Для разработки алгоритма информационной поддержки процессов принятия управленческих решений потребуется формализовать предметную область решения задачи. Основным подходом к формализации объектов или процессов предметной области является системный подход [1]. Системный подход представляет собой совокупность методов, позволяющих исследовать свойства, структуру и функции объектов, явлений или процессов в целом, представив их в качестве систем со всеми сложными межэлементными взаимосвязями, взаимовлиянием элементов на систему и на окружающую среду, а также влиянием самой системы на ее структурные элементы.
Процесс формализации представляет собой замену выделенного из среды реального объекта его информационным образом — «информационным объектом» с последующим наделением его характеристиками, отражающими необходимые свойства выделенного реального объекта. При этом процесс формализации, а именно — выделения информационных объектов из среды для их использования в алгоритмах оценки риска, связан с соблюдением известного ограничения. Данное ограничение обеспечивает минимизацию наиболее существенных ошибок в оценке. Такими ошибками являются [2]:
— методическая ошибка, зависящая от количества выделяемых элементов системы (чем больше детализируется взаимодействие в системе, больше выделяется взаимодействующих элементов, тем точнее раскрываются процессы, происходящие в системе);
— ошибка исходных данных, когда при большом количестве выделяемых элементов происходит накопление ошибок из-за неточного определения значений характеристик каждого элемента системы.
Характер взаимозависимости общей ошибки от методической ошибки и ошибки исходных данных представлен на рис. 1.
На основе представленной зависимости общей ошибки необходимо ограничить количество выделяемых информационных объектов, задействованных в алгоритмах оценки риска, при этом сохранить возможность адекватного раскрытия процессов взаимодействия выделенных элементов.
Результатом формализации предметной области деятельности по обеспечению корпоративной безопасности компании является выделение базового информационного объекта — события или угрозообразующего фактора, приводящего к возникновению риска.