным для решения задачи выбора СА для включения в состав эталонной модели ОА.

Цель аудита - получение АЗ, что соответствует 1-му (высшему) уровню иерархии. Наличие цели АИБ в иерархической структуре обязательно, она должна быть согласована с Заказчиком.

Подцели АИБ - цели, определяемые при решении частных задач, на которые разбивается процедура достижения цели АИБ при её декомпозиции. Например, частные задачи:

- оценки доступности, конфиденциальности, целостности информации присущие оцениваемой информационной системе [17];

- обоснования множества СА, включенных в ПА;

- вывода на основе объективных свидетельств аудита соответствующих аудиторских доказательств, предусмотренных ПА. Свидетельства аудита (аудиторские доказательства) рассчитываются аналитиками без непосредственном контакте с ОА.

Факторы, которые существенны для 2-го уровня иерархии ПА:

- объективные свидетельства аудита (СА) - записи, изложение фактов или иная информация, которая существенна с точки зрения критериев аудита и может быть проверена, оказывающая влияние на успешное достижение цели или подцелей ПА. Объективные свидетельства аудита добываются при непосредственном контакте с ОА;

- силы и средства АИБ - субъекты (аудиторские группы, подгруппы, отдельные аудиторы) или материальные объекты (сооружения, технические средства), оказывающие влияние на успешное достижение цели АИБ.

Таким образом, в качестве уточнения выше приведенных положений, следует, что ПА - многоуровневая модель ОА, представляющая собой взаимоувязанные единой целью СА, обеспечивающие формирование АЗ.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

ПА включает несколько уровней, формируемых в зависимости от сложности объекта аудита (ОА).

При разработке ПА должны соблюдаться следующие условия [27]:

- элементы в пределах каждого уровня иерархии должны быть в максимальной степени независимы друг от друга;

- 1-й (высший) уровень соответствует общей цели АИБ - формирования АЗ. Требования к АЗ выступают как условия или ограничения (внешнее дополнение) при формировании требований или выборе СА нижестоящего уровня;

- число уровней и элементов каждого уровня должны охватывать все аспекты АИБ и способствовать эффективному применению сил и средства АИБ;

- элементы нижнего уровня содержат множество объективных СА, которые добываются посредством наблюдения, измерения отельных свойств ОА.

Научные разработки авторского коллектива, представленные в настоящей публикации, сформировались прежде всего на базе работ отечественных ученых и практиков [7-11], а также зарубежных исследователей [12-15] проблем АИБ. Вопросы инструментального АИБ достаточно полно раскрыты в [15].

Однако в опубликованной литературе не удалось отыскать универсальный подход к построению иерархической модели ОА, однозначно определяющего процедуру поиска эффективной ПА.

На практике, в смежных отраслях, подобные задачи решаются в зависимости от общей цели аудита и на основе принятых для её достижения известных принципов многоуровневого анализа и синтеза ПА.

Для цели принятия ПА использовался подход построения иерархической модели ОА, приведенный в [6, 21, 22]. В соответствии с этим подходом возможно формирование структур с различным числом уровней и элементов каждого из уровней. При этом число уровней определяется сложностью и принятой детализацией ОА.

Разработка иерархической модели ОА (ПА) осуществлялась путем последовательной экспертной оценки степени влияния элементов нижестоящего уровня иерархии, на соответствующие элементы вышестоящего уровня. Для этого формировались матрицы приоритетов, на основе которых определялись векторы приоритетов и производилась оценка согласованности полученных результатов. Такая оценка производилась на каждом уровне иерархической модели ОА.

Матрица приоритетов - квадратная m х m - матрица M(h, i + 1) = \\ак\, заполненная результатами а^ попарного сравнения элементов j = 1, 2, ..., т и к = 1, 2, ..., т, нижестоящего уровня ^ + 1) по влиянию на заданный элемент h вышестоящего уровня ¡.

Заполнение матрицы производилось следующим образом. Пусть ^ + 1) -уровень иерархии содержит 4 элемента с индексами 1, 2, 3, 4 и требуется дать сравнительную оценку их влияния на элемент 1 вышестоящего уровня ¡, заполнив квадратную 4 х 4 - матрицу приоритетов М(1, i + 1), где обозначения в

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

скобках определяют индекс 1-го элемента уровня / и индекс соответствующего элемента уровня I + 1. Ставим в соответствие номерам строк у = 1, 2, 3, 4 и столбцов к = 1, 2, 3, 4 матрицы М(1, I + 1)= ||ад|| индексы элементов (I + 1) -уровня, где аук - общий элемент матрицы, стоящей на пересечении строки у и столбца к. Значение аук определялись с помощью экспертных оценок с использованием следующих правил:

аук = 1, если элементы у и к уровня (/ + 1) оказывают одинаковое влияние на элемент на элемент 1 уровня I и если у = к;

а^ = 3 и аку = 1/3 если элемент у не значительно превосходит по своему влиянию на элемент 1 уровня I по сравнению с элементом к уровня (/ + 1);

аук = 5 и аку = 1/5 если элемент у значительно превосходит по влиянию на элемент 1 уровня I по сравнению с элементом к;

а^ = 7 и аку = 1/7 если элемент у является превосходящим по влиянию на элемент 1 уровня I по сравнению с элементом к;

а^ = 9 и аку = 1/9 если элемент у является доминирующим без сомнений по влиянию на элемент 1 уровня I по сравнению с элементом к;

аук или аку присваиваются обратные значения 1/3, 1/5, 1/7, 1/9 или 3, 5, 7, 9, если элемент у уступает по степени влияния элементу к в соответствии с вышеизложенными условиями;

аук присваиваются промежуточные значения 2, 4, 6, 8 и аку - обратные значения 1/2, 1/4, 1/6, 1/8 для разрешения компромиссов, когда эксперты затрудняются определить точные значения 1, 3, 5, 7, 9 или 1/3, 1/5, 1/7, 1/9 соответственно.

Пример 1. Задана общая цель аудита (Ц): получить АЗ о соответствии объекта информатизации (ОИ), входящего в состав автоматизированной системы управления технологическими процессами (АСУ ТП), которая, в свою очередь, относиться к критически важным объектам, с уровнем аудиторского риска (Я) не выше 0,95. Результаты решения задачи требуется для принятия решения по страхованию информационных рисков - на сегодня это перспективное направление обеспечение защиты информации экономическими методами [29].

Для поиска ПА, направленной на достижение указанной выше цели, применялся МАИ с использованием трехуровневой иерархии, на первом уровне объективные СА, на втором - групповые СА (аудиторские доказательства), а на третьем - АЗ.

Требуется сформировать матрицу приоритетов М(1, 2), определяющую сравнительное влияние СА на успешное достижение цели АИБ.

Матрица приоритетов заполняется экспертами путем попарного сравнения СА по их влиянию на успешное достижение цели с учетом сложившейся обстановки по ИБ, особенностей объекта аудита ИБ, выявленных недостатков в обеспечении ИБ, ресурсов, выделенных для обеспечения ЗИ, в том числе и для организации и проведения АИБ. Для определения приоритетов использовались методы экспертных оценок, в частности метод анкетного опроса. В соответствии с этим возможны различные варианты матриц. Пусть один из возможных вариантов будет иметь вид:

DOI: 10.24412/2410-9916-2021-2-96-129

Systems of Control, Communication and Security

ISSN 2410-9916

М (1,2) =

а jk

1

1/5 1/6

1/7

5 1

1/4 1/6

6 4 1

1/4

Матрица приоритетов содержит только результаты попарного сравнения влияний СА нижестоящего уровня на заданный элемент вышестоящего уровня (групповое СА) и позволяет оценить усредненную оценку этого влияния. Для этой цели используется вектор приоритетов.

Вектор приоритетов - вектор Уф, i + 1) = \\bjhW, j = 1, 2, ..., т, содержащий т координат bjh, каждая из которых характеризует влияние j-го элемента уровня (¡' + 1) на заданный элемент h вышестоящего уровня ¡.

Точное вычисление вектора приоритетов сводится к определению главного собственного вектора матрицы приоритетов М(Ъ, i + 1) с последующей его нормализацией. Главный собственный вектор матрицы получается путем возведения матрицы в произвольно большие степени и деления суммы каждой строки на общую сумму элементов матрицы. Данная процедура является достаточно трудоемкой для ручной технологии, поэтому предлагаются приближенные методы, позволяющие с достаточной для практики точностью определять искомый вектор приоритетов. Ниже приведены частные методики для вычисления вектора приоритетов.

