ntvНаучно-технический вестник информационных технологий, механики и оптикиScientific and Technical Journal of Information Technologies, Mechanics and Optics2226-14942500-0373Университет ИТМО10.17586/2226-1494-2025-25-4-727-736ntv-498Research ArticleКОМПЬЮТЕРНЫЕ СИСТЕМЫ И ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИCOMPUTER SCIENCEПрименение современных методов оценивания рисков информационной безопасности объекта критической информационной инфраструктурыApplication of modern methods for information security risks evaluation of a critical information infrastructure facilityhttps://orcid.org/0000-0003-0651-8591ЛившицИ. И.LivshitzI. I.

Илья Иосифович Лившиц, доктор технических наук, профессор практики

197101; Санкт-Петербург

sc 57191569306

Ilya I. Livshitz, D.Sc., Professor

197101; Saint Petersburg

sc 57191569306

Livshitz.il@yandex.ruУниверситет ИТМОРоссияITMO UniversityRussian Federation202529082025254727736Copyright © Лившиц И.И., 20252025Лившиц И.И.Livshitz I.I.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://ntv.elpub.ru/jour/article/view/498

   Рассмотрена практика оценивания рисков информационной безопасности объектов критической информационной инфраструктуры. Выполнено сравнение методов анализа дерева событий, дерева отказов и международного стандарта ISO/IEC 27005:2022, устанавливающего принципы управления рисками. Показаны пути дополнения существующих методических требований Российской Федерации в области безопасности объектов критической информационной инфраструктуры современными методами оценивания рисков информационной безопасности. Выполнено сопоставление современных методов оценивания рисков информационной безопасности на примере системы управления водоснабжением. Обосновано применение необходимого перечня мер защиты, обеспечивающих заданный уровень остаточных рисков информационной безопасности. Продемонстрирована возможность применения современных методов оценивания рисков информационной безопасности объектов критической инфраструктуры в дополнение к существующим методическим требованиям Российской Федерации.

   The practice of assessing IT-security risks of Critical Information Infrastructure (CII) facilities is considered. The methods of Event Tree Analysis (ETA), Fault Tree Analysis (FTA), and the International Standard ISO/IEC 27005:2022, which establishes the principles of risk management, were compared. The ways of supplementing the existing methodological requirements of the Russian Federation in the field of IT-security of CII facilities with modern methods of assessing IT-security risks are shown. A comparison of modern methods for assessing IT-security risks is carried out using the example of a water supply management system. The application of the necessary list of protection measures providing a given level of residual IT-security risks is justified. The possibility of using modern methods for assessing the IT-security risks of CII facilities in addition to the existing methodological requirements of the Russian Federation is demonstrated.

