автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему:Метод и модель обоснования профиля защиты в банковских информационных системах

На правах рукописг

□03454961

Шубин Юрий Михайлович

Метод и модель обоснования профиля защиты в банковских информационных системах

Специальность 05.13.19. Методы и системы защиты информации, информационная безопасность

Автореферат

диссертации на соискание ученой степени кандидата технических наук

Санкт-Петербург О 5 ДЕК да

2008

003454961

УДК 004.056

Работа выполнена на кафедре «Безопасные информационные технологии» Санкт-Петербургского государственного университета информационных технологий, механики и оптики (СПб ГУ ИТМО).

Защита состоится "23" декабря 2008 г. в 15 часов 50 минут на заседании диссертационного совета Д 212.227.05 при Санкт-Петербургском Государственном университете информационных технологий, механики и оптики, по адресу: 197101, Санкт-Петербург, Кронверский пр., д. 49.

С диссертацией можно ознакомиться в библиотеке СПб ГУ ИТМО. Автореферат разослан 2008г.

Ученый секретарь Диссертационного совета Д 212.227.05

Научный руководитель: Официальные оппоненты:

Ведущая организация:

Доктор технических наук, профессор

Осовецкий Леонид Георгиевич

Доктор технических наук, профессор

Крук Леонид Авраамович

Кандидат технических наук, доцент

Птицын Алексей Владимирович

Управление Федеральной Службы по Техническому и

Экспортному Контролю Северо-Западного Федерального

Округа

доцент

кандидат технических на

Актуальность темы

В последние годы в банковской деятельности обострилась проблем* обеспечения безопасности данных. Она включает в себя несколько аспектов. Во-первых, это гибкая, многоуровневая и надежная регламентация полномочий пользователей. Ценность банковской информации предъявляет особые требование к защите данных от несанкционированного доступа, в том числе к контролк управления процессами, изменяющими состояние данных. Во-вторых, наличш средств для поддержания целостности и непротиворечивости данных. Подобные средства подразумевают возможность осуществления контроля вводимых данных поддержки и контроля связей между данными, а также ввода и модификащ» данных в режиме транзакций — набор операций, обеспечивающих поддержание согласованности данных. В-третьих, присутствие в системе многофункциональны? процедур архивации, восстановления и мониторинга данных при программных * аппаратных сбоях.

Обеспечение безопасности информационных банковских систем представляет собой комплексную проблему, которая решается в направлешш совершенствования правового регулирования применения информационны> технологий, совершенствования метс>"пв и средств их разработки, развития системы сертификации, обеспечения соответствующих организационно-технических условий эксплуатации. Ключевым аспектом решения проблемь безопасности является выработка системы требований, критериев и показателе{ для оценки уровня безопасности информационных технологий.

ГОСТ Р ИСО/МЭК 15408 определяет критерии, за которыми историчесга закрепилось название "Общие критерии" (ОК). ОК предназначены дои использования в качестве основы при оценке характеристик безопасности продуктов и систем информационных технологий. Устанавливая общую баз)

критериев, ОК делают результаты оценки безопасности значимыми для более широкой аудитории.

Совокупность требований безопасности, взятых из ОК или сформулированных в явном виде представляются в виде профиля защиты, оценка и обоснование которого выполняется согласно критериям оценки, содержащимся в части 3 ОК. Целью такой оценки является продемонстрировать, что профиль полон, непротиворечив, технически правилен и пригоден для использования при изложении требований к объекту оценки, предполагаемому для оценки.

Обоснование же включает в себя следующее.

а) Логическое обоснование целей безопасности, демонстрирующее, что изложенные цели безопасности сопоставлены со всеми аспектами среды безопасности.

б) Логическое обоснование требований безопасности, демонстрирующее, что совокупность требований безопасности пригодна для достижения целей безопасности и сопоставима с ними.

