Оцінювання ризиків та планування відновлення ІС
Спеціальність: Кібербезпека
Код дисципліни: 6.125.03.E.108
Кількість кредитів: 4.00
Кафедра: Захист інформації
Семестр: 6 семестр
Форма навчання: денна
Оцінювання ризиків та планування відновлення ІС
Спеціальність: Кібербезпека
Код дисципліни: 6.125.04.E.127
Кількість кредитів: 4.00
Кафедра: Захист інформації
Лектор: к. ф.-м. н., доцент Прокопишин Іван Анатолійович
Семестр: 6 семестр
Форма навчання: денна
Завдання: Вивчення навчальної дисципліни відповідно до ОПП бакалавра спеціальності 125 Кібербезпека передбачає формування у здобувачів освіти таких компетентностей:
ЗК 2. Знання та розуміння предметної області та розуміння професії.
ЗК 4. Вміння виявляти, ставити та вирішувати проблеми за професійним спрямуванням.
ЗК 5. Здатність до пошуку, оброблення та аналізу інформації.
ФКС 4.2. Уміння написати політику кібербезпеки на об’єкті інформаційної діяльності, спираючись на міжнародні та вітчизняні стандарти, а також застосовувати кращі існуючі практики.
ФКС 4.3. Уміння працювати із інцидентами інформаційної безпеки, виконувати їх оцінку, визначати пріоритети та аналізувати інциденти.
ФКС 4.4. Здатність опрацьовувати та аналізувати журнали реєстрації подій, уміння розробляти синтаксичні аналізатори.
ФКС 4.6. Уміння проводити криміналістичну експертизу слідів кібератак в кібернетичному просторі.
ФКС 4.9. Здатність виконувати моніторинг даних, комп’ютерних зловживань та аномалій.
ФКС 4.10. Уміння аналізувати інформацію, надану інформаційними системами, з метою виявлення типових ознак можливого несанкціонованого доступу.
Результати навчання: У результаті вивчення навчальної дисципліни здобувач освіти повинен бути здатним продемонструвати такі програмні результати навчання:
ЗН 3. Використовувати результати самостійного пошуку, аналізу та синтезу інформації з різних джерел для ефективного рішення спеціалізованих задач професійної діяльності.
ЗН 4. Аналізувати, аргументувати, приймати рішення при розв’язанні складних спеціалізованих задач та практичних проблем у професійній діяльності, які характеризуються комплексністю та неповною визначеністю умов, відповідати за прийняті рішення.
ЗН 7. Діяти на основі законодавчої та нормативно-правової бази України та вимог відповідних стандартів, у тому числі міжнародних в галузі інформаційної та/або кібербезпеки.
ЗН 4.1. Вирішувати завдання захисту програм та інформації, що обробляється в інформаційно-телекомунікаційних системах програмно-апаратними засобами та давати оцінку результативності якості прийнятих рішень.
ЗН 4.4. Аналізувати та проводити оцінку ефективності та рівня захищеності ресурсів різних класів в інформаційних та інформаційно-телекомунікаційних (автоматизованих) системах в ході проведення випробувань згідно встановленої політики інформаційної та/або кібербезпеки.
ЗН 4.7. Застосовувати теорії та методи захисту для забезпечення безпеки елементів інформаційно-телекомунікаційних систем.
ЗН 4.8. Вирішувати задачі управління процесами відновлення штатного функціонування інформаційно-телекомунікаційних систем з використанням процедур резервуванням згідно встановленої політики безпеки.
ЗН 4.9. Вирішувати задачі забезпечення безперервності бізнес процесів організації на основі теорії ризиків.
ЗН 4.10. Приймати участь у розробці та впровадженні стратегії інформаційної безпеки та/або кібербезпеки відповідно до цілей і завдань організації.
