Підходи до аналізу наборів показників кіберстатистики

М.М. Худинцев ^1,2,3, канд. фіз.-мат. наук,
В.Ю. Зубок ², д-р техн. наук, І.Л. Палажченко¹, аспірант
¹ Інститут телекомунікацій і глобального інформаційного простору НАН України
  Україна, 03186, Київ, Чоколівський бул., 13
  тел. 38(044) 2458797;
² Інститут проблем моделювання в енергетиці ім. Г.Є. Пухова НАН України
  Україна, 03164, Київ, вул. Ген. Наумова, 15
  тел. 38(044) 4241063;
³ Міжнародний університет кібербезпеки
  Україна, 03115, Київ, вул. Депутатська, 6, к. 171
  тел. 38(050)4165798; e-mail: Ця електронна адреса захищена від спам-ботів. Вам необхідно увімкнути JavaScript, щоб побачити її.

Èlektron. model. 2024, 46(6):72-96

https://doi.org/10.15407/emodel.46.06.072

АНОТАЦІЯ

Робота присвячена розв’язку актуальної проблеми оцінювання кібербезпеки, стану кі­бер­захисту, кіберстійкості (кіберрезильєнтності) на об’єктовому, секторальному, націо­наль­ному та міжнародному рівнях за допомогою формування наборів та аналізу даних кі­бер­статистики, яка поступово відокремлюється у спеціальну область сфери кібербезпеки.

Проаналізовано та розвинуто термінологічну базу збору та обробки даних кіберстатистики, проаналізовано існуючі та запропоновано нові підходи до формування наборів показників кіберстатистики. Існуючі практики (усталені практики, фреймворки) у сфері кібербезпеки застосовано для формування доменної структури та системи показників (індикаторів) кіберстатистики. Розроблено структуру даних кіберстатистики у відпо­від­ності до структури організаційно-технічної моделі кіберзахисту (2021) у секторах орга­нізаційно-керуючої інфраструктури кіберзахисту, на рівнях технологічної інфраструктури кіберзахисту, а також для елементів базисної інфраструктури кіберзахисту (у т.ч. об’єк­тів критичної інформаційної інфраструктури). Результатом апробації дослідження став проєкт методики збору та обробки даних кіберстатистики, розробка якої передбачена Стратегією кібербезпеки України (2021).

КЛЮЧОВІ СЛОВА:

кібербезпека, кіберстатистика, дані кіберстатистики, набори показників, доменна структура.

