Information Security Risk Assessment of Industrial Control Systems

Abstract

Цель работы: формирование методики количественной и качественной оценки рисков информационной безопасности автоматизированных систем управления технологическим процессом как объектов критической информационной инфраструктуры и предложений об ее внедрении в проводимый процесс категорирования объектов критической информационной инфраструктуры с целью адаптации базового набора мер защиты.Метод исследования: анализ существующих подходов к оценке рисков информационной безопасности. Анализ отечественных и зарубежных нормативно-правовых и методических документов на предмет применимости для оценки рисков информационной безопасности автоматизированных систем управления технологическим процессом. Построение блок-схем процессов оценки рисков.Результаты: в исследовании обоснована необходимость проведения оценки рисков информационной безопасности автоматизированных систем управления технологическим процессом с целью адаптации базового набора мер защиты. Проведен анализ методов количественной и качественной оценки рисков информационной безопасности, определен смешанный подход к оценке рисков как компромиссный между ними. На основании национальных и международных нормативно-методических документов и практики обеспечения информационной безопасности были определены факторы и характеристики рисков информационной безопасности, а также возможность их количественной оценки. Сформированы предложения к алгоритму количественной и качественной оценки рисков информационной безопасности автоматизированных систем управления технологическим процессом и к его внедрению в проводимый процесс категорирования объектов критической информационной инфраструктуры. Составлены блок-схема соответствующих процессов.Практическая ценность: практическая ценность работы заключается в предложении метода оценки рисков, согласованного с существующей практикой обеспечения информационной безопасности автоматизированных систем управления технологическим процессом, методами управления рисками информационной безопасности и требованиями регулирующих органов. Результаты проведенного анализа и выработанные рекомендации по адаптации базового набора мер защиты могут быть используемы для повышения информационной безопасности автоматизированных систем управления технологическим процессом.