В статье рассматриваются возможности управления безопасностью критических информационных инфраструктур. Предлагаются подходы к построению политики, неориентированной на оценку остаточного риска и фиксированный список угроз. Обосновывается возможность построения управления информационной безопасностью на основе мониторинга событий безопасности. Предлагается формальное описание событий безопасности, механизмов защиты. Вводится отношение порядка для сравнения систем защиты информации и осуществления асимптотического управления информационной безопасностью критических информационных инфраструктур.
The article discusses the security management capabilities of critical information infrastructures. It discusses approaches to developing security policies that don’t lean on assessing residual risks and identifying a fixed list of threats. We examine the possibility of building information security management systems based on monitoring of security events. A formal description of security events as well as relevant protection methods is proposed. The paper introduces an order relation for information security systems comparison and asymptotic CII security control implementation.
The authors declare that there are no conflicts of interest present.