Тем не менее отсутствие методологии экономического обоснования и оценки профиля защиты в настоящее время приводит к отсутствию к стремлению внедрения ОК.

Разработка модели обоснования, опирающаяся на экономические показатели деятельности будет стимулировать внедрение ОК в различные отраслевые сферы, в частности в сфере банковских информационных технологий. Это позволит значительно повысить уровень безопасности банковских информационных систем. Увеличит доверие к ним как со стороны пользователей (банковских организаций), так и стороны конечных потребителей банковского продукта.

Цель диссертационной работы

Целью диссертационной работы является исследование и разработка модели и метода обоснования профиля защиты в соответствии с ГОСТ Р

ИСО/МЭК 15408, для автоматизированных систем организаций банковской системы РФ.

Объект н предмет исследования

Объектами исследования в данной работе являются профили защиты щи автоматизированных банковских в соответствии с ГОСТ Р ЙСО/МЭК 15408.

Предметом исследований выступают модель и методы обоснованю профиля защиты для автоматизированных систем организаций банковской системь РФ, при которых исходными данными являются экономические показател* банковской деятельности

Методы исследования

При решении поставленных задач использованы: статистические методы методы нечеткой логики, графические методы (графическое отображение болылго объемов , статистических данных), что позволило выявить определенные закономерности.

Основные научные положения, выносимые на защиту

Модель взаимодействия субъектов банковской системы РФ, на основе конкуренции.

Модель перераспределения освоенного ресурса между членам* банковской популяции.

Метод подтверждения соответствия профиля защиты отраслевым целям \ среде безопасности.

Основные результаты работы

Построена модель для оценки профиля защиты автоматизированные систем на основе экономических показателях деятельности организаций входящю в банковскую систему РФ.

Разработаны практические методы о выявлении соответствш функциональных требований и требований доверия среде и целям безопасности I профилях защиты автоматизированных систем банковской отрасли.

<

Предложены способы использования апробированных профилей защиты в последующих реализациях информационных систем банковской сферы. Научная новизна Научная новизна заключается:

• Предложена новая модель взаимодействия субъектов банковской системы РФ, на основе конкуренции, Эта модель позволяет учитывать взаимодействия членов банковской системы, как субъектов банковской популяции.

• Предложена новая модель перераспределения освоенного ресурса между членами банковской популяции. Которая позволяет оценивать эффективность жизнедеятельности на основе динамики изменения экономических показателей.

• Предложен новый метод подтверждения соответствия профиля защиты отраслевым целям и среде безопасности, который состоит в использовании реальных экономических параметров жизнедеятельности систем при оценке профилей защиты.

Практическая ценность

Практическая ценность данной работы заключается в сочетании экономических и технических показателях оценке автоматизированных систем, что позволит более тесную интеграцию различных отделов организаций банковской системы РФ. Таким образом, управленческому аппарату будут донесены необходимости действий предпринимаемых в сфере информационной безопасности организации на понятным ему экономическом уровне, а не только в виде технических подробностей. Управленческий аппарат функционирует на основе аналитических данных по экономическим показателям деятельности и не всегда способен к восприятию сугубо технических подробностей. В свою очередь технические службы не в состоянии соизмерять предпринимаемые технические меры безопасности с финансовыми результатами, что ведет к взаимному недопониманию стратегии организации в сфере информационной безопасности.

Апробация работы

Основные положения и результаты диссертационной работе докладывались и обсуждались на семинарах кафедры БИТ и конференциях:

• на IV межвузовской конференции молодых ученых (Санкт-Петербург апрель 2008);

• на XI научно-практической конференции «Теория и технология программирования и защшы информации» (Санкт-Петербург, май 2007)

• на научно-технической конференции «День антивирусной безопасности): (Санкт-Петербург, октябрь 2007);

• на XXXVII научной и учебно-методической конференции СПбГУ ИТМС (Санкт-Петербург, февраль 2008);

• на V межвузовской конференции молодых ученых (Санкт-Петербург, апрель 2008);

• на XII научно-практической конференции «Теория и технологш программирования и защиты информации» (Санкт-Петербург, май 2008);

• на XI Санкт-Петербургской межрегиональной конференции «Региональна? информатика 2008 (РИ-2008)» в рамках круглого стола «15 лет российскому закону «о государственной тайне» (Санкт-Петербург, октябр! 2008).