Частная методика 1

1) определяется сумма Бу элементов каждой строки матрицы приоритетов М(Ъ, i + 1), Бу = ау1 + ау2 + ... + аут,у = 1, 2, ..., т; вычисляется сумма всех элементов матрицы

Б = Б] + Б2 + ... + Бт;

производится нормализация полученных значений деления на сумму всех элементов матрицы, т.е. нормализованные значения Бну = Бу/Б,у = 1, 2, ..., т; определяется искомый вектор приоритетов i

у = 1, 2, ..., т, т. е. каждая координата вектора Ьу = Бну.

Пример 2. Определить вектор приоритетов, соответствующий матрице приоритетов М(1, 2), полученной в примере 1.

Задачу решаем с помощью метода 1.

2)

3)

4)

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

приоритетов

Б,

у, путем их определяются

+

1) = I I S

HJ 1

1.

в

2. 3.

Вычисляем сумму всех элементов каждой строки матрицы результате получаем: Б1 = 19; Б2 = 11,2; Б^ = 5,42; Б4 = 1,56. Определяем сумму всех элементов матрицы Б = 37,18. Нормализуем сумму элементов каждой строки и получаем: БН1 = 0,51;

Бн2 = 0,3; Бнз = 0,15; Бш = 0,04.

4. Определяем вектор приоритетов У(1, 2) = \ \ 0,51; 0,3; 0,15; 0,04 \ \ .

Таким образом, наибольшее влияние на достижение общей цели управления оказывает 1 -е СА, связанное с обеспечением оперативного управления силами и средствами ИБ и 2-е СА, связанно обеспечением управления инцидентами ИБ.

DOI: 10.24412/2410-9916-2021-2-96-129

Systems of Control, Communication and Security

ISSN 2410-9916

Частная методика 2

1) определяется сумма Бк элементов каждого столбца матрицы приоритетов, М(Н, г + 1), Бк = а^ + а2к + ... + атк, к = 1, 2, ..., т;

2) определяются обратные значения Бк-1 = 1/Бк полученных сумм, к = 1, 2, ..., т;

3) определяем сумму всех обратных значений Б-1 = Б1-1 + Б2-1 + Б3-1 + ... + + Б -14) производим нормализацию полученных значений Бк-1, путем их

деления на сумму всех обратных значений, т. е. определяем нормализованные значения Бнк-1 = Бк-1 / Б-1, к = 1, 2, . . ., т;

5) определяем искомый вектор приоритетов ¥(И, г + 1) = | | Бнк-1 | | , к = 1, 2, ..., т, т. е. каждая координата вектора Ьу = Бнк-1.

Пример 3. Определить вектор приоритетов, соответствующий матрице приоритетов М(1, 2), полученной в примере 1 с помощью частной методики 2:

1. Определяем сумму элементов каждого столбца матрицы приоритетов, М(1, 2) и получаем: Б1 = 1,51; Б2 = 6,42; Бз = 11,25; Б4 = 18.

2. Определяем обратные значения всех этих величин: Б1-1 = 0,66; Б2-1 = 0,16; Бз-1 = 0,09; Б4-1 = 0,06.

3. Определяем сумму всех обратных значений Б-1 = 0,97.

4. Нормализуем обратные значения сумм элементов каждого столбца: Бн1-1 = 0,68; Бн2-1 = 0,16; Бнз-1 = 0,09; Бн4-1 = 0,06.

5. Определяем вектор приоритетов У(1, 2) = | | 0,68; 0,16; 0,09; 0,06 | | .

6. Таким образом, приоритеты данного вектора совпадают с вектором, полученным в примере 2.

Однако алгоритм 2 обладает большей точностью.

Частная методика 3

1. Определяется сумма Бк элементов каждого столбца матрицы приоритетов, М(И, I + 1), Бк = а1к + а2к + ... + атк, к = 1, 2, ..., т.

2. Производится деление элементов каждого столбца матрицы приоритетов ад, к = 1, 2, ..., п; у = 1, 2, ..., т, на сумму элементов этого столбца и, тем самым, формируется нормализованная матрица Мн(к, г + 1) = | | аи)к 11 , где аЧк = Щк/Бк.

3. Определяется сумма Бну элементов каждой строки полученной нормализованной матрицы Бн]- = ан]1 + ан]-2 + ... + ан]т, у = 1, 2, ..., т.

4. Производится деление полученных значений Бну на размерность столбца п, т. е. определяются значения Бн/ = Бн]-/ т ,у = 1, 2, ..., т.

5. Определяется искомый вектор приоритетов ¥(И, г + 1) = | | Бн/ 11 , у = = 1, 2, ..., т, т. е. каждая координата вектора Ьу = Бнк*.

Пример 4. Определить вектор приоритетов, соответствующий матрице приоритетов М(1, 2), полученной в примере 1 с помощью частной методики 3:

1. Определяем сумму элементов каждого столбца матрицы приоритетов и получаем: Б1 = 1,51; Б2 = 6,42; Бз = 11,25; Б4 = 18.

2. Делим элементы каждого столбца матрицы приоритетов на сумму элементов этого столба и формируем нормализованную матрицу [25]

DOI: 10.24412/2410-9916-2021-2-96-129

Systems of Control, Communication and Security

ISSN 2410-9916

М H (1,2) =

0,66 0,13 0,11 0,09

0,78 0,16 0,04 0,03

0,53 0,36 0,09 0,02

0,39 0,33 0,22 0,06

полученной БК2 = 0,98;

4 и

3. Определяем сумму элементов каждой строки нормализованной матрицы и получаем: Бн1 = 2,36; Б н3 = 0,46; Бн4=0,2.

4. Делим полученные значения сумм на размерность столбца п определяем Бн1* = 0,59; Б н2* = 0,245; Б н3* = 0,115; Б н4* = 0,05.

5. Определяем вектор приоритетов У(1, 2) = \ \ 0,59; 0,25; 0,11; 0,05 \ \ .

6. Таким образом, приоритеты данного вектора совпадают с векторами, полученными в примерах 2 и 3.

Однако алгоритм 3 обладает большей точностью чем алгоритмы 2 и 1.

Частная методика 4

1. Определяется произведение Пу всех п элементов каждой строки матрицы приоритетов Пу = а^ х ад х... х цп,у = 1, 2, ...,п.

2. Извлекается корень т-й степени из полученных произведений Пу и

3.

4.

определяются значения n//m, j = 1, 2, ..., m.

1/m

+ .

+ п 1/m

nm .

Определяется сумма полученных корней Б = П1 + П2 Производится нормализация полученных корней Пт1т путем их деления на сумму Б, т.е. определяются нормализованные значения

П^/1П = П1т / Б.

Определяется искомый вектор приоритетов Уф, i + 1) = \ \Пн]1т \ \ , у = 1, 2, ..., т, т.е. каждая координата вектора Ьу = Пн^/т. Пример 5. Определить вектор приоритетов, соответствующий матрице приоритетов М(1, 2), полученной в примере 1 с помощью частной методики 4:

5.

1.

3.

4.

Определяем произведение всех элементов каждой строки матрицы приоритетов и получаем: П1 = 210; П2 = 4,8; П3 = 0,17; П4 = 0,006. Извлекаем корень 4-й степени из полученных произведений и определяем: П11/4 = 3,8; П21/4 = 1,5; Пъш = 0,64; П41/4 = 0,29. Определяем сумму полученных корней Б = 6,23.

Делим значения полученных корней П//4 сумму Б и получаем:

ПК11/4 = 0,61; ПК21/4 = 0,24; Пкз1/4 = 0,1; ПК41/4 = 0,04.

5. Определяем вектор приоритетов У(1, 2) = \ \ 0,61; 0,24; 0,1; 0,04 \ \ . Таким образом, приоритеты данного вектора совпадают с векторами, полученными в примерах 2, 3, 4.

Однако методика 4 обладает большей точностью, чем методики 1, 2 и 3.

Оценка согласованности матрицы приоритетов

Оценка согласованности матрицы приоритетов производится с целью исключения возможных противоречивых данных, получаемых в процессе попарного сравнения СА уровня i + 1 на заданный элемент вышестоящего уровня.

DOI: 10.24412/2410-9916-2021-2-96-129

Systems of Control, Communication and Security

ISSN 2410-9916

Согласованность - свойство матрицы приоритетов, определяемое тем, что из результатов попарного сравнения элементов А1 и А2, А1 и А3 вытекает результат сравнения элементов А2 и А3, и этот результат не противоречит соответствующим оценкам, полученных при формировании матрицы.