критическая инфраструктураобъекты критической информационной инфраструктурыинформационная безопасностьстандартрискоценивание рисковмеры защитыостаточный рискcritical infrastructurecritical information infrastructure facilitiesinformation securitystandardriskrisk assessmentprotection measuresresidual riskReferencesВарламова Д.В., Долженкова А.В., Корочкина С.В. Автоматизация в Риск-менеджменте // Научный журнал НИУ ИТМО. Серия: Экономика и экологический менеджмент. 2020. № 4. С. 78–86. doi: 10.17586/2310-1172-2020-13-4-78-86Varlamova D.V., Dolzhenkova A.V., Korochkina S.V. Automation in risk management. Scientific journal NRU ITMO Series “Economics and Environmental Management”, 2020, no. 4, pp. 78–86. (in Russian). doi: 10.17586/2310-1172-2020-13-4-78-86Иващенко И.Н., Гончаров М.А. Безопасность и риск эксплуатируемых сооружений: Методология оперативной оценки // Проблемы анализа риска. 2021. Т. 18. № 6. С. 66–83. doi: 10.32686/1812-5220-2021-18-6-66-83Ivashchenko I.N., Goncharov M.A. Safety and Risk of Operating Facilities: Rapid Assessment Methodology. Issues of Risk Analysis, 2021, vol. 18, no. 6, pp 66-83. (in Russian). doi: 10.32686/1812-5220-2021-18-6-66-83Yusup M.F.B. Application of risk management in shipyards based SNI IEC/ISO 31010:2016 on new shipbuilding projects // Maritime Park: Journal of Maritime Technology and Society. 2022. V. 1. N 2. P. 75–78. doi: 10.62012/mp.v1i2.32646Yusup M.F.B. Application of risk management in shipyards based SNI IEC/ISO 31010:2016 on new shipbuilding projects. Maritime Park: Journal of Maritime Technology and Society, 2022, vol. 1, no. 2, pp. 75–78. doi: 10.62012/mp.v1i2.32646Frantzova A. Comprehensive methodology for geological risk and multy-risk assessment // Review of the Bulgarian Geological Society. 2021. V. 82. Part 3. P. 171–173. doi: 10.52215/rev.bgs.2021.82.3.171Frantzova A. Comprehensive methodology for geological risk and multy-risk assessment. Review of the Bulgarian Geological Society, 2021, vol. 82, part 3, pp. 171–173. doi: 10.52215/rev.bgs.2021.82.3.171Neto A.B.C. Risk to be considered in nuclear reactor decommissioning projects in Brazil // Brazilian Journal of Radiation Sciences. 2022. V. 10. N 4. P. 1–24. doi: 10.15392/2319-0612.2022.2111Neto A.B.C. Risk to be considered in nuclear reactor decommissioning projects in Brazil. Brazilian Journal of Radiation Sciences, 2022, vol. 10, no. 4, pp. 1–24. doi: 10.15392/2319-0612.2022.2111Lesniak A., Janowiec F., Benavides J.R. The risk of additional branch work in the construction of railway projects // Archives of Civil Engineering. 2024. V. 70. N 2. P. 643–659. doi: 10.24425/ace.2024.149886Lesniak A., Janowiec F., Benavides J.R. The risk of additional branch work in the construction of railway projects. Archives of Civil Engineering, 2024, vol. 70, no. 2, pp. 643–659. doi: 10.24425/ace.2024.149886Никифорова Н.А. Стратегический анализ: Международный стандарт ISO 31000:2018 и ГОСТ Р ИСО 31000-2019 // Финансовый бизнес. 2022. № 4 (226). С. 41–46.Nikiforova N.A. Strategic analysis: international standard ISO 31000:2018 and GOST R ISO 31000-2019. Finansovyj Biznes, 2022, no. 4 (226), pp. 41–46. (in Russian)Sukmana P.P., Yoga T.P., Habibi Ch. Audit manajemen risiko sistem informasi pada Website Digo.id dengan framework Cobit 5 dan ISO 31000 // Jurnal Accounting Information System (AIMS). 2023. V. 6. N 2. P. 180–201. doi: 10.32627/aims.v6i2.816Sukmana P.P., Yoga T.P., Habibi Ch. Audit manajemen risiko sistem informasi pada Website Digo.id dengan framework Cobit 5 dan ISO 31000. Jurnal Accounting Information System (AIMS), 2023, vol. 6, no. 2, pp. 180–201. doi: 10.32627/aims.v6i2.816Lavrnić I., Bašić A., Viduka D. Risk assessment of a solar attack according to ISO 31000 standard // Engineering Review. 2021. V. 41. N 1. P. 120–128. doi: 10.30765/er.1566Lavrnić I., Bašić A., Viduka D. Risk assessment of a solar attack according to ISO 31000 standard. Engineering Review, 2021, vol. 41, no. 1, pp. 120–128. doi: 10.30765/er.1566Лившиц И.И. Практика управления киберрисками в нефтегазовых проектах компаний холдингового типа // Вопросы кибербезопасности. 2020. № 1 (35). С. 42–51. doi: 10.21681/2311-3456-2020-01-42-51Livshitz I. Practice of cyber-risks management in oil and gas projects of holding companies. Voprosy Kiberbezopasnosti, 2020, no. 1 (35), pp. 42–51. (in Russian). doi: 10.21681/2311-3456-2020-01-42-51Лившиц И.И., Сунцова Д.