Внедрение результатов

Результаты работы реализованы в учебном процессе кафедры БИТ СП6П< ИТМО по специальности 075300 «Экономика защиты информации» Публикации по теме диссертации

Основные положения диссертации отражены в 4-х сборниках научны* трудов конференций и журналах. В том числе рецензируемых Высшей аттестационной комиссией Министерства образования и науки Росспйско{ Федерации 2.

Структура и объем диссертации

Диссертация состоит из списка сокращений, введения, трех глав, заключения и списка литературы. Материал изложен на 86 страницах машинописного текста, содержит 12 рисунков 10 диаграмм и 7 таблиц, список литературы состоит из 51 наименований.

Во введении обосновывается актуальность темы, сформулированы ее цель, научная новизна, приведены сведения о практическом использовании полученных научных результатов и представлены основные положения, выносимые на защиту.

В первой главе рассмотрены основные принципы, методы формирования и структура профиля защиты. А так же характеристика состояния информационных систем банковской сферы

В первом разделе дан обзор современных информационных банковских систем. Их структура. Основные функциональные модули систем реализующие все виды банковских услуг: расчетно-кассовое обслуживание юридических лиц; обслуживание счетов банков-корреспондентов; кредитные, депозитные и валютные операции; любые виды вкладов частных лиц и операции по ним; фондовые операции; расчеты с помощью пластиковых карточек; бухгалтерские функции; анализ, принятие решений, менеджмент, маркетинг и др

Освещены, наиболее перспективные направления развития банковских информационных технологий такие как интернет-банкинг, системы дистанционного обслуживания: «Интернет—Банк», «Интернет—Клиент», домашний банк, телебанк, мобильный банк или \УАР-сервис. С помощью которых выполняются практически любые, кроме кассового обслуживания, требования клиентов банка. Освоение Российскими кредитными новых направление развития брокерских услуг, заключающееся в предоставлении физическим лицам доступа к российским и международным валютным и фондовым рынкам (интернет-трейдинг).

Во втором разделе рассмотрены стандарты в области информационно? безопасности, такие как международные и национальные стандарты оцени управления информационной безопасностью. Отраслевые стандарты обеспечен!« безопасности в банковской сфере, стандарты и рекомендации в облает* стандартизации:

■ Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положена СТО БР ИББС-1.0-2006;

■ методика оценки соответствия информационной безопасности организаций банковской системы российской федеращ» требованиям СТО БР ИББС-1.0-2006;

1 руководство по самооценке соответствия информационной безопасности организаций банковской системы российско£ федерации требованиям СТО БР ИББС-1.0-2006;

■ аудит информационной безопасности.

А также проекты в области стандартизации банковских систем РФ.

В третьем разделе рассмотрены стандарты методические рекомендации посвященные формированию и оценке профилей защиты и заданий пс безопасности в соответствии с ГОСТ Р ИСО/МЭК 15408. Представлень существующие на данном этапе способы формирования профилей защиты I заданий по безопасности. Особое внимание уделено составным объектам оцени (состоит из двух и более компонентов), какими и являются в некоторых случая* автоматизированные банковские системы. На рис.1 представлены 2 вида составны? объекта оценки (00), с единой и различной средой безопасности.

г

I

елт Лтат

.Г

и

и

_1

__I

СрЛ Лияпоовви рся/м дм *

Рис.1 (Составные объекты оценки 00)

Во второй главе предлагается модель конкурентного взаимодействия субъектов банковской системы РФ и метод обоснования профиля защиты на основе данной модели.

