Управління ризиками інформаційної безпеки - Робоча програма навчальної дисципліни (Силабус)

Реквізити навчальної дисципліни

Програма навчальної дисципліни

1. Опис навчальної дисципліни, її мета, предмет вивчання та результати навчання

Відмінністю сучасного суспільства є перехід до нової фази свого розвитку – постіндустріальної формації. Серед характерних особливостей цієї формації – надзвичайно висока концентрація енергетичних ресурсів в об’єктах техносфери, що інтенсифікує руйнівні сили можливих небезпечних техногенних явищ, глобалізація світового економічного ринку, яка призводить до зростання кількості учасників конкурентної боротьби та підвищення її гостроти, неконтрольоване збільшення обсягів інформації, що циркулюють у різних галузях людської діяльності й, на жаль, часто ведуть до поглиблення невизначеності та непрогнозованості результатів цієї діяльності в цілому. Все це надає привід стверджувати, що нове суспільство – це суспільство ризику, однією з головних задач якого стає аналіз можливих ризиків та нейтралізація небезпек.

В цій ситуації на перший план виходить проблема формування теоретико-методичних засад аналізу та управління ризиками (зокрема у сфері інформаційної безпеки), розгляду загальних аспектів якої присвячений даний курс.).

Мета вивчення дисципліни “Управління ризиками інформаційної безпеки” полягає у формуванні у майбутніх спеціалістів умінь та наступних компетенцій для забезпечення ефективної оцінки ризиків та управління ними в інформаційних системах, необхідних для подальшої роботи, навчити їх застосуванню методів та засобів оцінювання ризиків та управління ними у інформаційних системах в умовах широкого використання сучасних інформаційних технологій.

ЗК 05

Здатність оцінювати та забезпечувати якість виконуваних робіт.

СК 03

Здатність проектувати інформаційні системи з урахуванням особливостей їх призначення, неповної / недостатньої інформації та суперечливих вимог.

СК 06

Здатність управляти інформаційними ризиками на основі концепції інформаційної безпеки.

СК 10

Здатність забезпечувати конфіденційність, доступність і цілісність інформації, що використовується в комплексній системі захисту інформації в інтелектуальних робототехнічних системах

Предмет навчальної дисципліни – методи оцінювання ризиків інформаційної безпеки, які використовуються як якісні та кількісні показники якості та захищеності інформаційних систем при їх проектуванні та аналізі.

*Програмні результати навчання, на формування та покращення яких спрямована дисципліна: **РН10 ***

Забезпечувати якісний кіберзахист ІСТ, планувати, організовувати, впроваджувати та контролювати функціонування систем захисту інформації.

РН14

Забезпечувати конфіденційність, доступність і цілісність інформації, що використовується в комплексній системі захисту інформації в інтелектуальних робототехнічних системах на основі криптографічних методів.

2. Пререквізити та постреквізити дисципліни (місце в структурно-логічній схемі навчання за відповідною освітньою програмою)

Вивчення дисципліни “Управління ризиками інформаційної безпеки» передбачає наявність систематичних та ґрунтовних знань із суміжних курсів («Теорія ймовірностей та математична статистика», „Безпека інформаційних систем ”, «Моделювання технічних систем», «Проектування інформаційних систем», «Теорія прийняття рішень»).

3. Зміст навчальної дисципліни

Розділ 1. Ризик: визначення та сутність ризику в різних сферах діяльності, основні властивості та характеристики

Тема 1.1. Сутність ризику. Структура ризиків. Невизначеність і ризик. Моделі (концепції) ризиків

Тема 1.2. Класифікація (види) ризиків. Класифікація невизначеностей, показники ризиків. та невизначеності. Аналіз ризиків: концепції аналізу, види та задачі, методи аналізу

Розділ 2. Організація управління ризиками, процес управління ризиками. Структура, рівні та механізми управління ризиками .

Тема 2.1. Поняття вразливостей інформаційної системи. Моделі загроз та порушника.

Ідентифікація активів інформаційної безпеки.

*Тема 2.**2.*Процесна модель менеджменту ризиків інформаційної безпеки. и кл у харта е мінга ( икл PDCA). Життєвий цикл системи управління інформаційною безпекою. Тема 2.3.. Методологічне та нормативне забезпечення аналізу та обрахування ризиків. Міжнародні стандарти в галузі аналізу та оцінювання ризиків Тема 2.4. Серія стандартів ISO/IEC 270xx .

Тема 2.5. СТУ ISO 31000:2018 Менеджмент ризиків. Принципи та настанови (ISO 31000:2018, IDT). СТУ ІЕС/ІSО 31010:2019 (ІЕС/ІSО 31010:2019,IDТ). Керування ризиком.

Методи загального оцінювання ризику.

Тема 2.6. Фреймворк "NIST Risk Management Framework".

Розділ 3. Методи аналізу і загального оцінювання ризиків інформаційної безпеки.

Тема 3.1. Методики формування поглядів від зацікавлених сторін та експертів. Технології ідентифікації ризику. Методики визначення джерел, причин і домінантних факторів ризику. Технології аналізу засобів контролю.