Под согласованностью подразумевается то, что при наличии основного массива результатов, полученных при формировании матрицы, другие результаты могут быть получены расчетным путем на основании данного массива. Пусть, например, в ходе попарного сравнения элементов получены следующие результаты: элемент А1 в три раза превосходит элемент А2 и в 6 раз - элемент А3, т. е. А1 = 3А2 и А1 = 6А3. Тогда из полученных результатов вытекает, что 3А2 = 6А3 или А2 = 2А3 и А3 = 0,5А2. Если соотношение А2 = 2А3 не выполняется, то нарушается согласованность матрицы приоритетов. Так как заполнение всей матрицы приоритетов осуществляется расчетным путем, на основе экспертных оценок то, возможно согласованность матрицы будет нарушена, однако это нарушение не должно выходить за допустимые пределы.

Процедура оценки согласованности матрицы приоритетов включает следующую последовательность действий:

1. Определяется произведение В = | | ф| | , у = 1, 2, ..., т, матрицы приоритетов М на полученный вектор-столбец приоритетов V, т.е. В = М х V.

2. Производится деление координат полученного вектора - столбца на соответствующие координаты Ьу вектора приоритетов и определяются величины gj = фу / Ьу, у = 1, 2, ..., т.

3. Определяется среднее значение полученных величин, равное X = ^^

+ g2 + ... + gm) / т.

4. Определяется индекс к согласованности матрицы приоритетов по формуле [20]:

к ^^, (3)

т -1

5. Определяется отношение полученного коэффициента к к среднестатистическому коэффициенту согласованности матрицы приоритетов с использованием следующего правила:

если к0 < 0,1, то согласованность матрицы приоритетов находится в допустимых пределах и её можно использовать для выработки решения [6, 25].

если к0 > 0,1, то согласованность матрицы приоритетов находится вне допустимых пределах и необходимо пересмотреть результаты попарного сравнения элементов соответствующего уровня иерархии [6, 25].

В дальнейшем для определения значений к0 рекомендуется использовать среднестатистический коэффициент согласованности ксс = 0,9, рекомендованный в [6, 25].

Пример 6. Оценить согласованность матрицы приоритетов, полученной в примере 1, с использованием вектора приоритетов, полученного в примере 4.

С использованием вышеизложенной методики выполняем следующие действия:

1. Определяем произведение В матрицы приоритетов и получаем:

111

Systems of Control, Communication and Security

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

ISSN 2410-9916

1 5 6 7 0,59 2,85

1/5 1 4 6 0,25 1,11

X X

1/6 1/4 1 4 0,11 0,47

1/7 1/6 1/4 1 0,05 0,20

2. 3.

D =

Т.е. полученный вектор-столбец В будет иметь координаты: 2,85; 1,11; 0,47; 0,2.

1. Делим координаты вектора В на соответствующие координаты вектора приоритетов и получаем величины = 4,83; = 4,44; Я, = 4,28; g4 = 4.

Определяем среднее значение полученных величин Х = 4,39. Определяем индекс согласованности к матрицы приоритетов по формуле (3) при т = 4, и получаем к = (3,39 - 4) / 3 = 0,13. Определяем отношение полученного коэффициента к к среднестатистическому коэффициенту согласованности ксс 0, 9 и получаем Ко = 0,13 / 0,9 = 0,14.

Делаем вывод о неудовлетворительной согласованности матрицы приоритетов, так как к0 = 0,14 > 0,1.

Таким образом, согласованность сформированной матрицы находится вне допустимых пределов и необходимо пересмотреть результаты попарного сравнения.

Пример 7. Используя данные примера 1, произвести повторное формирование матрицы приоритетов и оценить согласованность полученных результатов.

При повторном анализе исходной обстановки ИБ была получена следующая матрица приоритетов:

6

5.

М (1,2)

а

jk

1

1/5 1/6

1/7

4 1

1/2 1/2

2 1

1/2

С использованием частной методики 4 определяем соответствующей данной матрице вектор приоритетов У(1, 2) = \ \ 0,63; 0,17; 0,11; 0,08 \ \ . Анализ координат полученного вектора показывает, что очередность приоритетов СА не изменилась, однако произошли изменения в оценках влияния каждого СА на достижение цели АИБ. Такие изменения могут в итоге повлиять на достоверность АЗ.

С использованием вышеизложенной частной методики определяем индекс согласованности новой матрицы приоритетов к0 = 0,09 /0,9 = 0,1. Так как к0 = 0,1, то согласованность матрицы находится в допустимых пределах и её данные можно использовать для формирования ПА.

Обобщение матрицы и вектор приоритетов

В том случае, когда число элементов п вышестоящего уровня I превышает 1, то для оценки влияния всех т элементов нижестоящего уровня (I + 1) на

DOI: 10.24412/2410-9916-2021-2-96-129

Systems of Control, Communication and Security

ISSN 2410-9916

все элементы вышестоящего уровня, формируется обобщенная матрица приоритетов.

Обобщенная матрица приоритетов 1-го порядка - т х п - матрица Р(г, г + 1) = | | ЬуИ11 , у=1, 2, ..., т, полученным при оценке влияния у-х элементов уровня (г + 1) на все И-е элементы уровня г, т. е.

P(i, i +1)

b

jh

bii b

21

12

b

in

22

b

2n

b

т1 т 2

Обобщенная матрица 1 -го порядка формируется для последующего определения обобщенного вектора приоритетов 1-го порядка Ж(и, г - 1, г + 1) = = | | 11 ,у = 1, 2, ■■■, т, координаты которого характеризуют влияние элементов уровня (г + 1) на заданный уровень и вышестоящего уровня (г - 1), г > 1, т. е. влияние определяется через один промежуточный уровень г. Данный вектор вычисляется путем нахождения произведения обобщенной матрицы 1 -го уровня Р(г, г + 1) = | | ЬуИ11 ,у = 1, 2, ..., т; И = 1, 2, ..., п, на вектор-столбец приоритетов У(и, г) = | | уИи11 , координаты которого характеризуют влияние элементов уровня г на заданный элемент и вышестоящего уровня (г - 1), т .е. Ж(и, г - 1, г + 1) = =р(г, г +1) х у(и, г).

Пример 8. Сформирована обобщенная матрица приоритетов Р(2, 3), определяющая влияние т = 3 элементов уровня (г + 1) = 3 на п = 4 элементов уровня г = 2, равная

0,16 0,45 0,77 0,25

4

Р(2,3) = Ь^ = 0,59 0,09 0,05 0,5 0,25 0,46 0,17 0,17 Определен вектор приоритетов ¥(1, 2), характеризующий влияние п элементов уровня г = 2 на элемент уровня (г - 1) = 1, равный ¥(1, 2) = | | уИи | | = =| | 0,63; 0,17; 0,11; 0,08 | | .

Определен обобщенный вектор приоритетов Ж(1, 1, 3), характеризующий влияние элементов уровня 3 на 1 -й элемент вышестоящего уровня.

Умножаем матрицу Р(2, 3) на вектор-столбец приоритетов ¥(1, 2) и получаем

W (1,1,3) =

0,16 0,55 0,25

0,45 0,09 0,46

0,77 0,05 0,17

0,25 0,5 0,17

х

0,59 2,85

0,25 1,11

0,11 0,47

0,05 0,20

Таким образом, полученный обобщенный вектор приоритетов, записанный в форме строки и равен Ж(1, 1, 3) = ¥(1, 2) = | | 0,28; 0,43; 0,27 | | .

В том случае, когда число элементов ^ вышестоящего уровня (г - 1), т. е. влияние оценивается через один уровень, формируется обобщенная матрица приоритетов 2-го порядка.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Обобщенная матрица приоритетов 2-го порядка - т х я - матрица Р(/ - 1, / + 1) = \ \ Ьуи\\,у = 1, 2, ..., т; и = 1, 2, ..., я, столбцы которой соответствуют транспонированным обобщенным векторам приоритетов 1 -го порядка Щ(и, / - 1, / + 1) = \ \ wuj\ \, у = 1, 2, ..., т, полученным при оценке влияния у-х элементов уровня (/ + 1) на и-е элементы уровня (/ - 1).