В первом разделе вводится понятия конкуренции применительно к информационным системам. Инвариантность данного понятия дает основание полагать о возможности построения некоторой математической модели данного процесса. Получив широкое распространение в теории эволюции биологических и экономических систем, а также других сферах, таких как политика, история науки, образование, искусство, социальная психология и даже физика, позволяет использовать данное понятие и в сфере информационных технологий. В частности в области информационной безопасности.

Во втором разделе описываются требования, предъявляемые к модели как к отражению одной из сторон взаимодействия и не являющейся полным функциональным аналогом реальной системы. Требование к выбору 10

экономического показателя, который не должен быть узкоспециализированные параметром, характерным только для некоторых систем, а должен быть присуп. всем участникам взаимодействия. Предложено в качестве такого показателе использовать чистые активы (нетто-активы), определяемые как разность межд) активами и пассивами.

ЧА = А-П (1)

В первом разделе вводится понятие нормализованного актива, дш исключения влияние таких макроэкономических показателей как средние дохода; населения, средняя заработная плата, цены, уровень инфляции, безработица занятость, производительность труда.

Л": "А- (2)

Ел

м

А так же в графическом виде представлена и проанализироваге взаимосвязь между чистыми и нормализованными активами пяти крупнейшю банков в период с 2006г по первое полугодие 2008г (ВТБ, Газпромбанк, Альфа-Банк, Райффайзенбанк, Сбербанк).

В четвертом разделе дано определение конкурентоспособности, ка1 функции от защищенности (3) и изменения во времени перераспределенной: актива(А )

КА

КС = /(3;-^-) (3)

В пятом разделе формулируется конкурентная модель взаимодействие субъектов банковской системы РФ.

субъект 1 субъект 2

Рис.2 (Концептуальная схема (парадигма) взаимодействия субъектов банковской системы)

субъект 1 имеет актив Ах, который обладает той или иной защищенностью от угроз исходящих от второго У2 . И в то же время сам формирует угрозу направленную на другой субъект

Защищенность первого субъекта 31

3-М-

1 К/21

(4)

Это изменение нормализованного актива Ан во времени I под воздействием угрозы У2

Рис.3 (Экстраполяция модели на банковскую популяцию)

В качестве исходного положения поле угроз для всех субъектов системь едино. Различие угроз, обусловлено «крупностью», как с точки зрения источника так и цели направленности угроз.

у; =у*к1щ хщ +• • <5>

В шестом разделе изложен метод и последовательность действий прг обосновании.

Рис.4 (Последовательность применения модели)

В случаи, когда система не удовлетворяет требованию конкурентоспособности, тогда по результатам эксплуатации потребуется внесение разработчиком исправлений в объект оценки, а так же переопределение требовани? безопасности и/или предположений относительно среды эксплуатации. Чтс повлечет за собой пересмотр профиля защиты.

Изложенные выше положения не противоречат п.4.2.2 (Оценка 00] Государственного стандарта РФ ГОСТ Р ИСО/МЭК 15408-1-2002

В котором регламентировано, что процесс оценки может проводиться как параллельно с разработкой так и следом за ней

В третьей главе описывается метод выполнения оценки на базе моделирующего комплекса. Метод включает в себя следующие этапы:

1. получение исходных данных и принятие ряда положений

2. расчет необходимых показателей (нормализованный актив, защищенность, крупность, изменение актива за счет перераспределения, конкурентоспособность)

3. принятие решения о соответствии профиля защиты

1-й этап: Сбор статистических данных, полученных из открытых источников, по результатам деятельности банков и кредитных организаций за 2-х летний период времени (рейтинг российских банков по размеру чистых активов). Достаточным условием является получение данных по 500 самым крупным организациям. Получение свидетельства о соответствии профиля защиты конкретной реализации системы.