Тема 3.2. Методи розуміння наслідків і ймовірностей. Методи аналізу залежностей і взаємодій. Методи вимірювання ризику. Методики оцінювання значущості ризиків. Технології вибору між варіантами. Методи документування та звітності.

Розділ 4. Інструментальні засоби моделювання загроз та оцінювання ризиків інформаційної безпеки.

Тема 4.1. Засоби аналізу та оцінювання ризиків. Методики оцінки ризиків інформаційної безпеки CRAMM, OCTAVE, RiskWatch. Методика оцінювання ризиків Microsoft. Тема 4.2. Засоби моделювання загроз. Microsoft Security Assessment Tool.

Розділ 5. Моніторинг, вимірювання, аналіз та оцінювання інформаційної безпеки. Вимірювання.

Тема 5.1. СТУ ISO/IEC 27004:2018 (ISO/IEC 27004:2016, IDT). окумент NIST SP 800-55 «Performance Measurement Guide for Information Security».

Тема 5.2. Метрики ефективності безпеки. Використання метрик інформаційної управління безпекою.

Розділ 6. Управління інцидентами інформаційної безпеки.

Тема 6.1. ілі управління інцидентами. Основні завдання управління ІІБ. Роль системи управління інцидентами в СУІБ. Перелік категорій кіберінцидентів.

Тема 6.2. Міжнародні стандарти в галузі обробки інцидентів. Зміст процесу управління інцидентами. Обробка інцидентів згідно ISO 20035. Метрики ефективності процесу управління інцидентами.

Тема 6.3. Сучасні бази даних уразливостей інформаційної безпеки.

Тема 6.4. Функціонування груп реагування на інциденти інформаційної безпеки CERT/CSIRT.

4. Навчальні матеріали та ресурси

Базова

1. ISO/IEC 27004:2016 (E). Information technology — Security techniques — Information security management — Measurement.

2. ДСТУ ISO /IEC 31010:2013 (ISO /IEC 31010:2009, IDT) «Керування ризиком. Методи загального оцінювання ризику».

3. ДСТУ ISO/IEC 27001:2015 (ISO/IEC 27001:2013; Cor 1:2014, IDТ) «Інформаційні

технології. МЕТОДИ ЗАХИСТУ СИСТЕМИ УПРАВЛІННЯ ІНФОРМАЦІЙНОЮ БЕЗПЕКОЮ. Вимоги».

1. Загурський О. Управління ризиками. - К.: Університет Україна, 2016. - 244 с.

2. КорченкоО.Г. Аудит та управління інцидентами інформаційної безпеки: навч. посіб. [Електронний ресурс] / [КорченкоО.Г., Гнатюк С.О., КазмірчукС.В. та ін.]. –К.: Центр навч.-наук. та наук.-пр. видань НАСБ України, 2014. – 190 с. – Режим

доступу:http://193.178.34.24/bitstream/NAU/38027/1/Audit%26Incident_15042014.pdf

1. НД ТЗІ 3.7-001-99. Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в АС.

2. Корченко О.Г., Казмірчук С.В., Ахметов Б.Б., Прикладні системи оцінювання ризиків інформаційної безпеки. Монографія, Київ, ЦП «Компринт», 2017 – 435 с.

3. НД ТЗІ 3.7-003-05. Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі.

4. Гуменюк В.Я., Міщук Г.Ю., Олійник О.О. Управління ризиками: Навч. посіб. – Рівне.: НУВГП, 2009.- 156 с.

Додаткова 10. OWASP Threat Dragon [Електронний ресурс]. Режим доступу: https://www.owasp.org/index.php/About\_The\_Open\_Web\_Application\_Security\_Project. 11. OWASP Threat Dragon on Github [Електронний ресурс]. Режим доступу: https://github.com/mikegoodwin/ owasp-threat-dragon-desktop.

1. The Open Web Application Security Project (OWASP) Електронний ресурс]. Режим доступу: https://www.owasp.org.

2. CAIRIS [Електронний ресурс]. Режим доступу: https://cairis.org/.

3. CAIRIS [Електронний ресурс]. https://github.com/failys/cairis.

4. Mozilla launches free, online threat modelling tool [Електронний ресурс]. Режим доступу:

https://siliconangle.com/blog/2015/04/01/mozilla-launches-free-online-threat-modelling-tool/

1. Microsoft Threat Modeling Tool [Електронний ресурс]. Режим доступу: https://docs.microsoft.com/enus/azure/security/azure-security-threat-modeling-tool

2. Threat Modeling [Електронний ресурс]. Режим доступу: https://msdn.microsoft.com/enus/ library/ff648644.aspx.

3. RiskWatch technical specifications [Електронний ресурс]. Режим доступу: http://www.riskwatch.com/wpcontent/ uploads/2014/05/SWDataSheet.pdf.