СПИСОК ЛІТЕРАТУРИ

1. Стратегія кібербезпеки України: Указ Президента України від 26.08.2021 №447/2021: станом на 26 серп. 2021 р. URL: https://zakon.rada.gov.ua/laws/show/447/2021#Text (дата звернення: 04.11.2024).
2. Про рішення Ради національної безпеки і оборони України від 30 грудня 2021 року «Про План реалізації Стратегії кібербезпеки України» : Указ Президента України від 01.02.2022 № 37/2022: станом на 01.02.2022 р. URL: https://zakon.rada.gov.ua/laws/show/37/2022#n5 (дата звернення: 04.11.2024).
3. 15 найкращих показників кібербезпеки та KPI для кращої безпеки. CyberTalents.URL: https://cybertalents.com/blog/top-15-cybersecurity-metrics-and-kpis-for-better-security (дата звернення: 04.11.2024).
4. ТунггалА.T.14 показників кібербезпеки + KPI, які ви повинні відстежувати у 2023 році.UpGuard. URL: https://www.upguard.com/blog/cybersecurity-metrics (дата звернення: 04.11.2024).
5. Жонвіль П.-А.20 найкращих показників кібербезпеки для правління та команд. Mindflow. URL: https://mindflow.io/cybersecurity-metrics-for-the-board/ (дата звер­нення:11.2024).
6. 10 найкращих показників кібербезпеки та KPI. Mimecast. URL: https://www.mimecast.com/blog/top-10-cybersecurity-metrics-and-kpis/ (дата звернення: 04.11.2024).
7. Воттерс Е. 50 найпопулярніших статистичних даних, цифр і фактів з кібербезпеки. Computing Technology Industry Association (CompTIA). URL: https://connect.comptia.org/blog/cyber-security-stats-facts (дата звернення: 04.11.2024).
8. Джеймс Н. 160 статистичних даних з кібербезпеки. ASTRA IT Inc. URL: https://www. com/blog/security-audit/cyber-security-statistics/ (дата звернення: 04.11.2024).
9. Нік Г. Найпоказовіша статистика кібербезпеки у 2023 році. TechJury.net. URL: https://techjury.net/blog/cyber-security-statistics/#gref (дата звернення: 04.11.2024).
10. Мармоза А.Т. Теорія статистики. 2-ге вид. переоб. і доп. К.: Центр учбової літератури, 2013. 592 с.
11. Худинцев М.М., Жилін А.В., Давидюк А.В. Світові індекси кібербезпеки: огляд та методики формування (Глобальний звіт / Каталог). К.: Міжнародний університет кібербезпеки, Інститут проблем моделювання в енергетиці ім. Г.Є. Пухова НАН України, 2021. 240 с.
12. Давидюк А., Зубок В., Хохлачова Ю., Худинцев М., Комаров М. Кіберстатистика в Україні. Сучасний стан. Кібербезпека та захист критичної інформаційної інфраструктури. Ukrainian Scientific Journal of Information Security. Vol. 29, Issue 2. P. 53—60.
13. NIST Special Publication 800-95. Recommendations of the National Institute of Standards and Technology. Guide to Secure Web Services; valid from Aug 2007. National Institute of Standards and Technology (NIST), 2007.128 p.
14. Деякі питання реагування суб'єктами забезпечення кібербезпеки на різні види подій у кіберпросторі: Постанова Кабінету Міністрів України від 04.04.2023 №299 : станом на 04 квіт. 2023 р. URL: https://zakon.rada.gov.ua/laws/show/299-2023-%D0%BF#Text (дата звернення: 04.11.2024).
15. Про затвердження Методичних рекомендацій щодо реагування суб’єктами забезпечення кібербезпеки на різні види подій у кіберпросторі : Наказ Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 03.07.2023 №570 : станом на 03 лип. 2023 р. URL: https://cip.gov.ua/ua/news/nakazadministraciyi-derzhspeczv-yazku-vid-03-07-2023-570-pro-zatverdzhennya-metodichnikh-rekomendacii-shodo- reaguvannya-sub-yektami-zabezpechennya-kiberbezpeki-na-rizni-vidi-podii-u-kiberprostori (дата звернення: 04.11.2024).
16. Методичні рекомендації щодо підвищення рівня кіберзахисту критичної інформаційної інфраструктури: Наказ Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 06.11.2021 № 601 : станом на 10 лип. 2022 р.URL: https://cip.gov.ua/ua/news/nakaz-ad-2021-10-06-601 (дата звернення: 04.11.2024).
17. FIPS PUB 200 Minimum Security Requirements for Federal Information and Information Systems; valid from 09 March 2006.National Institute of Standards and Technology (NIST), 2006. 11 p.
18. Committee on National Security Systems (CNSS) Glossary; Committee on National Security Systems (CNSSI), No. 4009, URL: https://rmf.org/wp-content/uploads/2017/10/CNSSI-4009.pdf (date of access: 04.11.2024).
19. Порядок проведення огляду стану кіберзахисту критичної інформаційної інфра­структури, державних інформаційних ресурсів та інформації, вимога щодо захисту якої встановлена законом: Постанова Кабінету Міністрів України від 11.11.2020 № 1176: станом на 04.12.2020 р. URL: https://zakon.rada.gov.ua/ laws/show/1176-2020-%D0%BF#Text (дата звернення: 04.11.2024).
20. Звіт роботи системи виявлення вразливостей і реагування на кіберінциденти та кібератаки (2021), TLP: WHITE. Оперативний центр реагування на кіберінциденти Державного центру кіберзахисту Державної служби спеціального зв’язку та захис­ту інформації України. URL: https://cert.gov.ua/files/pdf/SOC_Annual_Reportpdf (дата звернення: 04.11.2024).
21. , DavydiukA., LebidO., TrofymchukO., ZhylinA. Cybersecurity Indices: Review and Classification. Workshop on Cybersecurity Providing in Information and Telecommunication Systems (CPITS 2021-2) : Proceedings of Selected Papers.16 Aug. 2022 /Kyiv, 2022. P.117-126.
