Journals / EGE STRATEJİK ARAŞTIRMALAR DERGİSİ / 2019 / Cilt: 10 - Sayı: 1
AN INFORMATION SECURITY RISK ASSESSMENT MODEL BASED ON BAYESIAN NETWORK AND FUZZY INFERENCE SYSTEM
- Pages
- 13–33
- DOI
- —
Abstract
This study proposes a novel information security risk assessment approach based on Bayesian network and Fuzzy Inference System in order to evaluate and calculate both qualitative and / or quantitative risks. The proposed model is developed to analyse test processes for a software services company in order to evaluate the information security risks. Threats, vulnerabilities, risks, and their relations are constructed with a Bayesian network and marginal probabilities are calculated for each risk factor. Several fuzzy membership functions and fuzzy decision rules are designed and constructed for assets’ values, risks’ probabilities, and relative risk values. Finally, the impacts of risk values are calculated after the aggregation and defuzzification process. It is shown that this new model enables the business decision makers and managers to obtain more objective, reliable, and flexible information security risk assessment results.
Özet
Bu çalışmada, nitel ve / veya nicel riskleri değerlendirmek ve hesaplamak için Bayes ağı ve bulanık çıkarım sistemine dayanan yeni bir bilgi güvenliği risk değerlendirme yaklaşımı ortaya konmuştur. Önerilen model, bir yazılım şirketinin için test süreçlerini analiz etmek üzere geliştirilmiştir. Tehditler, güvenlik açıkları, riskler ve bunların bağlantılarının tanımlandığı bir Bayes ağı tasarlanmış ve her bir risk faktörü için bileşen olasılıkları hesaplanmıştır. Bilgi varlıklarının değerleri, riskleri, olasılıkları ve göreceli risk değerleri için bulanık üyelik fonksiyonları ve bulanık karar kuralları tasarlanmış ve oluşturulmuştur. Son aşamada da, risk değerlerinin etkileri, bulanık toparlama ve durulaştırma işlemleri ile hesaplanmış ve sıralanmıştır. Bu yeni model, kurumlardaki yöneticilerin daha objektif, güvenilir ve esnek bir şekilde bilgi güvenliği risk değerlendirme sonuçları elde etmelerine ve kullanmalarına olanak sağlamaktadır.