MkshwmA EX 'l.'l |JI'V1I ;ih штшт

Ш П üff«K« аид Вотавка ■ Форы«1 Сярвис Двинь» ¿кио Справке - в X

У Щ i 'AiialCj» ♦ 10 s Ж к а ш ш т т 'J

С612 » ■ Ь =D509*100/C509

С о . : е. ■:■.]. ..Ö ■

r« . 1 —

........ i

Г

I

>5 i Крупнейшие банки России за 1 полугодие 2008 г. (1-500)

¿ЙЫ Чистые

' Шзйя i Чистые активы на 01.07.08, активы на 01.07.07, Иэменвни 8 за год, № на Изменени

vS.1 № Банк млн. руб. млн. руб. % 01.07.07 е№

7..1 1 Сбербанк 5 565 658 Э 346 134 41,04 1 0

• 8i 2 ВТБ 1 719 289 1 045 904 64,38 3 1

•t® 3 Газпромб анк 070 SS9 1 212 023 ■20.17 2 -1

10 4 Россель* озбанк 624 771 357 952 74,54 6 2

' 41 j 5 Альфа-банк 587 152 405 232 44,89 5 0

12 i 6 Банк Москвы 574 084 408 547 40,52 4 -2

:ЙЙ 7 Райффай зенбанк 4Б0 303 285 653 61,14 9 1

1:41 S Росбанк 421 359 232 617 81,14 12 4 's

.. 15 9 ВТБ 24 420 087 202 384 107,57 14 5

16 10 Юникред ит Банк 413158 247 099 , 572 9 -1

n i > »'\lnr20 те/ »-ий> -..•' Г J * > ¡Г

Готово

Рис.5 (Данные «РосБизнесКонсалтинг» по крупнейшим банкам)

2-й этап: Вычисление изменения чистого актива на временном интервале Величина интервала принимается в зависимости от данных полученных на 1-й этапе (0,5 года). Значение получаем как разность между изменением чистого активг и средним изменением (в процентном отношении) чистых активов.

Значение нормализованного актива представляет собой частное от чистогс актива и суммарного чистого актива по всем (достаточным условием являете; получение данных по 500 самым крупным организациям, так как влияние оставшихся не значительно) организациям банковской системы РФ.

Е

L

Рис.6 (Динамика изменения нормализованного актива)

Создание матрицы крупности по всем субъектам банковской системы. Производится на основании статистических данных по количеству филиалов

субъекта и его чистым активам (см. рис.5 и рис, 7).

уи) ^эсдгг ¿Йв, С^м"'* ' . _ д. ".»>'... у;.«•«■-»•...... -гV ¡ш' N11 Л 4 " ш К ; щ

ЖЖК- У Щ

4ч ... : ' ........!......... .

Р':И»К.Рвйтимг - ...... -..............

НК! „___________....... .„х.....

■щ I !

ТорЮО сем ых филиел ьных банк » 200$ год ш

Щ - а № Филиалы а РФ Представ итвльотаа в РФ Прадотше итвльствв а* Допофис ©перацио ННЫ0 вне о улла ЧА на 1 точку на 01.08.07. млн, руб. Объем лотревкр адитов на 1 точку 01.07.08. млч. руб. Объем пстрабкр вдитоа не 1 точку 01.07° 08, Вго учете представ кта льете, млн, ру0

' 1 20 ёО? 706 0 15"..... 9 276 10 43Б 271,4 её .01 56,01

2 Россальх о»Й»як 1 397 78 Р р 1 291 26 ¿47.22 36.02 3692

гШ 11 »3 3 Росбанк 692 61 А 5 472 6С "711.76 180,16 161,39

4 УраясиО 498 Лё с 385 . ев 73652 145,К 146.95

6 Баик Москвы 376 63 0 307 16 1 626,32 231,3 232,62

В7Б24 389 за 0 . 0 322 9 1 139,45 591.72 «91,72

7 АК 5«рс 327 45 0 0 143 1Э8 676 ДЭ 69.42 59,42

1» 1 е Восточны я. 292 10 о 0 291 1 118.43 84 33 94,83

9 УРСА Банк 282 19 0 3 244 16 77253 213,56 215Д4

10 Прсмеаяэ ьбанк 251 45 2 4 155 45 1 407,57 186,89 19023

, .. > ;.......... > —"V * * , - ШУ, , •

Рис.7 (Данные по количеству филиалов)

