Управління ризиками інформаційної безпеки - Робоча програма навчальної дисципліни (Силабус)

Реквізити навчальної дисципліни

Програма навчальної дисципліни

Опис навчальної дисципліни, її мета, предмет вивчання та результати навчання

Відмінністю сучасного суспільства є перехід до нової фази свого розвитку – постіндустріальної формації. Серед характерних особливостей цієї формації – надзвичайно висока концентрація енергетичних ресурсів в об’єктах техносфери, що інтенсифікує руйнівні сили можливих небезпечних техногенних явищ, глобалізація світового економічного ринку, яка призводить до зростання кількості учасників конкурентної боротьби та підвищення її гостроти, неконтрольоване збільшення обсягів інформації, що циркулюють у різних галузях людської діяльності й, на жаль, часто ведуть до поглиблення невизначеності та непрогнозованості результатів цієї діяльності в цілому. Все це надає привід стверджувати, що нове суспільство – це суспільство ризику, однією з головних задач якого стає аналіз можливих ризиків та нейтралізація небезпек.

В цій ситуації на перший план виходить проблема формування теоретико-методичних засад аналізу та управління ризиками (зокрема у сфері інформаційної безпеки), розгляду загальних аспектів якої присвячений даний курс.).

Мета вивчення дисципліни “Управління ризиками інформаційної безпеки” полягає у формуванні у майбутніх спеціалістів умінь та компетенцій для забезпечення ефективної оцінки ризиків та управління ними в інформаційних системах, необхідних для подальшої роботи, навчити їх застосуванню методів та засобів оцінювання ризиків та управління ними у інформаційних системах в умовах широкого використання сучасних інформаційних технологій.

Головне завдання дисципліни - надати студентам знання, основні рекомендації та загальні принципи щодо здійснення, підтримки і поліпшення системи управління інформаційною безпекою підприємства на базі міжнародних стандартів ISO/IEC серії 27000, що забезпечують загальну настанову щодо безпеки інформації на загальноприйнятих показниках.

Фахові компетентності спеціальності

Ф К 5 Здатність застосовувати вітчизняні та міжнародні методичні й нормативні документи, пропозиції та проводити заходи щодо реалізації розроблених проектів

Ф К 8 Здатність забезпечувати конфіденційність, доступність і цілісність інформації, що використовується в комплексній системі захисту інформації в інтелектуальних робототехнічних системах

ФК 13 Здатність до пошуку, оброблення та узагальнення інформації з різних джерел

ФК 16 Здатність використовувати математико-статистичні методи та моделі формування оптимальних рішень за умов багатокритерійності, в умовах невизначеності та нечіткості, методів та моделей багато особового прийняття рішень, розробляти та застосовувати моделі, методи та алгоритми прийняття рішень в умовах конфлікту, нечіткої інформації, невизначеності та ризиків

Програмні результати навчання

ПРН 6 Знати і застосовувати сучасні професійні стандарти і інші нормативно-правові документи з проектування та супроводження інформаційних систем

ПРН 11 Знати основні загроз та ризики інформаційної безпеки і вміти застосовувати сучасні програмні та технічні засоби захисту інформації в інформаційно-комунікаційних системах

ПРН 12 Забезпечувати конфіденційність, доступність і цілісність інформації, що використовується в комплексній системі захисту інформації в інтелектуальних робототехнічних системах на основі криптографічних методів

ПРН 16 Працювати з науковою, науково-технічною літературою та науковою періодикою, застосовувати методи систематизації інформації, готувати звіти за результатами науково-дослідних робіт

ПРН 19 Формалізувати задачі прийняття рішень, обґрунтовано вибрати метод та алгоритм оптимізації рішень для побудованої моделі задачі, знаходити розв’язки багатокритеріальних задач прийняття рішень, застосовувати експертні процедури та технології прийняття рішень

Пререквізити та постреквізити дисципліни (місце в структурно-логічній схемі навчання за відповідною освітньою програмою)

Вивчення дисципліни “Управління ризиками інформаційної безпеки» передбачає наявність систематичних та ґрунтовних знань із суміжних курсів («Теорія ймовірностей та математична статистика», „Безпека інформаційних систем ”, «Моделювання технічних систем», «Проектування інформаційних систем»).

Зміст навчальної дисципліни

Тема 1. Поняття ризику. Різні підходи до визначення ризику

Тема 2. Принципи і порядок розробки комплексних систем захисту інформації

Тема 3. Менеджмент інформаційної безпеки

Тема 4. Методи аналізу і загального оцінювання ризиків інформаційної безпеки

Тема 5. Інструментальні засоби моделювання загроз та оцінювання ризиків інформаційної безпеки

Тема 6. Управління інцидентами інформаційної безпеки. Метрики ефективності інформаційної безпеки.

