Applying Monte Carlo simulations in process-aware risk assessment

Η εργασία αυτή επικεντρώνεται στην ανάλυση και εκτίμηση επιπτώσεων σε επιχειρησιακές διαδικασίες μέσω της χρήσης προηγμένων μεθόδων προσομοίωσης και ποσοτικής αξιολόγησης. Ως βασικό εργαλείο χρησιμοποιείται το πλαίσιο PRIA (Process Risk Impact Assessment), το οποίο επιτρέπει την αναπαράσταση επιχειρησιακών διαδικασιών με τη μορφή αιτιακών γράφων. Στο πλαίσιο αυτό αναπτύχθηκε ένας μηχανισμός προσομοίωσης Monte Carlo με στόχο την ενσωμάτωση τυχαιοποίησης σε κρίσιμες παραμέτρους, όπως τα βάρη των ακμών, η διαθεσιμότητα κόμβων και η ένταση του συμβάντος (severity). Παρότι μεθοδολογίες όπως η PRIA αποτελούν ένα σημαντικό βήμα προς την αυτοματοποίηση τής αξιολόγησης κινδύνου και της ανάλυσης επιχειρησιακού αντίκτυπου, παραμένουν κατά βάση ντετερμινιστικές, καθώς βασίζονται σε συγκεκριμένα σενάρια και σταθερές παραμέτρους. Αντίστοιχες προσεγγίσεις στη σχετική βιβλιογραφία, αν και έχουν αποβεί ιδιαίτερα χρήσιμες σε ερευνητικό επίπεδο, παρουσιάζουν περιορισμένη ευελιξία ως προς τη μοντελοποίηση τής αβεβαιότητας και της φύσης των πραγματικών κυβερνοεπιθέσεων. Στην πράξη, οι οργανισμοί καλούνται να αξιολογήσουν όχι ένα μόνο σενάριο, αλλά πλήθος πιθανών εκβάσεων, λαμβάνοντας υπόψη ατελή γνώση, μεταβαλλόμενες συνθήκες και αβέβαιες παραμέτρους. Η παρούσα εργασία επιχειρεί να γεφυρώσει αυτό το κενό, επεκτείνοντας τη PRIA με στοχαστικούς μηχανισμούς Monte Carlo, ώστε να καταστεί δυνατή η πιο ρεαλιστική αποτύπωση της αβεβαιότητας και η ενίσχυση της πρακτικής εφαρμογής της μεθόδου σε πραγματικά επιχειρησιακά περιβάλλοντα. Η μεθοδολογία που ακολουθήθηκε περιλαμβάνει την κατασκευή γράφων δραστηριοτήτων από αρχεία event logs (.xes), τον υπολογισμό χαρακτηριστικών κόμβων και ακμών, καθώς και την εκτίμηση επιπτώσεων μέσω διαδικασιών διάδοσης (impact propagation). Στο στάδιο της προσομοίωσης εισήχθησαν μηχανισμοί τυχαιοποίησης: • θόρυβος στα βάρη των ακμών (Gaussian perturbation), • πιθανότητα αποτυχίας κόμβων (asset unavailability), • κλιμάκωση της έντασης μέσω τυχαίας παραμέτρου severity. Για την αποτύπωση των αποτελεσμάτων επιλέχθηκαν τρεις μετρικές: μέση τιμή impact (Mean Impact), τυπική απόκλιση (Standard Deviation) και πιθανότητα κρισιμότητας (P>0.5). Οι μετρικές αυτές προσφέρουν μια ισορροπημένη εικόνα του αναμενόμενου κινδύνου, της αβεβαιότητας που τον συνοδεύει και της πιθανότητας εμφάνισης κρίσιμων καταστάσεων. Τα αποτελέσματα δείχνουν ότι η προσέγγιση αυτή μπορεί να αποτυπώσει με ρεαλισμό την αβεβαιότητα και την τυχαιότητα που χαρακτηρίζουν τις επιχειρησιακές διαδικασίες, παρέχοντας χρήσιμες ενδείξεις για τη διαχείριση κινδύνου και την ενίσχυση της κυβερνοασφάλειας. Η εργασία συνεισφέρει στην κατεύθυνση της αυτοματοποιημένης και ποσοτικής αξιολόγησης κινδύνων σε επιχειρησιακά περιβάλλοντα, ανοίγοντας τον δρόμο για μελλοντικές επεκτάσεις που θα ενσωματώνουν πιο σύνθετες στοχαστικές μεθόδους και μετρικές.