Вычисление защищенности производится по формуле (4). Где К}У.,

принимается по формуле (5). Таким образом, величина угрозы У, как равная для всех субъектов выводится из расчета. При вычислении значения защищенности 16

входными параметрами выступают крупность субъекта и его нормализованные актив.

Последним значением вычисляется параметр КС (конкурентоспособность). Результатом является сумма показателей защищенное™ и нормализованного перераспределенного актива. Это справедливо исключительнс в случаи положительного значения нормализованного перераспределенного актива Во всех остальных случаях КС = 3.

Рис.8 (Показатель КС для одного субъекта)

3-й этап: Принятие решения о соответствии профиля защиты на основание показателя КС , с последующим ранжированием полученных значений на:

• очень низкий

• низкий

• средний

• высокий

• очень высокий

В четвертой главе представлены результаты расчета показателей. Сделаны выводы о соответствии профиля защиты на основании показателя конкурентоспособности исследуемого субъекта банковской системы РФ.

В заключении приведены основные результаты исследования и полученные выводы, их анализ и возможности практического применения.

Список работ опубликованных по теме диссертации

1 Шубин Ю.М., Информационная безопасность банковских систем // Труды 9-й научно-технической конференции «Теория I технология программирования и защиты информации Применение вычислительной техники»» (2005г., Санкт-Петербург)

2 Шубин Ю.М., Модель обоснования ПЗ на основе банковское стандарта "Обеспечение информационной безопасноста организаций банковской системы Российской Федерации // Труда 10-й международной конференции «Теория и технологи? программирования и защиты информации», «Университетские телекоммуникации» (2006г., г. Санкт-Петербург

3 Осовецкий Л.Г., Торшенко Ю.А., Шубин Ю.М., Обнаружен«! уязвимостей на начальных этапах проектирования программной продукта // Научно-технический вестник СПбГУ ИТМО Выпуск 55

4 Осовецкий Л.Г., Шубин Ю.М., Торшенко Ю.А., мегад формирования профиля защиты автоматизированной банковской системы // Научно-технический вестник СПбГУ ИТМО Выпуск 55

Тиражирование и брошюровка выполнены в учреждении «Университетские телекоммуникации» 197101, Санкт-Петербург, Саблинская ул., 14 Тел (812) 233 4669 объем 1 ' л.л. Тираж 100 экз.

Введение

Термины и определения

1. Основные принципы, методы формирования и структура профиля защиты в автоматизированных банковских системах

1.1 Оценка современного состояния автоматизированных банковских систем

1.2 Отраслевые стандарты в области информационной безопасности

1.3 Методология по формированию и оценке профилей защиты

2. Модель конкурентного взаимодействия субъектов банковской системы РФ и метод обоснования ПЗ на основе данной модели