Навчальні матеріали та ресурси

Базова

1. ISO/IEC 27004:2016 (E). Information technology — Security techniques — Information security management — Measurement.

2. ДСТУ ISO /IEC 31010:2013 (ISO /IEC 31010:2009, IDT) «Керування ризиком. Методи загального оцінювання ризику».

3. ДСТУ ISO/IEC 27001:2015 (ISO/IEC 27001:2013; Cor 1:2014, IDТ) «Інформаційні технології. методи захисту системи управління інформаційною безпекою. Вимоги».

4. Загурський О.А. Управління ризиками. - К.: Університет Україна, 2016. - 244 с.

5. Корченко О.Г. Аудит та управління інцидентами інформаційної безпеки: навч. посіб. [Електронний ресурс] / [Корченко О.Г., Гнатюк С.О., Казмірчук С.В. та ін.]. –К.: Центр навч.-наук. та наук.-пр. видань НАСБ України, 2014. – 190 с. – Режим доступу:http://193.178.34.24/bitstream/NAU/38027/1/Audit%26Incident_15042014.pdf

6. Милославская Н. Г., Сенаторов М. Ю., Толстой А. И. Управление рисками информационной безопасности. Учебное пособие для вузов. – М.: Горячая линия-Телеком, 2016.– 245 с.

7. НД ТЗІ 3.7-001-99. Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в АС.

8. НД ТЗІ 3.7-003-05. Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі.

Додаткова

1. OWASP Threat Dragon [Електронний ресурс]. Режим доступу: https://www.owasp.org/index.php/About\_The\_Open\_Web\_Application\_Security\_Project.

2. OWASP Threat Dragon on Github [Електронний ресурс]. Режим доступу: https://github.com/mikegoodwin/ owasp-threat-dragon-desktop.

3. The Open Web Application Security Project (OWASP) Електронний ресурс]. Режим доступу: https://www.owasp.org.

4. CAIRIS [Електронний ресурс]. Режим доступу: https://cairis.org/.

5. CAIRIS [Електронний ресурс]. https://github.com/failys/cairis.

6. Mozilla launches free, online threat modelling tool [Електронний ресурс]. Режим доступу: https://siliconangle.com/blog/2015/04/01/mozilla-launches-free-online-threat-modelling-tool/

7. Microsoft Threat Modeling Tool [Електронний ресурс]. Режим доступу: https://docs.microsoft.com/enus/azure/security/azure-security-threat-modeling-tool

8. Threat Modeling [Електронний ресурс]. Режим доступу: https://msdn.microsoft.com/enus/ library/ff648644.aspx.

9. RiskWatch technical specifications [Електронний ресурс]. Режим доступу: http://www.riskwatch.com/wpcontent/ uploads/2014/05/SWDataSheet.pdf.

10. RiskWatch [Електронний ресурс]. Режим доступу: http://www.riskwatch.com/

11. vsRisk [Електронний ресурс]. Режим доступу: https://www.vigilantsoftware.co.uk/product/vsriskstandalone.

12. Методология OCTAVE для оценки информационных рисков [Електронний ресурс]. – Режим доступу: http://www.risk24.ru/octave.htm

13. Методологии управления ИТ-рисками [Електронний ресурс]. – Режим доступу:http://www.iso27000.ru/chitalnyi-zai/upravlenie-riskamiinformacionnoi bezopasnosti/metodologii-upravleniya-it-riskami

14. Грищук Р.В., Даник Ю.Г. Основи кібернетичної безпеки: Монографія /; за заг. ред. Ю. Г. Даника. Житомир: ЖНАЕУ, 2016.

15. Петренко С. А. Управление информационными рисками. Экономически оправданная безопасность / С. А. Петренко, С. В. Симонов. – М. : Академия АйТи : ДМК Пресс, 2008. – 384 с.

16. Корченко О.Г., Казмірчук С.В., Ахметов Б.Б., Прикладні системи оцінювання ризиків інформаційної безпеки. Монографія, Київ, ЦП «Компринт», 2017 – 435 с.

Навчальний контент

Методика опанування навчальної дисципліни (освітнього компонента)

Методика опанування навчальної дисципліни (освітнього компонента)

ЛЕКЦІЇ

ПРАКТИЧНІ ЗАНЯТТЯ

ТЕМАТИКА ІНДИВІДУАЛЬНИХ ЗАВДАНЬ

Методи аналізування для загального оцінювання ризиків (IEC/ISO 31010)

Самостійна робота студента/аспіранта

Самостійна робота студентів складається з:

• підготовки до аудиторних занять;

• підготовка до виконання практичних робіт;

• підготовка до модульної контрольної роботи

• підготовка до залік.