Обобщенная матрица приоритетов 2-го порядка формируется для последующего определения обобщенного вектора приоритетов 2-го порядка Щ(д, / - 2. / = 1) = \ \ wqj\ \, у = 1, 2, ..., т, координаты которого характеризуют влияние элементов уровня (/ + 1) на заданный элемент д вышестоящего уровня (/-2), / > 2, т. е. влияние определяется через промежуточный уровень / и (/+1). Данный вектор вычисляется путем нахождения произведения обобщенной матрицы приоритетов 2-го порядка Р(/ - 1, / + 1) = \ \ Ьуи\ \, у = 1, 2, ..., т; и = 1, 2, ..., я, на вектор-столбец приоритетов У(д, / - 1) = \ \ уид\\, координаты которого характеризуют влияние элементов уровня (/ - 1) на заданный элемент д вышестоящего уровня (/ - 2), т. е. Щ(д, / - 2. / = 1) = Р(/ - 1, / + 1) х У(д, / - 1/

Аналогично можно формировать обобщенные матрицы и векторы приоритетов 3-го, 4-го, ..., п-го порядков, таким образом формировать ПА с произвольным числом уровней иерархии. Обобщенная матрица приоритетов п-го порядка Р [/ - (п - 1), / +1] будет определять влияние элементов уровня (/+1) на элементы уровня [/ - (п - 1)], / > п - 1, а обобщенный вектор приоритетов п-го порядка Щ(г, / - п, / + 1) будет характеризовать влияние элементов уровня (/ + 1) на заданный элемент г уровня (/ - п), / > п. В итоге, последовательно получая обобщенные матрицы и векторы приоритетов соответствующих уровней, можно оценивать влияние элементов самого нижнего уровня, т. е. сформированных в виде сценариев выбираемых вариантов ПА, на элемент 1 -го уровня, т. е. на заданную цель АИБ.

Общая процедура построения программы аудита с помощью метода анализа иерархий

Формирование ПА с использование МАИ включает следующую последовательность действий:

1) осуществляется декомпозиция цели АИБ (выбираются групповые СА) и определяется иерархия, содержащая требуемое число уровней и элементов каждого уровня;

2) формируется матрица приоритетов М(1, 2), включающая результаты попарного сравнения влияния СА уровня 2 на достижение заданной цели АИБ (уровень 1);

3) определяется вектор приоритетов У(1, 2), характеризующий влияние каждого СА уровня 2 на достижение цели АИБ (уровень 1);

4) оценивается согласованность матрицы М(1, 2) и в случае отрицательного результата осуществляется возврат к п. 2 и вновь формируется матрица приоритетов, но с более детальным анализом исходной обстановки. Цикл, включающий пп. 2, 3, 4, повторяется до

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

тех пор, пока не будет получена согласованная матрица приоритетов. В случае согласованной матрицы осуществляется переход к п. 5;

5) в том случае, если иерархия имеет 2 уровня, то с использованием вектора приоритетов ¥(1, 2) выбирается сценарий (вариант ПА), которому соответствует максимальная координата вектора. В том случае, если число уровней больше 2, то осуществляется переход к п. 6;

6) формируются матрицы приоритетов М(И, 3), И = 1, 2, ..., п, включающие результаты попарного сравнения влияния элементов уровня 3 на И-е элементы уровня 2, где п - число элементов уровня 2 и, соответственно, число формируемых матриц;

7) определяются векторы приоритетов ¥(И, 3), И = 1, 2, ..., п, характеризующие влияние каждого СА уровня 3 на И-е элементы уровня 2;

8) оценивается согласованность каждой матрицы приоритетов М(И, 3) и в случае отрицательного результата осуществляется возврат к п. 6 и вновь формируется соответствующая матрица, но с более детальным анализом исходной обстановки. Цикл, включающий пункты 6, 7, 8, повторяется до тех пор, пока не будут согласованы все матрицы М(И, 3), И = 1, 2, ..., п. В случае согласования всех матриц осуществляется переход к п. 9;

9) формируется обобщенная матрица приоритетов 1-го порядка Р(2, 3) = = | | ЬуИ11 ,у = 1, 2, ..., т, И = 1, 2, ..., п, столбцы которой соответствуют транспонированным векторам приоритетов ¥(И, 3) = ЬуИ , у = = 1, 2, ..., т; И = 1, 2, ..., п, полученным при оценке влияния у-х элементов уровня 3 на И-е элементы уровня 2, где т - число элементов уровня 3;

10) определяется обобщенный вектор приоритетов 1-го порядка Ж(1, 1, 3) = | | w1j11 ,у = 1, 2, ..., т, координаты которого характеризуют влияние уровня 3 на заданную цель, которая является единственным элементом уровня 1. Данный вектор вычисляется путем произведения обобщенной матрицы 1-го порядка Р(2, 3) = | | ЬуИ11 ,у = 1, 2, ..., т, И = = 1, 2, ..., п, на вектор-столбец приоритетов ¥(1, 2) = | |уИ1 11 , координаты которого характеризуют влияние элементов уровня 2 на заданную цель;

11) в случае, когда иерархия имеет 3 уровня, то с использованием обобщенного вектора приоритетов 1-го порядка Ж(1, 1, 3) выбирается сценарий (принимается ПА), которой соответствует максимальная координата вектора. В том случае, когда число уровней больше 3, осуществляется переход к п. 12;

12) формируются матрицы приоритетов М(у, 4), у = 1, 2, ..., т, включающие результаты попарного сравнения влияния СА уровня 4 на у-е элементы уровня 3, где т - число элементов уровня 3 и, соответственно, число формируемых матриц;

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

13) определяются векторы приоритетов У(у, 4), у = 1, 2, ..., т, характеризующие влияние каждого СА уровня 4 на у-е элементы уровня 3;

14) оценивается согласованность каждой матрицы приоритетов М(у 4) и в случае отрицательного результата осуществляется возврат у п. 12 и вновь формируется соответствующая матрица, но с более детальным анализом исходной обстановки. Цикл, включающий пп. 12, 13, 14, повторяется до тех пор, пока не будут согласованы все матрицы М(у, 4), у = 1 , 2, ., т. В случае согласования всех матриц осуществляется переход к п. 15;

15) формируется обращенная матрица приоритетов 1-го порядка Р(3, 4) = = \ \ Ьиу\\,у = 1, 2, ..., г, у = 1, 2, ..., т, столбцы которой соответствуют транспонированным векторам приоритетов У(у, 4) = \ \ bjh \ \ , у = = 1, 2, ..., т, полученным при оценке влияния и-х СА уровня 4 нау-е СА уровня 3, где г - число элементов уровня 4;

16) определяются обобщенные векторы приоритетов 1-го порядка Щф, 2, 4) = \ \ whu\ \, и = 1, 2, ..., г, координаты которых влияние СА 4-го уровня на заданные элементы h уровня 2. Данные векторы вычисляются путем нахождения произведений обобщенной матрицы 1-го порядка Р(3, 4) = \ \ Ь^\\, и = 1, 2, г, у = 1, 2, т, на векторы-столбцы приоритетов У(у, 3) = \ \ \ \ , координаты которых характеризуют влияние элементов уровня 3 на заданные элементы уровня 2;

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

17) формируется обобщенная матрица приоритетов 2-го порядка Р(2, 4) = = \ \ Ь^\\, и = 1, 2, ..., г, h = 1, 2, ..., п, столбцы которой соответствуют транспонированным обобщённым векторам приоритетов 1 -го порядка Щф, 2, 4) = \ \ whu\\, h = 1, 2, ..., п, полученным при оценке влияния и-х СА уровня 4 на ^е элементы уровня 2;

18) определяется обобщенный вектор приоритетов 2-го порядка Щ(1, 1, 4) = \ \ w1u\\, и = 1, 2, ..., г, координаты которого характеризуют влияние СА 4-го уровня на достижение цели АИБ, т. е. на единственный элемент уровня 1 - АЗ. Данный вектор вычисляется путем нахождения произведения обобщенной матрицы 2-го порядка Р(2, 4) = \ \ Ь^\\, и = 1, 2, ..., г, h = 1, 2, ..., п, на вектор-столбец приоритетов У(1, 2) = \ \ уы \ \ , координаты которого характеризуют влияние СА 2-го уровня на достижение цели АИБ;

19) определяется число уровней иерархии. В том случае, когда иерархия имеет 4 уровня, то с использованием обобщенного вектора приоритетов 2-го порядка Щ(1, 1, 4) выбирается ПА, которой соответствует максимальная координата вектора. В том случае, если число уровней больше 4, то выполняется последовательность действий, аналогичных выше изложенным, но с учетом формируемых матриц и векторов приоритетов для следующих уровней 5, 6, и т. д.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Таким образом, применение метода анализа иерархий позволяет решить сложную многоразмерную и многокритериальную задачу по разработке многоуровневой ПА, при решении которой необходимо учесть большое число различных по природе, физическому смыслу технических, организационных, правовых, природных, поведенческих факторов, которые в практике аудита не могут иметь количественных оценок, а представлены в форме суждений и качественных показателей, характеризующих существенные свойства ОА.

Эксперимент с разработанной методикой

Предложенная методика была апробирована в ходе деловой игры по дисциплине «Аудит информационной безопасности автоматизированных систем». В качестве ОА была принята учебная лаборатория кафедры «Информационная безопасность» МИЭТ, которая позиционировалась как автоматизированная система управления технологическим процессом (учебным процессом) (АСУ ТП). В качестве инструмента для аудита была применена компьютерная программа оценки готовности АСУ ТП в условиях компьютерных атак. Программа зарегистрирована в Роспатенте [43]. Суть эксперимента заключалась в реализации двух ПА. В первом случае разработка программы проводилась интуитивно, а во втором с использованием МАИ. Вторая группа была результативнее, при том же ресурсе обеспечивался более низкий аудиторский риск, связанный с реализацией ПА.