4. RiskWatch [Електронний ресурс]. Режим доступу: http://www.riskwatch.com/

5. vsRisk [Електронний ресурс]. Режим доступу: https://www.vigilantsoftware.co.uk/product/vsriskstandalone. 21. Методологія OCTAVE для оцінювання ризиків [Електронний ресурс]. – Режим доступу:

http://www.risk24.ru/octave.htm

1. Методологія управління ризиками [Електронний ресурс]. – Режим доступу:http://www.iso27000.ru/chitalnyi-zai/upravlenie-riskamiinformacionnoi bezopasnosti/metodologii-upravleniya-it-riskami

2. Грищук Р.В., Даник Ю.Г. Основи кібернетичної безпеки: Монографія /; за заг. ред. Ю. Г. Даника. Житомир: ЖНАЕУ, 2016.

Навчальний контент

5. Методика опанування навчальної дисципліни (освітнього компонента)

Лекційні заняття

Комп’ютерні практикуми

Самостійна робота студента

Політика та контроль

6. ПОЛІТИКА НАВЧАЛЬНОЇ ДИСЦИПЛІНИ (ОСВІТНЬОГО КОМПОНЕНТА)

Форми організації освітнього процесу, види навчальних занять і оцінювання результатів навчання регламентуються Положенням про організацію освітнього процесу в Національному технічному університеті України «Київському політехнічному інституті імені Ігоря Сікорського».

Політика виставлення оцінок: кожна оцінка виставляється відповідно до розроблених викладачем та заздалегідь оголошених студентам критеріїв, а також мотивується в індивідуальному порядку на вимогу студента; у випадку невиконання студентом усіх передбачених навчальним планом видів занять (практичних робіт, контрольних робіт) до екзамену він не допускається; пропущені заняття обов’язково мають бути відпрацьовані.

Відвідування є обов'язковим (за винятком випадків, коли існує поважна причина, наприклад, хвороба чи дозвіл працівників деканату). Якщо студент не може бути присутніми на заняттях, він все одно несете відповідальність за виконання завдань, що проводились в комп’ютерному класі.

Порядок зарахування пропущених занять. Відпрацювання пропущеного практичного заняття здійснюється шляхом самостійного виконання завдання і його захисту відповідно до графіку консультацій викладача.

Політика академічної поведінки та доброчесності: конфліктні ситуації мають відкрито обговорюватись в академічних групах з викладачем, необхідно бути взаємно толерантним, поважати думку іншого. Плагіат та інші форми нечесної роботи неприпустимі. Всі індивідуальні завдання та курсову роботу студент має виконати самостійно із використанням рекомендованої літератури й отриманих знань та навичок. Цитування в письмових роботах допускається тільки із відповідним посиланням на авторський текст. Недопустимі підказки і списування у ході захисту комп’ютерних практикумів, на контрольних роботах, на іспиті.

Норми академічної етики: дисциплінованість; дотримання субординації; чесність; відповідальність; робота в аудиторії з відключеними мобільними телефонами. Повага один до одного дає можливість ефективніше досягати поставлених результатів. При виконанні комп’ютерних практикумів студент може користуватися ноутбуками. Проте під час лекційних занять та обговорення завдань комп’ютерних практикумів не слід використовувати ноутбуки, смартфони, планшети чи комп’ютери. Це відволікає викладача і студентів групи та перешкоджає навчальному процесу. Якщо ви використовуєте свій ноутбук чи телефон для аудіо- чи відеозапису, необхідно заздалегідь отримати дозвіл викладача.

Дотримання академічної доброчесності студентів й викладачів регламентується кодекс честі Національного технічного університету України «Київський політехнічний інститут», положення про організацію освітнього процесу в КПІ ім. Ігоря Сікорського

Види контролю та рейтингова система оцінювання результатів навчання (РСО)

РОЗПОДІЛ БАЛІВ, ЯКІ ОТРИМУЮТЬ СТУДЕНТИ ПІД ЧАС ВИВЧЕННЯ ДИСЦИПЛІНИ

R=8*6+2*6+40=100

Календарний контроль: провадиться двічі на семестр як моніторинг поточного стану виконання вимог силабусу.

За результатами навчальної роботи за перші 7 тижнів максимально можлива кількість балів – 18 балів. На першій атестації (8-й та 9-й тиждень) студент отримує “зараховано”, якщо його поточний рейтинг не менше 10 балів.

За результатами 13 тижнів навчання максимально можлива кількість балів – 40 балів. На другій атестації (14-й тиждень) студент отримує “зараховано”, якщо його поточний рейтинг не менше 24 бали.

Семестровий контроль:залік.

Умови допуску до семестрового контролю: мінімально позитивна оцінка за індивідуальне завдання / зарахування усіх комп’ютерних практикумів т та підсумкова кількість балів не менше 35.

Таблиця відповідності рейтингових балів оцінкам за університетською шкалою:

Робочу програму навчальної дисципліни (силабус):

Складено доцент кафедри інформаці ни систем та те ноло і , к.т.н., доцент ас ко Віктор етрович

Ухвалено кафедрою інформаці ни систем та те ноло і (протокол № 21 від 29.06.2023 р.)

Погоджено Методичною комісією факул тету інформатики та обчислювал ної те ніки (протокол № 11 від 30.06.2023 р.)