Модель оцінювання ризиків кібербезпеки медичної інформаційної системи із використанням методу Монте-Карло

Abstract

У кваліфікаційній роботі розроблено модель оцінювання ризиків для медичної інформаційної системи на основі підходу Монте-Карло, що дозволяє обрати комбінацію заходів захисту для їх імплементації в реальній системі з урахуванням значення ризику та вартості впровадження. Проаналізовано сучасні підходи до управління ризиками та виявлено відсутність методів, що поєднують шкоду для пацієнта з фінансовими аспектами. Запропонована модель враховує потенційну шкоду для пацієнтів, а також оцінює цю шкоду, ефективність контролів та витрати ймовірнісно, що забезпечує більш наближене до реальності відображення впливу загроз. На основі описаної медичної інформаційної системи здійснено симуляції з різними параметрами, проаналізовано результати, визначено оптимальний набір заходів з урахуванням балансу між рівнем прийнятного ризику та ресурсами організації. Об’єкт дослідження: процес оцінювання ризиків кібербезпеки медичної інформаційної системи. Предмет дослідження: симуляційна модель оцінювання ризиків кібербезпеки медичної інформаційної системи, побудована на основі методу Монте-Карло. Мета роботи: розробка моделі оцінювання ризиків кібербезпеки медичної інформаційної системи з метою визначення оптимальної множини заходів безпеки з урахуванням їх ефективності, вартості впровадження та рівня шкоди загроз для пацієнта.

In this qualification paper, a risk assessment model for a medical information system was developed based on the Monte Carlo approach, allowing the selection of a combination of protection measures for implementation in a real system, taking into account both the level of risk and the cost of implementation. Modern approaches to risk management were analyzed, revealing a lack of methods that integrate patient harm with financial considerations. The proposed model accounts for potential harm to patients and also probabilistically evaluates this harm, the effectiveness of controls, and associated costs, providing a more realistic representation of the impact of threats. Based on the described medical information system, simulations were performed with different parameters, the results were analyzed, and the optimal set of measures was determined, considering the balance between the level of acceptable risk and the organization’s resources. Object of research: the process of cybersecurity risk assessment of a medical information system. Subject of research: a simulation model for assessing cybersecurity risks of a medical information system based on the Monte Carlo method. Purpose: development of a cybersecurity risk assessment model for a medical information system aimed at determining the optimal set of security measures, taking into account their effectiveness, implementation cost, and the level of harm posed by threats to the patient.