Інтерпретація системи оцінки вразливостей, як методу для оцінки ризиків

Abstract

Кваліфікаційна робота присвячена дослідженню можливості застосування системи оцінки вразливостей CVSS як методу для оцінки ризиків інформаційної безпеки. У роботі проведено огляд існуючих систем оцінки вразливостей і ризиків, включаючи аналіз підходів до оцінки ризиків та їх порівняння. Особливу увагу приділено комплексному аналізу системи CVSS 3.0, її базових метрик та потенціалу для оцінювання ризиків. У ході дослідження розроблено алгоритм, який забезпечує нормалізацію та масштабування показників CVSS для їхньої адаптації до матриці ризиків. Для перевірки методу проведено тестування на вразливостях. Отримані результати порівняно з експертними оцінками, що дозволило визначити точність і практичну застосовність запропонованого підходу. Результати роботи підтверджують, що запропонована методика дозволяє інтегрувати CVSS у процеси оцінки ризиків, забезпечуючи стандартизований і автоматизований підхід. Поєднання алгоритмічного підходу з експертним аналізом дозволяє підвищити точність оцінки ризиків, забезпечити стандартизовану звітність і оптимізувати використання ресурсів для реагування на виявлені вразливості. Запропонована методика є перспективною для великих організацій із високим рівнем автоматизації кіберзахисту та може слугувати основою для подальших досліджень у сфері управління ризиками. The qualification work is dedicated to the study of the applicability of the CVSS (Common Vulnerability Scoring System) as a method for assessing information security risks. The work includes a review of existing vulnerability and risk assessment systems, including an analysis of risk assessment approaches and their comparison. Special attention is paid to a comprehensive analysis of the CVSS 3.0 system, its base metrics, and its potential for risk evaluation. During the study, an algorithm was developed to normalize and scale CVSS metrics for adaptation to a risk matrix. To validate the method, testing was conducted on vulnerabilities. The obtained results were compared with expert evaluations, which allowed for determining the accuracy and practical applicability of the proposed approach. The results of the work confirm that the proposed methodology enables the integration of CVSS into risk assessment processes, providing a standardized and automated approach. Combining the algorithmic method with expert analysis enhances the accuracy of risk assessments, ensures standardized reporting, and optimizes resource allocation for addressing identified vulnerabilities. The proposed methodology is promising for large organizations with a high level of cybersecurity automation and can serve as a foundation for further research in the field of risk management.