22. Khudyntsev M., Lebid O., Bychenok M., Zhylin A., Davydiuk A. Network Monitoring Index in the Information Security Management System of Critical Information Infrastructure Objects.Information and Communication Technologies and Sustainable Development. ICT&SD 2022. Lecture Notes in Networks and Systems, 809 / Ed. by Dovgyi S., Trofymchuk O., Ustimenko V., Globa L. Springer Cham, 2022. P.270-290.
23. Services Framework Version 2.1.0. Forum of Incident Response and Security Teams. URL: https://www.first.org/standards/frameworks/csirts/FIRST_CSIRT_Services_Framework_v2.1.0_bugfix1.pdf (date of access: 04.11.2024).
24. Indicators of Compromise and Other Cyber Incident Reporting Guidance. S. Department of Homeland Security, U.S. Customs and Border Protection. URL: https://www.cbp.gov/sites/default/files/assets/documents/2024-Mar/For%20Pub%20508% 20IOC%20Slick%20Sheet_PBRB%203526-0124.pdf (date of access: 04.11.2024).
25. Cyber Incident Reporting Framework.Cyber Threat Alliance Institute for Security and Technology Chainalysis Ciphertrace. URL: https://www.cyberthreatalliance.org/wp-content/uploads/2023/04/Cyber-Incident-Reporting-Framework-Global-Edition.pdf (date of access: 04.11.2024).
26. Meland P.H., Tokas S., Erdogan G., Bernsmed K., Omerovic A.A. Systematic Mapping Study on Cyber Security Indicator Data. Electronics. 2021. № 10. P. https:// doi.org/10.3390/electronics10091092. URL: https://www.researchgate.net/publication/ 351433803_A_Systematic_Mapping_Study_on_Cyber_Security_Indicator_Data (date of access: 04.11.2024).
27. , BarrettM., IvyN., FeldmanL., GardnerR.K. Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management. National Institute of Standards and Techno­logy 2022. NISTIR 8286A.URL: https://doi.org/10.6028/NIST.IR.8286A (date of access: 04.11.2024).
28. , CurcioN., Merrath P., Shenton L., StähleT. Risk Practice: The risk-based approach to cybersecurity. McKinsey & Company. URL: https://www.mckinsey.com/~/media/ McKinsey/Business%20Functions/Risk/Our%20Insights/The%20risk%20based%20approach %20to%20cybersecurity/The-risk-based-approach-to-cybersecurity.pdf (date of access: 04.11.2024).
29. ETSI GS ISI 002.Information Security Indicators (ISI); Event Model. A security event classification model and taxonomy. V.1.2.1 ; valid from Nov. 2015. European Telecommunications Standards Institute (ETSI), 2015. 78 p. URL: https://www.etsi.org/deliver/etsi_gs/isi/001_099/002/01.02.01_60/gs_isi002v010201p.pdf (date of access: 04.11.2024).
30. ISO/IEC 27004:2016(E). Information technology – Security techniques — Information security management — Monitoring, measurement, analysis and evaluation. International Standard; valid from 15 Dec. 2016. International Electrotechnical Commission (IEC), 2016.2ndEd.56 p.
31. NIST CSF 2.0. Cybersecurity Framework (CSF); valid from 26 Feb. 2024. National Ins­titute of Standards and Technology (NIST), 2024. Version 2.0. 32 p. URL: https://nvlpubs.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (date of access: 04.11.2024).
32. C2M2 2.1. Cybersecurity Capability Maturity Model; valid from Jun. 2022. S. Department of Energy, Office of Cybersecurity, Energy Security and Emergency Response, 2022.Version 2.1. 96p. URL: https://www.energy.gov/sites/default/files/2022-06/C2M2%20Version%202.1%20June%202022.pdf (date of access: 04.11.2024).
33. C2M2 2.1. Tool. Cybersecurity Capability Maturity Model. PDF-Based Tool User Guide (Посібник користувача інструменту самооцінки PDF); validfrom Jun. 2022. U.S. Department of Energy, Office of Cybersecurity, Energy Security and Emergency Response, 2022. Version 2.1. 18p. URL: https://c2m2.doe.gov/C2M2%20V2.1%20PDF-Based% 20Self-Evaluation%20Tool%20User%20Guide.pdf (date of access: 04.11.2024).
34. CMU/SEI-2010-TR-033.CMMI для розвитку. Удосконалення процесів для розробки кращих продуктів і послуг. Технічний звіт CMMI-DEV; чинний від жовт. 2010. Уні­верситет Карнегі-Меллона, Інститут розробки програмного забезпечення, 2010. Версія 1.3. 500 с.
35. C2M2 WP 1.0. Cybersecurity Capability Maturity Model White Paper; valid from 04 Aug. 2014.U.S. Department of Homeland Security, 2014. Version 1.0. 35 p. URL: https://www.hsdl.org/?view&did=798503 (date of access: 04.11.2024).
36. Spruit, M., Roeling, M. ISFAM: The Information Security Focus Area Maturity Mo­del. net. 01.2014. 16 p. URL: https://www.researchgate.net/publication/288134391_ISFAM_The_information_security_focus_area_maturity_model (date of access: 04.11.2024).
37. ZTMM 2.0. Zero Trust Maturity Model; valid from Apr. 2023.Cybersecurity and Infrastructure Security Agency Cybersecurity Division, 2023. Version 2.0. 32 p. URL: https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf (date of access: 04.11.2024).
38. ENISA MFTLP WHITE.CSIRT Maturity Framework Update Final (TLP WHITE); valid from Feb. 2022. European Union Agency for Cybersecurity (ENISA),2022. 33 p. URL: https://www.enisa.europa.eu/publications/enisa-csirt-maturity-framework/@@download/ fullReport (date of access: 04.11.2024).
39. Методичні рекомендації з проєктування статистичної методології: Наказ Державної служби статистики від 28.12.2020 № 361 (зі змінами).URL: https://ukrstat.gov.ua/norm_doc/2022/68/mppdf (дата звернення: 04.11.2024).
40. Про основні засади забезпечення кібербезпеки України: Закон України від 05.10.2017 № 2163-VIII. URL: https://zakon.rada.gov.ua/laws/show/2163-19#Text (дата звернення: 04.11.2024).

Повний текст: PDF