Необхідні обов'язкові попередні та супутні навчальні дисципліни: CК1.3. Основи інформаційної та кібернетичної безпеки
СК2.6. Методи та засоби технічного захисту інформації
CК1.7. Вища математика, ч.2
СК2.16. Менеджмент інформаційної безпеки
Короткий зміст навчальної програми: Основні концепції та принципи інформаційної безпеки. Основні поняття теорії надійності, структурні моделі надійності складних систем. Оцінювання надійності апаратно-програмних засобів захисту інформації. Поняття ризику. Аналіз ризиків: активи, вразливості, загрози, захист. Якісна та кількісна оцінка інформаційного ризику. Стохастичне моделювання ризику, методи розрахунку показників ризику. Економічна оцінка ризику та ефективності інвестицій у системи захисту інформації. Неперервність бізнесу та інформаційна безпека. Планування відновлення після аварій. Стандарти та кращі практики з управління неперервністю бізнесу та відновлення. Планування аварійного відновлення інформаційних систем.
Опис: Назви розділів та тем навчальної дисципліни.
1) Ризики у сфері інформаційної безпеки
1. Основний зміст дисципліни. Поняття ризику. Ймовірнісний та економічний аспекти ризику. Природа й основні види ризику у сфері інформаційної безпеки.
2. Системи управління інформаційною безпекою (СУІБ). Роль та місце аналізу та управління ризиками в СУІБ.
2) Фінансово-економічні розрахунки у сфері захисту
3. Вартість грошей в часі. Нарощення та дисконтування за простими та складними процентними ставками.
4. Потоки платежів, фінансові ренти. Розрахунок вартості потоку платежів на деякий момент часу.
5. Показники фінансової ефективності інвестицій: чиста теперішня вартість, майбутня вартість, індекс дохідності, внутрішня ставка дохідності та їх розрахунок. Економічна ефективність систем захисту.
3) Надійність апаратно-програмних засобів у системах захисту
6. Основи теорії ймовірностей та математичної статистики. Основні поняття теорії надійності: функція надійності, інтенсивність відмов.
7. Показники надійності невідновлюваних елементів. Показники надійності відновлюваних пристроїв.
8. Структурні моделі надійності складних систем. Логіко графічні методи аналізу надійності.
9. Оцінювання надійності апаратно-програмних засобів захисту інформації.
4) Управління ризиками інформаційної безпеки (ІБ)
10. Оцінювання ризику. Якісна оцінка інформаційного ризику. Кількісне оцінювання ризику.
11. Оброблення ризиків ІБ. Вибір контрзаходів та управління ризиками.
12. Стандарти та методики управління інформаційною безпекою та ризиками
5) Економічна оцінка ризику та ефективності захисту
13. Основні поняття теорії ймовірностей для оцінювання ризику
14. Математичне моделювання ризику. Когерентні міри ризику.
15. Вартісна міра ризику Value at Risk (VaR) та її властивості.
16. Структурно-логічний опис консервативних систем захисту: об’єкти захисту, канали для атак, засоби захисту. Дискретна ймовірнісна модель втрат, зумовлених ушкодженням об’єктів захисту.
17. Оцінка економічного ризику та ефективності систем захисту.
6) Планування відновлення інформаційних систем
18. Неперервністю бізнесу та інформаційна безпека
19. Планування відновлення після аварій
20. Стандарти та кращі практики з управління неперервністю бізнесу та відновлення
21. Планування аварійного відновлення мережевих сервісів
22. Планування аварійного резервування та відновлення даних.
23. Сценарії аварійного відновлення для хмарних сервісів.
Методи та критерії оцінювання: Поточний контроль на аудиторних заняттях проводиться з метою прояснення обставин протікання навчального процесу, визначення його результатів у таких формах:
• попереднє виявлення рівня знань студентів перед початком занять;
• поточна перевірка в процесі засвоєння кожної теми, що вивчається;
• оцінка активності студента у процесі лекційних занять;
• оцінка активності студента у процесі практичних занять;
• перевірка виконання практичних робіт;
• перевірка виконання контрольних робіт;
• усне опитування засвоєння знань на практичних та лекційних заняттях.
Підсумковий (екзаменаційний) контроль здійснюється за результатами тестового контролю та усного опитування.
Критерії оцінювання результатів навчання: Поточне опитування, критерій – правильна відповіді, до5-ти балів за одну відповідь, сумарно – до 10 балів.