И. Численный расчет функциональной безопасности компонентов технически сложных промышленных объектов // Автоматизация в промышленности. 2023. № 7. С. 9–15. doi: 10.25728/avtprom.2023.07.02Livshits I.I., Suntsova D.I. Numerical calculation of functional safety of the components of technically complex industrial plants. Avtomatizacija v promyshlennosti, 2023, no. 7, pp. 9–15. (in Russian). doi: 10.25728/avtprom.2023.07.02Yuwono M.A., Rachmawati D. Penerapan fraud risk management pada divisi pembelian PT. Lestari menggunakan ISO 31000:2018 // Jurnal Akuntansi Kontemporer. 2023. V. 15. N 3. P. 131–142. doi: 10.33508/jako.v15i3.4629Yuwono M.A., Rachmawati D. Penerapan fraud risk management pada divisi pembelian PT. Lestari menggunakan ISO 31000:2018. Jurnal Akuntansi Kontemporer, 2023, vol. 15, no. 3, pp. 131–142. doi: 10.33508/jako.v15i3.4629Masita I. Analysis of risk management implementation in the internal audit unit (SPI) Politeknik pelayaran surabaya using ISO 31000 // Robust: Research of Business and Economics Studies. 2022. V. 2. N 2. P. 113–126. doi: 10.31332/robust.v2i2Masita I. Analysis of risk management implementation in the internal audit unit (SPI) Politeknik pelayaran surabaya using ISO 31000. Robust: Research of Business and Economics Studies, 2022, vol. 2, no. 2, pp. 113–126. doi: 10.31332/robust.v2i2Livshitz I.I., Lontsikh P.A., Lontsikh N.P., Kunakov E.P., Drolova E.Y. Implementation and auditing of risk management for the oil and gas company // Proc. of the International Conference “Quality Management, Transport and Information Security, Information Technologies” (IT&QM&IS). 2017. P. 539–543. doi: 10.1109/itmqis.2017.8085881Livshitz I.I., Lontsikh P.A., Lontsikh N.P., Kunakov E.P., Drolova E.Y. Implementation and auditing of risk management for the oil and gas company. Proc. of the International Conference “Quality Management, Transport and Information Security, Information Technologies” (IT&QM&IS), 2017, pp. 539–543. doi: 10.1109/itmqis.2017.8085881Livshitz I.I., Neklyudov A.V., Lontsikh P.A. IT security evaluation - “hybrid” approach and risk of its implementation // Journal of Physics: Conference Series. 2018. V. 1015. N 4. P. 042030. doi: 10.1088/1742-6596/1015/4/042030Livshitz I.I., Neklyudov A.V., Lontsikh P.A. IT security evaluation - “hybrid” approach and risk of its implementation. Journal of Physics: Conference Series, 2018, vol. 1015, no. 4, pp. 042030. doi: 10.1088/1742-6596/1015/4/042030Беляев Е.А., Емельянова О.А., Лившиц И.И. Анализ методик оценки рисков информационной безопасности кредитно-финансовых организаций // Научно-технический вестник информационных технологий, механики и оптики. 2021. Т. 21. № 3. С. 437–441. doi: 10.17586/2226-1494-2021-21-3-437-441Belyaev E.A., Emelyanova O.A., Livshitz I.I. An analysis of methods for assessing information security risks of financial institutions. Scientific and Technical Journal of Information Technologies, Mechanics and Optics, 2021, vol. 21, no. 3, pp. 437–441. (in Russian). doi: 10.17586/2226-1494-2021-21-3-437-441Беззатеев С.В., Елина Т.Н., Мыльников В.А., Лившиц И.И. Методика оценки рисков информационных систем на основе анализа поведения пользователей и инцидентов информационной безопасности // Научно-технический вестник информационных технологий, механики и оптики. 2021. Т. 21. № 4. С. 553–561. doi: 10.17586/2226-1494-2021-21-4-553-561Bezzateev S.V., Elina T.N., Mylnikov V.A., Livshitz I.I. Risk assessment methodology for information systems, based on the user behavior and IT-security incidents analysis. Scientific and Technical Journal of Information Technologies, Mechanics and Optics, 2021, vol. 21, no. 4, pp. 553–561. (in Russian). doi: 10.17586/2226-1494-2021-21-4-553-561Ezrahovich A.Y., Vladimirtsev A.V., Livshitz I.I., Lontsikh P.A., Karaseva V.A. Risk-based thinking of ISO 9001:2015 — the new methods, approaches and tools of risk management // Proc. of the International Conference “Quality Management,Transport and Information Security, Information Technologies” (IT&QM&IS). 2017. P. 506–511. doi: 10.1109/itmqis.2017.8085872Ezrahovich A.Y., Vladimirtsev A.V., Livshitz I.I., Lontsikh P.A., Karaseva V.A. Risk-based thinking of ISO 9001:2015 – the new methods, approaches and tools of risk management. Proc. of the International Conference “Quality Management,Transport and Information Security, Information Technologies” (IT&QM&IS), 2017, pp. 506–511. doi: 10.1109/itmqis.2017.8085872

The authors declare that there are no conflicts of interest present.