Gap-analysis of assurance case-based cybersecurity assessment: technique and case study

Abstract

The subject matter of the article is the processes of cybersecurity assessment. The goalis to develop technique for gap-analysis of cybersecurity analysis process. The task to be solved is to develop a method for analyzing gaps in the process of assessment of non-functional requirements for safety and cybersecurity of ICS. It is based on the classification of requirements, taking into account the possibility of their decomposition, which includes the construction of an advanced security assurance and determination of counter-measures to address detected gaps. The scientific novelty of the results obtained is as follows: the method for ensuring the information security of digital components of the I&Cs was further developed by analyzing the discrepancies of requirements using vulnerability description procedures and assessing the severity of the intrusions consequences, as well as determining the set of countermeasures by the "security-cost" criterion, which makes it possible to reduce risks to an acceptable level.

Предметом вивчення в статті єпроцеси оцінювання кібербезпеки інформаційно-керуючих систем (ІКС). Метою є розробка техніки аналізу розрив процесу проведенні аналізу кібербезпеки. Завдання:розробити метод аналізу розривів у процесі оцінювання нефункціональних вимог до функціональної та кібербезпеки ІКС, заснований на класифікації вимог з урахуванням можливості їх декомпозиції, який включає в себе побудову поліпшеного кейса запевнення інформаційної безпеки і визначення контрзаходів щодо усунення виявлених розривів. Наукова новизна отриманих результатів полягає в наступному: отримав подальшого розвитку метод забезпечення інформаційної безпеки цифрових компонентів ІКС шляхом проведення аналізу невідповідностей вимог з використанням процедур опису вразливостей і оцінки критичності наслідків вторгнень, а також визначення множини контрзаходів за критерієм "безпека-вартість", що дозволяє зменшити ризики до прийнятного рівня.