Цель работы состоит в разработке адаптивной методологии бюджетирования затрат на защиту информации на основе индекса Парето — формализованного критерия, определяющего порог экономической эффективности расходов (затрат) на защиту информации субъекта от информационных угроз, а также подтвердить гипотезу оптимальности индекса Парето как порогового значения адаптивного перераспределения финансовых ресурсов субъекта между динамическим поведением (изменением) массовых и катастрофических типов угроз.
Метод исследования заключается в разработке метрики токсичности угроз (TDI) и метода кластеризации для выявления текущего ядра Парето для возможных мер защиты информации субъекта, построении математической модели дрейфа ядра Парето и определении условий для возникновения «точки перегиба» Парето-индекса на остаточной кривой риска в рамках 16-факторной модели угроз субъекта.
Результаты исследования: предложена концепция индекса Парето как динамического ориентира для оптимизации бюджетов на информационную безопасность организаций. На основе кластерного анализа 227 угроз из базы данных ФСТЭК с использованием критериев токсичности показано, что ядро Парето (набор угроз, доминирующих в риске) смещается по мере изменения уровня защиты субъекта защиты, что требует адаптивного перераспределения бюджетных ресурсов.
Разработана формализованная методология определения «точки перегиба» бюджета информационной безопасности — порог, за пределами которого предельные затраты на защиту от массовых угроз превышают предельные выгоды от снижения рисков. Индекс Парето показан как квантильная характеристика распределения токсичности угрозы и может служить экономически обоснованным критерием для принятия решений о распределении бюджета между защитой от массовых (Opportunistic) и катастрофических (Apex Predator) угроз.
Создана математическая основа для оптимизации (адаптации) бюджетирования информационной безопасности, учитывающей динамику киберландшафта для социо-экономической среды субъекта.
Purpose of work: The aim of this study is to develop an adaptive methodology for budgeting information security costs based on the Pareto index – a formalised criterion that determines the threshold of economic efficiency of expenditures on protecting an entity’s information from information threats. The work also seeks to validate the hypothesis of the Pareto index’s optimality as a threshold value for the adaptive redistribution of an entity’s financial resources in response to the dynamic behaviour (changes) of mass and catastrophic threat types.
Research method of the work is to develop an adaptive methodology for budgeting the costs of information protection, based on the Pareto index – a formalized criterion that determines the threshold of economic efficiency of expenses (costs) for the protection of the subject’s information from information threats, as well as to confirm the hypothesis of the optimality of the Pareto index as a threshold value of the adaptive redistribution of the subject’s financial resources between dynamic behavior (change) of mass and catastrophic types of threats.
The results of the study: The concept of the Pareto Index is proposed as a dynamic benchmark for optimising information security budgets across organisational entities. Based on a cluster analysis of 227 threat vectors from the FSTEC Bank of Threats database, using threat toxicity criteria, it has been demonstrated that the Pareto core (the set of threats dominating the risk profile) shifts as the protection posture of the defended entity changes, necessitating an adaptive redistribution of budgetary resources.
A formalised methodology has been developed to determine the inflection point of the information security budget – a critical threshold beyond which the marginal cost of protection against opportunistic threats exceeds the marginal benefit derived from risk mitigation. The Pareto index is presented as a quantile characteristic of the threat toxicity distribution and can serve as an economically justified criterion for decision-making on budget allocation between protection against opportunistic and catastrophic (Apex Predator) threats.
A mathematical framework has been established for optimising (adapting) information security budgeting strategies, explicitly accounting for the dynamics of the cyber threat landscape within the socio-economic context of the organisational entity.