В результате эксперимента установлено, что при разработке ПА информационной безопасности лицо, управляющее программой аудита, сталкивается со сложной системой взаимозависимых компонент (свойства объекта аудита, ресурсы, желаемые исходы аудита или цели, лица или группа лиц, внешние и внутренние факторы и т.д.), которую нужно проанализировать. Причём чем глубже анализ, тем эффективнее принимаемое решение по выбору варианта ПА. Предлагаемый подход к формированию ПА позволяет свести процесс формирования ПА к последовательности попарных сравнений соответствующим образом определенных СА, характеризующих существенные свойства ОА. Этот подход начал формироваться при проведении занятия с выпускниками магистратуры по курсу «Организация аудита информационной безопасности. Деловая игра» на кафедре «Информационная безопасность» Московского Института Электронной Техники при отработке учебных вопросов, связанных с разработкой ПА.

Особенность задачи заключалась в том, что до начала аудита должна быть разработана ПА. В нормативных документах [30-32] приведено содержание ПА:

- цель аудита и частные подцели;

- оценку рисков и возможностей, связанных с ПА, и действия по их обработке;

- область (объем, границы, места) аудита;

- перечень существенных свойств объекта аудита, которые должны быть оценены;

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

- критерии аудита;

- методы, которые будут использоваться для достижения цели;

- критерии отбора членов группы по аудиту и другие существенные моменты.

Таким образом, подтверждается рабочая гипотеза, принятая в начале статьи, что в нормативных документах [30-32] содержится ответ на вопрос: «Что должно быть сделано и какие результаты получены»? Но ответ на вопрос: «Как это должно быть сделано и каким образом могут быть получены результаты», в содержательной части названных документов не содержится. Без ответа на этот вопрос не представляется возможным обеспечить сходимость результатов аудита, что крайне отрицательно влияет на доверие к полученным результатам заказчика аудита. С образовательной точки зрения, без ответа на этот основной методический вопрос невозможно сформировать требуемые компетенции выпускников магистратуры и объективно оценить их уровень.

Становление подхода происходило во время исследований по созданию учебно-методического комплекса «Подготовка аудиторской группы к практическому аудиту информационной безопасности» (УМК) [28], создание которого было начато в 2019 г. и завершено в ноябре 2020 г. Учебно-методический комплекс разрабатывается с привлечением средств гранта Благотворительного фонда В. Потанина.

В результате для разработки ПА был предложен подход, который отражает естественный ход человеческого мышления. Учитывая, что ПА содержит множество свойств объекта аудита, отражающих его состояние, лицо, управляющее программой аудита объединяет их в группы, в группе устанавливается отношение порядка в соответствии с тем или иным критерием.

Предлагаемый подход к разработке ПА позволяет построить процесс таким образом, что на самом нижнем уровне фиксируются группы СА, которые могут быть объединены СА вышестоящего уровня, которое позиционируется как аудиторское доказательство, выведенное на основе СА. Аудиторские доказательства также объединяются СА более высокого уровня, которое позиционируется как АЗ.

Для учебных целей была выбрана трехзвенная структура, на практике глубина иерархии может быть другой. Центральной задачей при исследовании ПА является определение степени влияния объективных СА на достижение промежуточных целей и на качество АЗ в целом (на вершину иерархии -общую цель аудита).

В ходе эксперимента зафиксировано, что студенты интуитивно понимают, что влияние отдельных СА на достоверность АЗ в целом различно, что приводит к необходимости определения степени такого влияния на успех в достижении цели аудита. Причем определение приоритетов СА низшего уровня относительно цели может быть сведено к последовательности решения задач определения приоритетов для каждого уровня, а каждая такая задача - к последовательности попарных сравнений. Таким образом, сравнения составляют основу предлагаемого подхода, который является моделью

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

естественного хода мышления лица, управляющего ПА, от концепции рационального поведения к структуре ПА, а от неё содержанию аудиторских процедур.

Реализация предлагаемого подхода основана на том, что:

а) при заслушивании предложений студентов, участвовавших в разработке программы аудита в ходе деловой игры, было обнаружено, что они интуитивно улавливали, что каждое СА вносит определенный вклад в достижение цели аудита, поэтому последовательно отдавали приоритет СА, которые, по их мнению, вносят больший вклад в достижение цели СА более высокого уровня и всего аудита в целом;

б) студенты, погруженные в проблему аудита, строили ПА с помощью логических рассуждений на основе опыта и интуиции. Также, чем опытнее эксперты в группе, тем более согласовано их общее мнение. Для подтверждения решения о целесообразности применения МАИ был проведен эксперимент с методикой, суть которого заключалась в том, что учебной группе второго курса предлагалось установить отношение порядка (важности) между показателями защищенности информации (конфиденциальности, целостности, доступности) для обеспечения защиты информации в автоматизированной системе управления технологическими процессами. В эксперименте участвовали 27 студентов. Опрос проводился в начале курса обучения, 8 неделе обучения и перед экзаменами. Обработка полученных экспертных заключений подтверждает справедливость гипотезы, что согласованность экспертов растет вместе с ростом уровня знаний.

Степень согласованности мнений оценивалась с помощью коэффициента конкордации Кендалла - это некоторое число от 0 до 1, характеризующее степень согласованности мнений экспертов. Чем больше коэффициент Конкордации тем более согласованными считаются мнения экспертов.

Таблица 1 - Изменение коэффициента конкордации по мере _получения знаний по предмету__

Неделя обучения 1 8 16

Коэффициент конкордации 0,3 0,6 0,97

Обработку результатов проводили с помощью специально разработанного программного средства. Математическая модель, которая положена в основу программного средства, приведена в публикации авторов [24]. Получено положительное решение по заявке на государственную регистрацию разработанной программы в реестре Роспатента [42].

В процессе разработки технологии ранжирования СА подтверждена целесообразность применения математического аппарата оперирования суждениями экспертов методом парных сравнений, методом бальных оценок; методом ранжирования. По мнению участников эксперимента, предлагаемый математический подход отражает их интуитивное понимание проблемы сравнения СА с точки зрения важности для достижения цели аудита. Более того, математическая устойчивость обобщенных результатов экспертного опроса по осознанию различий СА в сильной степени зависела от опыта,

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

подготовки и погружения в проблему самих экспертов (студентов). Поэтому для дальнейших построений были введены понятия приоритета СА, процедуры его измерения. Такой подход позволил выстроить знания и суждения экспертов таким образом, что в итоге их заключения о включении того или иного СА в ПА, было ясно выражено, оценено и установлен их приоритет для достижения цели аудита.

Для доработки программы аудита суждения экспертов уточнялись с помощью обратной связи (мониторинга ПА [30-32]), что приводило к дальнейшему уточнению обобщенного суждения экспертов.

В статье МАИ адаптирован для целей разработки ПА. Практика разработки ПА связана с взвешиванием альтернативных СА. Желательно, чтобы эти веса значимости имели смысл для задачи распределения ресурсов. Например, если вес значимости того или иного СА доминирует над остальными, но цена добывания такого СА высока, то это следует учесть при разработке ПА. Для чего была принята рабочая гипотеза, что полезность того или иного СА прямо пропорциональна его весу значимости и обратно пропорциональна стоимости его добывания. Такое утверждение интуитивно понятно и может быть принято без доказательства, как аксиома.

Следовательно, в результате взвешивания СА нужно получить веса значимости или приоритеты, которые являются оценками в основной шкале отношений. В то же время, на практике необходимо учитывать взаимозависимость СА, когда по значению того или иного СА можно достоверно прогнозировать значение других СА. Например, если значение СА «выделен ли отдельный бюджет для обеспечения защиты информации» его значение «не выделен» (большой вес значимости и ничтожная стоимость добывания), то можно наверняка утверждать, что отдельное подразделение по защите информации в штате организации отсутствует; далее следует достоверный прогноз, что политики защиты информации либо не разработаны, либо противоречивы; политики скорее не доводятся под роспись персоналу. Дальше можно и не проверять, а перейти к формулированию АЗ, что уровень защиты информации ниже требуемого.