САМОСТІЙНА РОБОТА

Політика та контроль

Політика навчальної дисципліни (освітнього компонента)

Форми організації освітнього процесу, види навчальних занять і оцінювання результатів навчання регламентуються Положенням про організацію освітнього процесу в Національному технічному університеті України «Київському політехнічному інституті імені Ігоря Сікорського».

Політика виставлення оцінок: кожна оцінка виставляється відповідно до розроблених викладачем та заздалегідь оголошених студентам критеріїв, а також мотивується в індивідуальному порядку на вимогу студента; у випадку не виконання студентом усіх передбачених навчальним планом видів занять (практичних робіт, контрольних робіт) до заліку він не допускається.

Відвідування є обов'язковим Якщо студент не може бути присутніми на заняттях, він все одно несете відповідальність за виконання практичних завдань.

Порядок зарахування пропущених занять. Відпрацювання пропущеного практичного заняття здійснюється шляхом самостійного виконання завдання і його захисту відповідно розкладу та графіку консультацій викладача.

Реферати також можуть підготувати студенти, у яких недостатньо рейтингових балів.

Політика академічної поведінки та доброчесності: конфліктні ситуації мають відкрито обговорюватись в академічних групах з викладачем, необхідно бути взаємно толерантним, поважати думку іншого. Плагіат та інші форми нечесної роботи неприпустимі. Всі індивідуальні завдання студент має виконати самостійно із використанням рекомендованої літератури й отриманих знань та навичок. Цитування в письмових роботах допускається тільки із відповідним посиланням на авторський текст

Норми академічної етики: дисциплінованість; дотримання субординації; чесність; відповідальність; робота в аудиторії з відключеними мобільними телефонами. Повага один до одного дає можливість ефективніше досягати поставлених результатів. При виконанні практичних завдань студент може користуватися ноутбуками. Проте під час лекційних занять та обговорення завдань практичних завдань не слід використовувати ноутбуки, смартфони, планшети чи комп’ютери. ,

Дотримання академічної доброчесності студентів й викладачів регламентується кодекс честі Національного технічного університету України «Київський політехнічний інститут», положення про організацію освітнього процесу в КПІ ім. Ігоря Сікорського

Види контролю та рейтингова система оцінювання результатів навчання (РСО)

1. Рейтинг студента з кредитного модуля складається з балів, що він отримує за:

1. підготовку та захист двох самостійних практичних завдань. Виконання завдання з полягає у підготовці і захисту реферату (doc-файл) і презентації згідно тематики дисципліни.

2. модульної контрольної роботи;

2. Критерії нарахування балів.

2.1. Роботи практичних завдань оцінюються із 40 балів кожне:

• «відмінно» – повна відповідь (реферат та презентація) з прикладом

  застосування засобу чи методу – 36-40 балів;

• «дуже добре» – повна відповідь без прикладу застосування засобу чи

  методу – 31-35 балів;

• «добре» – достатньо повна відповідь з незначними недоліками – 26-30

  балів;

• «задовільно» – неповна відповідь – 26-30 балів;

• «достатньо» – неповна відповідь та помилки – 21-25 балів;

• «незадовільно» – відповідь не відповідає вимогам до «задовільно» – 0

  балів.

2.3. Модульна контрольна робота оцінюється із 20 балів за такими критеріями:

• «відмінно» – повна відповідь (не менше 90% потрібної інформації) –

  18-20 балів;

• «добре» – достатньо повна відповідь (не менше 75% потрібної

  інформації) або повна відповідь з незначними помилками – 15-17 балів;

• «задовільно» – неповна відповідь (не менше 60% потрібної інформації)

  та незначні помилки – 11-14 бали;

• «незадовільно» – відповідь не відповідає вимогам до «задовільно» –

  0–3 балів.

Таблиця відповідності рейтингових балів оцінкам за університетською шкалою:

Додаткова інформація з дисципліни (освітнього компонента)

Робочу програму навчальної дисципліни (силабус):

Складено доцент кафедри інформаційних систем та технологій, к.т.н., доцент Пасько Віктор Петрович

Ухвалено кафедрою інформаційних систем та технологій (протокол № 1 від 30.08.2021 р.)

Погоджено Методичною комісією факультету інформатики та обчислювальної техніки (протокол № 1 від 30.08.2021 р.)