An information security risk assessment model based on Bayesian networks and fuzzy inference system

Bu çalışmada, nitel ve/veya nicel bilgi güvenliği risk unsurlarını saptamak ve analiz etmek amacıyla Bayes ağı modeli ve bulanık çıkarım sistemi kullanılarak bir bilgi güvenliği risk analiz modeli sunulmaktadır. Önerilen model, bir yazılım şirketinin bilgi güvenliği unsurlarını değerlendirmek üzere şirketin test süreçleri kapsamında geliştirilmiştir. Risk değerlendirme modeli için öncelikle veri elde etmek amacıyla, bilgi varlıkları, zafiyetler, tehdit unsurları ve ilgili risk faktörleri şirketteki uzman ve yöneticiler ile beraber test süreçleri kapsamında değerlendirilmiş ve analiz edilmiştir. Saptanan tehdit, zafiyet ve risk unsurlarının birbirleri ile olan ilişkileri Bayes ağı modeli kullanılarak oluşturulmuştur. Bu Bayes ağı her bir risk faktörünün bileşen olasılıklarının hesaplanmasında kullanılmıştır. Bayes ağının oluşturulması tamamlandıktan sonra, bilgi varlıkların değerleri, göreceli risk değerleri ve risklerin olasılıkları için bulanık üyelik fonksiyonları tasarlanmıştır. Ardından, bulanık karar kuralları bilgi varlıkların değerleri, risklerin olasılıkları ve göreceli risk değerleri kullanılarak oluşturulmuştur. Son olarak, oluşturulan bulanık çıkarım sistemi ile risklerin etki değerleri hesaplanmıştır.