Выводы

Применение разработанного подхода позволяет реализовать новый принцип аудита, закрепленный в ISO 19011-2018, суть которого заключается в риск-ориентированном подходе к аудиту, при котором рассматриваются риски и возможности. Результаты исследований и эксперимента c [42, 44] позволили сделать предварительное заключение, что метод анализа иерархий [44] оказался результативнее для нахождения весовых коэффициентов значимости СА, чем классический экспертный метод [42]. Однако критерий отбора экспертов нуждается в подключении дополнительных процедур с соответствующими алгоритмами и требует специального изучения, так как согласованность экспертных мнений в сильной степени зависит от уровня их подготовки и компетенции. В этом и состоит направления для дальнейшего исследования. Применение МАИ и автоматизация процедуры расчета позволили частично компенсировать раз-

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2G21

Systems of Control, Communication and Security ISSN 2410-9916

личия в уровне подготовки, компетенции экспертов. Распределение авторского вклада: Воеводин В.А. - руководитель авторского коллектива, введение, общая процедура реализации метода, описание проблемной ситуации, вербальная и формальная постановка задачи исследования, разработка общей процедуры реализации метода, процедура оценки согласованности экспертных оценок, процедура оценки согласованности и обобщения матрицы и приоритетов, описание эксперимента с методикой в ходе учебного процесса. Применение метода МАИ для аудиторской оценки готовности автоматизированной системы управления технологическими процессами в условиях компьютерных атак [43]. Маркин П.В - разработка примеров с 1 по 4, Маркина М.С. - разработка примеров с 7 по 8, Буренок Д.С. - разработка общей процедуры построения ПА с помощью метода анализа иерархий, разработка специальной программы для ЭВМ для обработки результатов экспертных оценок [42].

Работа выполнена при поддержке гранта Благотворительного фонда В. Потанина.

Литература

1. Кини Р. Л., Райфа Х. Принятие решений при многих критериях: Предпочтения и замещения / Под ред. И.Ф. Шехнова. - М.: Радио и Связь, 1981. - 560 с.

2. Ногин В. Д. Принятие решений при многих критериях. - СПб: «Ютас», 2007. - 103 с.

3. Randall P., Brown L., Deschaine L., Dimarzio J., Kaiser G., Vierow J. Application of the analytic hierarchy process to compare alternatives for the long-term management of surplus mercury // Journal of Environmental Management. 2004. Vol. 71. P. 35-43.

4. Терелянский П. В., Кременов С. И. Реализация метода анализа иерархий для оценки конкурентоспособности компьютерных фирм // Вестник Волгоградского государственного университета. Серия 3: Экономика. Экология. 2008. № 2. С. 35-43.

5. Коробов В. Б., Тутыгин А. Г. Проблемы использования метода анализа иерархий и пути их решения // Экономика и управление. 2016. № 8. С. 60-65.

6. Хохлачев Е. Н. Организация и технология выработки решений при управлении системой и войсками связи. Часть 1. Методические основы выработки военно-управленческих решений. - М.: ВА РВСН, 2012. - 234 с.

7. Лившиц И. И. Методика оптимизации программы аудита интегрированных систем менеджмента // Труды СПИИРАН. 2016. № 5. С. 52-68.

8. Лившиц И. И. Современная практика аудита информационной безопасности // Управление качеством. 2011. № 7. С. 34-41.

9. Скабцов Н. Аудит безопасности информационных систем. - СПб.: Питер, 2018. - 272 с.

10. Макаренко С. И. Аудит безопасности критической инфраструктуры специальными информационными воздействиями. Монография. - СПб.: Наукоемкие технологии, 2018. - 122 с.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

11. Макаренко С. И. Аудит информационной безопасности: основные этапы, концептуальные основы, классификация мероприятий // Системы управления, связи и безопасности. 2018. № 1. С. 1-29.

12. Gordon L. A., Loeb M. P. Managing Cybersecurity Resources: A Cost-Benefit Analysis. - The Mcgraw-Hill Homeland Security Series, 2005. - 224 р.

13. Moeller R. IT Audit, Control, and Security. - Hoboken: John Wile & Sons Inc., 2010 - 696 p.

14. Cardwell К. Building Virtual Pentesting Labs for Advanced Penetration Testing. - Packt Publishing, 2014 - 518 p.

15. Tipton H. F., Krause M. Information Security Management Handbook. -Auerbach Publications, 2006 - 3279 р.

16. Моисеев Н. Н. Математические задачи системного анализа. - М.: Наука, 1981. - 487 с.

17. Воеводин В. А. Эталонная модель объекта аудита информационной безопасности // Современная наука: Актуальные проблемы теории и практики. Естественные науки. 2019. № 9. С. 56 - 60.

18. Voevodin V. A. Method of The Study of Privacy Protection in Information // American Scientific Journal. 2019. Vol. 2. № 32. P. 47-51.

19. Воеводин В. А. Концептуальная модель объекта аудита информационной безопасности // Computational nanotechnology. 2019. № 3. С. 92-95. doi: 10.33693/2313-223X-2019-6-3-92-95

20. Коробов В. Б. Теория и практика экспертных методов: монография. -М.: ИНФРА-М, 2019. - 282 с

21. Месарович М., Мако Д., Такахара И. Теория иерархических многоуровневых систем. - М.: Мир, 1973.

22. Миркин Б.Г. Проблема группового выбора. - М.: Наука, 1974. - 312 с.

23. Воеводин В. А., Карманьян А. И., Суханов Е. Э., Штанг К. С. О методике оценки значимости аудиторских свидетельств информационной безопасности // Интеллектуальные системы в информационном противоборстве: сборник научных трудов Российской научной конференции. 2019. С. 40-44.

24. Воеводин В. А., Маркина М. С., Маркин П. В. Определение весомости аудиторских свидетельств методом бальных оценок при аудите информационной безопасности // Computational nanotechnology. 2020. Т. 7. № 1. С. 57-63. doi: 10.33693/2313-223X-2020-7-1-57-62.

25. Саати Т. Принятие решений. Метод анализа иерархий. - М.: Радио и связь, 1993. - 278 c.

26. Курило А. П., Зефиров С. Л., Голованов В. Б. и др. Аудит информационной безопасности. - М.: Издательская группа «БДЦ-пресс», 2006 - 304 с.

27. Дружинин В. В., Конторов Д. С. Основы военной системотехники. -М.: МО ŒCP, 1983.

28. Воеводин В. А. Учебно-методический комплекс для подготовки кпрактическому аудиту информационной безопасности // Современная наука:

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Актуальные проблемы теории и практики. Естественные науки. 2019. № 10. С. 56-61.

29. Воеводин В., Ковалев И., Фоломеев Л. Внедрение киберстрахования как инструмента защиты данных // Норвежский журнал развития международной науки. 2020. № 41. С. 14-17.

30. ГОСТ Р ИСО/МЭК 27006-2008 Информационная технология. Методы и средства обеспечения безопасности. Требования к органам, осуществляющим аудит и сертификацию систем менеджмента информационной безопасности. Утвержден и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 18 декабря 2008 г. № 524-ст. М.: Стандартинформ, 2010. - 40 с.

31. ГОСТ Р ИСО/МЭК 27007 - 2014. Информационная технология. Методы и средства обеспечения безопасности. Руководства по аудиту систем менеджмента информационной безопасности. Утвержден и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 01.06.2015. М.: Стандартинформ, 2015. - 27 с.

32. ГОСТ Р 56045 - 2014/180/1БС ТЯ 27008:2011. Информационная технология. Методы и средства обеспечения безопасности. Рекомендации для аудиторов в отношении мер и средств контроля и управления информационной безопасностью. Утвержден и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 11 июня 2014 г. № 569-ст. М.: Стандартинформ, 2015. - 40 с.

33. Аверичников В. И., Рытов М. Ю., Кувылкин А. В., Рудановский М. В. Аудит информационной безопасности органов исполнительной власти: учебное пособие. - М.: Флинта, 2011. - 100 с.

34. Аверичников В. И. Аудит информационной безопасности. Учебное пособие для вузов. - Брянск: БГТУ, 2012. - 268 с.

35. Иванова Н. В., Коробулина О. Ю. Аудит информационной безопасности. Учебное пособие. - СПб.: ПГУПС, 2011. - 57 с.

36. Корниенко А. А., Диасамидзе С. В. Аудит и управление информационной безопасностью. Учебное пособие. - СПб.: ПГУПС, 2011. - 82 с.

37. Кульба В. В., Шелков А. Б., Гладков Ю. М., Павельев С. В. Мониторинг и аудит информационной безопасности автоматизированных систем. - М.: ИПУ им. В.А. Трапезникова РАН, 2009. - 94 с.

38. Марков А. С., Цирлов В. Л., Барабанов А. В. Методы оценки несоответствия средств защиты информации / под ред. А.С. Маркова. - М.: Радио и связь, 2012. - 192 с.