Домашні завдання, критерій – якість виконання домашнього завдання, до 10-ти балів за одне завдання, сумарно – до 20-ти балів.
Контрольні заходи, критерій – виконання контрольного тесту, до 10-ти балів.
Екзамен, критерій – тестовий контроль, до 50-ти балів; усна компонента – до 10 балів.
Порядок та критерії виставляння балів та оцінок: 100–88 балів – («відмінно») виставляється за високий рівень знань (допускаються деякі неточності) навчального матеріалу компонента, що міститься в основних і додаткових рекомендованих літературних джерелах, вміння аналізувати явища, які вивчаються, у їхньому взаємозв’язку і роз витку, чітко, лаконічно, логічно, послідовно відповідати на поставлені запитання, вміння застосовувати теоретичні положення під час розв’язання практичних задач; 87–71 бал – («добре») виставляється за загалом правильне розуміння навчального матеріалу компонента, включаючи розрахунки , аргументовані відповіді на поставлені запитання, які, однак, містять певні (неістотні) недоліки, за вміння застосовувати теоретичні положення під час розв’язання практичних задач; 70 – 50 балів – («задовільно») виставляється за слабкі знання навчального матеріалу компонента, неточні або мало аргументовані відповіді, з порушенням послідовності викладення, за слабке застосування теоретичних положень під час розв’язання практичних задач; 49–26 балів – («не атестований» з можливістю повторного складання семестрового контролю) виставляється за незнання значної частини навчального матеріалу компонента, істотні помилки у відповідях на запитання, невміння застосувати теоретичні положення під час розв’язання практичних задач; 25–00 балів – («незадовільно» з обов’язковим повторним вивченням) виставляється за незнання значної частини навчального матеріалу компонента, істотні помилки у відповідях на запитання, невміння орієнтуватися під час розв’язання практичних задач, незнання основних фундаментальних положень.
Рекомендована література: 1. ДСТУ ISO/IEC 27005:2015. Інформаційні технології. Методи захисту. Управління ризиками інформаційної безпеки.
2. ДСТУ ISO/IEC 31010:2013. Методи загального оцінювання ризику.
3. ДСТУ EN ISO 22301:2017 Безпека суспільства. Системи керування неперервністю діяльності. Вимоги.
4. Заболоцький М. В. Основи фінансової математики: навч. посібник / М. В. Заболоцький, І. А. Прокопишин. – Львів: ЛНУ ім. Івана Франка, 2016. – 144 c.
5. Корченко О. Г., Казмірчук С.В., Ахметов Б.Б. Прикладні системи оцінювання ризиків. – Київ: ЦП "Компринт", 2017. – 435 с.
6. Ромака В. А. Менеджмент у сфері захисту інформації: підручник / В. А. Ромака, Р. О. Корж, Ю. Р. Гарасим. – Львів: ЗУКЦ, 2013. – 462 с.
7. ISO 22301:2019 Societal security – Business continuity management systems – Requirements.
8. ISO 22316:2017 Security and resilience – Organizational resilience – Principles and attributes.
Уніфікований додаток: Національний університет «Львівська політехніка» забезпечує реалізацію права осіб з інвалідністю на здобуття вищої освіти. Інклюзивні освітні послуги надає Служба доступності до можливостей навчання «Без обмежень», метою діяльності якої є забезпечення постійного індивідуального супроводу навчального процесу студентів з інвалідністю та хронічними захворюваннями. Важливим інструментом імплементації інклюзивної освітньої політики в Університеті є Програма підвищення кваліфікації науково-педагогічних працівників та навчально-допоміжного персоналу у сфері соціальної інклюзії та інклюзивної освіти. Звертатися за адресою:
вул. Карпінського, 2/4, І-й н.к., кімн. 112
E-mail: nolimits@lpnu.ua
Websites: https://lpnu.ua/nolimits https://lpnu.ua/integration
Академічна доброчесність: Політика щодо академічної доброчесності учасників освітнього процесу формується на основі дотримання принципів академічної доброчесності з урахуванням норм «Положення про академічну доброчесність у Національному університеті «Львівська політехніка» (затверджене вченою радою університету від 20.06.2017 р., протокол № 35).