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

39. Кочинев Ю. Ю. Основы теории аудиторского риска: Монография. -СПб.: СПбГПУ, 2009. - 53 с.

40. Кочинев Ю. Ю. Аудит: теория и практика: Монография. - СПб.: СПбГПУ, 2010. - 842 с.

41. Скобара В. В. Аудит: методология и организация. - М.: Дело и Сервис, 1998. - 576 с.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2G21

Systems of Control, Communication and Security ISSN 2410-9916

42. Буренок Д. С., Воеводин В. А. Программа метода экспертных оценок // Свидетельство о государственной регистрации программы для ЭВМ № 2020616093 от 09 июня 2020 г.

43. Ганенков Д. С., Кучин Н. В., Воеводин В. А. Компьютерная программа оценки готовности автоматизированной системы управления технологическим процессом в условиях компьютерных атак // Свидетельство о государственной регистрации программы для ЭВМ № 2020616191 от 11 июня 2020 г.

44. Буренок Д. С., Воеводин В. А. Маркин П. В., Маркина М. С. Программа метода анализа иерархий // Свидетельство о государственной регистрации программы для ЭВМ № 2020667542 от 24 декабря 2020 г.

References

1. Keeneya R. L., Raiffa H.. Decisions with Multiple Objectives: Preferences and Value Trade-Offs. New York, Wiley, 1976. 569 p.

2. Nogin V. D. Prinyatie reshenij pri mnogih kriteriyah [Multi-criteria decision making]. Sankt-Peterburg, «YUtas» publ., 2007. 103 p. (in Russia).

3. Randall P., Brown L., Deschaine L., Dimarzio J., Kaiser G., Vierow J. Application of the analytic hierarchy process to compare alternatives for the long-term management of surplus mercury. Journal of Environmental Management, 2004, vol. 71, pp. 35-43.

4. Terelyanskij P. V., Kremenov S. I. Realizaciya metoda analiza ierarhij dlya ocenki konkurentosposobnosti komp'yuternyh firm [Implementation of the Hierarchy Analysis Method for Assessing the Competitiveness of Computer Firms]. Vestnik Volgogradskogo gosudarstvennogo universiteta. Seriya 3: Ekonomika. Ekologiya, 2008, no. 2, pp. 35-43 (in Russian).

5. Korobov V. B., Tutygin A. G. Problems of Using the Hierarchy Analysis Method and Ways to Solve Them. Economics and Management, 2016, no. 8, pp. 6065 (in Russian).

6. Hohlachev E. N. Organizaciya i tekhnologiya vyrabotki reshenij pri upravlenii sistemoj i vojskami svyazi. Chast' 1. Metodicheskie osnovy vyrabotki voenno-upravlencheskih reshenij [Organization and Technology of Decision-Making in the Control of the System and Signal Troops. Part 1. Methodological Foundations for the Development of Military Management Decisions]. Moscow, Military Academy of Strategic Rocket Forces, 2012. 234 p. (in Russian).

7. Livshitz I. I. A Method for Optimizing the Integrated Management System Audit Program. SPIIRAS Proceedings, 2016, no. 5, pp. 52-68 (in Russian) https://doi.org/10.15622/sp.48.3.

8. Livshitz I. I Sovremennaya praktika audita informacionnoj bezopasnosti [Modern Practice of Information Security Audit]. Quality Management, 2011, no. 7, pp. 34-41 (in Russian).

9. Skabcov N. Audit bezopasnosti informacionnyh sistem [Information Systems Security Audit]. Saint Petersburg, Piter Publ., 2018. 272 p. (in Russian).

10. Makarenko S. I. Audit bezopasnosti kriticheskoj infrastruktury special'nymi informacionnymi vozdejstviyami. Monografiya [Security Audit of Critical

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Infrastructure by Special Informational Actions. Monograph]. Saint Petersburg, Naukoemkie tekhnologii Publ., 2018. 122 p. (in Russian).

11. Makarenko S. I. Audit of Information Security - the Main Stages, Conceptual Framework, Classification of Types. Systems of Control, Communication and Security, 2018, no. 1, pp. 1-29 (in Russian).

12. Gordon Lawrence A., Loeb Martin P. Managing Cybersecurity Resources: A Cost-Benefit Analysis. The Mcgraw-Hill Homeland Security Series, 2005. 224 p.

13. Moeller R. IT Audit, Control, and Security. Hoboken, John Wile & Sons Inc., 2010. 696 p.

14. Cardwell K. Building Virtual Pentesting Labs for Advanced Penetration Testing. Packt Publishing, 2014. 518 p.

15. Tipton H. F., Krause M. Information Security Management Handbook. Auerbach Publications, 2006. 3279 p.

16. Moiseev N. N. Matematicheskie zadachi sistemnogo analiza [Mathematical Problems of System Analysis]. Moscow, Nauka Publ., 1981. 487 p. (in Russian).

17. Voevodin V. A. Etalonnaya model' ob"ekta audita informacionnoj bezopasnosti [Reference Model of an Information Security Audit Object]. Modern Science: actual problems of theory and practice. Series of "Natural and Technical Sciences". 2019, no. 9, pp. 56 - 60(in Russian).

18. Voevodin V. A. Method of The Study of Privacy Protection in Information. American Scientific Journal, 2019, vol. 2, no. 32, pp. 47-51 (in Russian).

19. Voevodin V. A. Conceptual Model of Information Security Auditobject. Computational nanotechnology, 2019, no. 3, pp. 92-95. doi: 10.33693/2313-223X-

2019-6-3-92-95 (in Russian).

20. Korobov V. B. Teoriya i praktika ekspertnyh metodov: monografiya [Theory and Practice of Expert Methods: Monography]. Moscow, INFRA-M Publ., 2019. 282 p. (in Russian).

21. Mesarovich M., Mako D., Takahara I. Teoriya ierarhicheskih mnogourovnevyh sistem [Theory of Hierarchical Multilevel Systems]. Moscow, Mir Publ., 1973.

22. Mirkin B. G. Problema gruppovogo vybora [Group Choice Problem]. Nauka Publ., 1974. 312 p. (in Russian).

23. Voevodin V. A., Karman'yan A. I., Suhanov E. E., Shtang K. S. O Metodike ocenki znachimosti auditorskih svidetel'stv informacionnoj bezopasnosti [About the Methodology for Assessing the Significance of Information Security Audit Evidence]. Intellektual'nye sistemy v informacionnom protivoborstve: sbornik nauchnyh trudov Rossijskoj nauchnoj konferencii [Intelligent systems in information confrontation: Proceedings of the Russian scientific conference]. Moscow, Plekhanov Russian University of Economics, 2019, pp. 40-44 (in Russian).

24. Voevodin V. A., Markina M. S., Markin P. V. Determination of the Weight of Audit Evidence by the Method of Point Ratings in the Information Security Audit. Computational nanotechnology, 2020, no. 1, pp. 57-62. doi: 10.33693/2313-223X-

2020-7-1-57-62 (in Russian).

25. Saaty T.L. Multicriteria Decision Making. The Analytic Hierarchy Process: Planning, Priority Setting, Resource Allocation. RWS Pubns, 1990.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2G21

Systems of Control, Communication and Security ISSN 2410-9916

26. Kurilo A. P., Zefirov S. L., Golovanov V. B. Audit informacionnoj bezopasnosti [Information Security Audit]. Moscow, 2006. 304 p. (in Russian).

27. Druzhinin V. V., Kontorov D. S. Osnovy voennoj sistemotekhniki [Basics of Military Systems Engineering]. Moscow, 1983. (in Russian).

28. Voevodin V.A. Uchebno-metodicheskij kompleks dlya podgotovki k prakticheskomu auditu informacionnoj bezopasnosti [Educational-methodical complex for preparation for practical audit of information security]. Modern Science: actual problems of theory and practice. Series of "Natural and Technical Sciences ", 2019 no. 10, pp. 56-61 (in Russian).

29. Voevodin V., Kovalev I., Folomeev L. Implementation of Cyber-Insurance as a Data Protection Tool. Norwegian Journal of development of the International Science, 2020, no. 41, vol. 2, pp. 14-17 (in Russian).

30. State Standard ISO/MEK 27006-2008. Information technology. Security techniques. Requirements for bodies providing audit and certification of information security management systems. Moscow, Standartinform Publ., 2010. 40 p. (in Russian).

31. State Standard ISO/MEK 27007 - 2014. Information technology. Security techniques. Guidelines for information security management systems auditing. Moscow, Standartinform Publ., 2015. 27 p. (in Russian).

32. State Standard 56045 - 2014/IS0/IEC TR 27008:2011. Information technology. Security techniques. Guidelines for auditors on information security controls. Moscow, Standartinform Publ., 2015. 40 p. (in Russian).

33. Averichnikov V. I., Rytov M. Y., Kuvylkin A. V., Rudanovskij M. V. Audit informacionnoj bezopasnosti organov ispolnitel'noj vlasti [Information Security Audit of Executive Authorities]. Moscow, Flinta Publ., 2011. 100 p. (in Russian).

34. Averichnikov V. I. Audit informacionnoj bezopasnosti. [Information Security Audit]. Bryansk, Belgorod State Technological University named after V.G. Shukhov Publ., 2012. 268 p. (in Russian).

35. Ivanova N. V., Korobulina O. YU. Audit informacionnoj bezopasnosti. Uchebnoe posobie [Information Security Audit]. Saint Petersburg, Emperor Alexander I St. Petersburg State Transport University Publ., 2011. 57 p. (in Russian).

36. Kornienko A. A., Diasamidze S. V. Audit i upravlenie informacionnoj bezopasnost'yu. [Information Security Audit and Management]. Saint Petersburg, Emperor Alexander I St. Petersburg State Transport University Publ., 2011. 82 p. (in Russian).

37. Kul'ba V. V., Shelkov A. B., Gladkov Y. M., Pavel'ev S. V. Monitoring i audit informacionnoj bezopasnosti avtomatizirovannyh sistem [Monitoring and Audit of Information Security of Automated Systems]. Moscow, Institute of Control Sciences RAS, 2009. 94 p. (in Russian).

38. Markov A. S., Cirlov V. L., Barabanov A. V. Metody ocenki nesootvetstviya sredstv zashchity informacii [Methods for Assessing the Inconsistency of Information Protection Means]. Moscow, Radio i svyaz' Publ., 2012. 192 p. (in Russian).

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

39. Kochinev Y. U. Osnovy teorii auditorskogo riska: Monografiya [Fundamentals of Audit Risk Theory: Monograph]. Saint Petersburg, Peter the Great St. Petersburg Polytechnic University Publ., 2009. 53 p. (in Russian).

40. Kochinev Y.U. Audit: teoriya i praktika: Monografiya [Audit: Theory and Practice: Monograph]. Saint Petersburg, Peter the Great St. Petersburg Polytechnic University Publ., 2010. 842 p. (in Russian).

41. Skobara V. V. Audit: metodologiya i organizaciya [Audit: Methodology and Organization]. Moscow, Delo i Servis Publ., 1998. 576 p. (in Russian).

42. Burenok D. S., Voevodin V. A. Programma metoda ekspertnyh ocenok. Svidetel'stvo ob ofitsial'noi registratsii programm dlya EVM [Program For The Expert assessment method. The Certificate on Official Registration of the Computer Program]. No. 2020616093, 2020.

43. Ganenkov D. S. Kuchin N. V. Voevodin V. A. Komp'yuternaya programma ocenki gotovnosti avtomatizirovannoj sistemy upravleniya tekhnologicheskim processom v usloviyah komp'yuternyh atak. Svidetel'stvo ob ofitsial'noi registratsii programm dlya EVM [Computer program for assessing the readiness of an automated process control system in conditions of computer attacks. The Certificate on Official Registration of the Computer Program]. No. 2020616191, 2020.

44. Burenok D. S., Voevodin V. A. Markin P. V., Markina M. S. Komp'yuternaya programma metoda analiza ierarhij. Svidetel'stvo ob ofitsial'noi registratsii programm dlya EVM [Program For The Analytic Hierarchy Process. The Certificate on Official Registration of the Computer Program]. No. 2020667542, 2020.

Статья поступила 22 марта 2021 г.

Информация об авторах

Воеводин Владислав Александрович - кандидат технических наук, доцент. Доцент кафедры Информационной безопасности. Национальный исследовательский университет «Московский институт электронной техники». Область научных интересов: аудит информационной безопасности, информационная безопасность. E-mail: vva541@mail.ru

Маркин Павел Владиславович - студент 2 курса магистратуры. Кафедра Информационной безопасности. Национальный исследовательский университет «Московский институт электронной техники». Область научных интересов: аудит информационной безопасности, информационная безопасность. E-mail: mrkinp@bk.ru

Маркина Мария Сергеевна - студентка 2 курса магистратуры. Кафедра Информационной безопасности. Национальный исследовательский университет «Московский институт электронной техники». Область научных интересов: аудит информационной безопасности, информационная безопасность. E-mail: markina_mariya97@mail .ru

Буренок Дмитрий Сергеевич - студент 3 курса бакалавриата. Кафедра Информационной безопасности. Национальный исследовательский университет «Московский институт электронной техники». Область научных интересов:

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

теория вероятностей и статистика, эконометрика, финансовая математика, математическое моделирование, информационная безопасность, аудит информационной безопасности. E-mail: corr.dmitry@yahoo.com

Адрес: 124498, Россия, г. Зеленоград, площадь Шокина, дом 1.

Technique for developing an information security audit program taking into account the weight coefficients of certificates audit based on

the hierarchy analysis method

V. A. Voevodin, P. V. Markin, M. S. Markina, D.S. Burenok

Purpose. An information security audit is, by definition, a systematic, independent, and documented process for obtaining objective evidence and evaluating it objectively to determine the extent to which the audit criteria are met. To achieve the purpose of the audit, an appropriate resource is allocated and an audit program is developed, which is a set of mutually related audit procedures for obtaining objective audit evidence planned for a specific period of time. In the vast majority of cases, audit evidence cannot be evaluated in quantitative (metric) scales, so more often qualitative (non-metric) scales and the corresponding monitoring, measurement, and testing procedures are used, which place one or another element of the scale as a sign in accordance with the properties, situations, events, or processes associated with the object of audit. In such cases, the use of instrumental methods is not always justified and possible, Therefore, for an effective and efficient information security audit, the main methods for obtaining audit evidence and obtaining the results of their assessment for compliance with the audit criteria are expert methods. Each of the expert methods has its own advantages and disadvantages, but in general, if they are applied correctly, they allow you to get fairly objective assessments. In order to justify the choice, studies were conducted on the possibilities of the methods of paired comparisons and the ranking method. However, these methods allow us to obtain only alternative expert assessments of the significance of audit evidence and choose the most informative one from the pair. To avoid the loss of information due to rough comparison, the possibilities of the hierarchy analysis method, which allows taking into account the more subtle preferences of experts, were investigated. The purpose of the work is to design a methodology for developing an information security audit program, taking into account the weight coefficients of the significance of audit evidence based on the analytic hierarchy process. Methods. The choice of methods for achieving the goal was based on publications in this field, as well as on the results of research conducted by the author's team, references to which are given in the bibliography. The Methodology is based on the systematization of the AHP methodological techniques and their practical application for assessing the weight coefficients of the significance of audit evidence, the method offull-scale experiment, methods of system analysis, and expert methods. Novelty. The author's approach to the systematization and classification of audit evidence is presented, as a result of which this set is transformed into a tuple, on the basis of which the audit program is built. New verbal and formal descriptions of the problem situation and the task of applying the hierarchy analysis method for building an audit program are presented, and a procedure for calculating the weighting coefficients of the significance of audit evidence is developed. Practical relevance. The resulting methodology is implemented in the form of a set of computer programs and is included in the specialized educational and methodological complex and in the working program of the discipline "Organization of information Security audit" when training specialists in the field of information security in the specialization "Information Security Audit". In the future, the methodology is planned to be adapted and implemented in the activities of the person managing the audit program for practical use.

Keywords: audit, information security, audit certificate, hierarchy analysis method, information security audit.

DOI: 10.24412/2410-9916-2021-2-96-129

Системы управления,связи и безопасности №2. 2021

Systems of Control, Communication and Security ISSN 2410-9916

Information about Authors

Vladislav Alexandrovich Voevodin - Ph.D. of Engineering Sciences, Associate Professor. Associate Professor of the Department of Information security. National Research University of Electronic Technology. Research interests: information security audit, information security. E-mail address: vva541@mail.ru

Pavel Vladislavovich Markin - master student. 2nd year master's student of the Department of Information security. National Research University of Electronic Technology. Research interests: information security audit, information security. E-mail address: mrkinp@bk.ru

Maria Sergeevna Markina - master student. 2nd year master's student of the Department of Information security. National Research University of Electronic Technology. Research interests: information security audit, information security. E-mail address: markina_mariya97@mail.ru

Dmitry Sergeevich Burenok - bachelor student. 3nd year undergraduate student of the Department of Information security. National Research University of Electronic Technology. Research interests: information security audit, information security. E-mail address: corr.dmitry@yahoo.com

Address: 124498, Russia, Zelenograd, Shokin square, building 1.

DOI: 10.24412/2410-9916-2021-2-96-129