2.1. Введение понятия конкуренции применительно к информационным системам

2.2. Методика построения модели

2.3. Определение нормализованного актива

2.4 Определение конкурентоспособности

2.5 Конкурентная модель взаимодействия

2.6 Метод обоснования профиля защиты на основе конкурентной модели

3. Метод выполнения оценки на базе моделирующего комплекса

3.1 Сбор и обработка статистических данных

3.3 Принятие решения на основе показателей

4. Анализ результатов полученных при применении моделирующего комплекса

Актуальность темы

В последние годы в банковской деятельности обострилась проблема обеспечения безопасности данных. Она включает в себя несколько аспектов. Во-первых, это гибкая, многоуровневая и надежная регламентация полномочий пользователей. Ценность банковской информации предъявляет особые требования к защите данных от несанкционированного доступа, в том числе к контролю управления процессами, изменяющими состояние данных. Во-вторых, наличие средств для поддержания целостности и непротиворечивости данных. Подобные средства подразумевают возможность осуществления контроля вводимых данных, поддержки и контроля связей между данными, а также ввода и модификации данных в режиме транзакций — набор операций, обеспечивающих поддержание согласованности данных. В-третьих, присутствие в системе многофункциональных процедур архивации, восстановления и мониторинга данных при программных и аппаратных сбоях.

Обеспечение безопасности информационных банковских систем представляет собой комплексную проблему, которая решается в направлениях совершенствования правового регулирования применения информационных технологий, совершенствования методов и средств их разработки, развития системы сертификации, обеспечения соответствующих организационно-технических условий эксплуатации. Ключевым аспектом решения проблемы безопасности является выработка системы требований, критериев и показателей для оценки уровня безопасности информационных технологий.

ГОСТ Р ИСО/МЭК 15408 определяет критерии, за которыми исторически закрепилось название "Общие критерии" (ОК). ОК предназначены для использования в качестве основы при оценке характеристик безопасности продуктов и систем информационных технологий . Устанавливая общую базу критериев, ОК делают результаты оценки безопасности значимыми для более широкой аудитории.

Совокупность требований безопасности, взятых из ОК или сформулированных в явном виде представляются в виде профиля защиты, оценка и обоснование которого выполняется согласно критериям оценки, содержащимся в части 3 ОК. Целью такой оценки является продемонстрировать, что профиль полон, непротиворечив, технически правилен и пригоден для использования при изложении требований к объекту оценки, предполагаемому для оценки.

Обоснование же включает в себя следующее. а) Логическое обоснование целей безопасности, демонстрирующее, что изложенные цели безопасности сопоставлены со всеми аспектами среды безопасности. б) Логическое обоснование требований безопасности, демонстрирующее, что совокупность требований безопасности пригодна для достижения целей безопасности и сопоставима с ними.

Тем не менее отсутствие методологии экономического обоснования и оценки профиля защиты в настоящее время приводит к отсутствию к стремлению внедрения ОК.

Разработка модели обоснования, опирающаяся на экономические показатели деятельности будет стимулировать внедрение ОК в различные отраслевые сферы, в частности в сфере банковских информационных технологий. Это позволит значительно повысить уровень безопасности банковских информационных систем. Увеличит доверие к ним как со стороны пользователей (банковских организаций), так и стороны конечных потребителей банковского продукта.

Цель диссертационной работы

Целью диссертационной работы является исследование и разработка модели и метода обоснования профиля защиты в соответствии с ГОСТ Р ИСО/МЭК 15408, для автоматизированных систем организаций банковской системы РФ.

Объект и предмет исследования

Объектами исследования в данной работе являются профили защиты для автоматизированных банковских в соответствии с ГОСТ Р ИСО/МЭК 15408.

Предметом исследований выступают модель и методы обоснования профиля защиты для автоматизированных систем организаций банковской системы РФ, при которых исходными данными являются экономические показатели банковской деятельности

Методы исследования

При решении поставленных задач использованы: статистические методы, методы нечеткой логики, графические методы (графическое отображение больших объемов статистических данных), что позволило выявить определенные закономерности.

Основные научные положения, выносимые на защиту

Модель взаимодействия субъектов банковской системы РФ, на основе конкуренции.

Модель перераспределения освоенного ресурса между членами банковской популяции.

Метод подтверждения соответствия профиля защиты отраслевым целям и среде безопасности.

Основные результаты работы

Построена модель для оценки профиля защиты автоматизированных систем на основе экономических показателях деятельности организаций входящих в банковскую систему РФ.

Разработаны практические методы о выявлении соответствии функциональных требований и требований доверия среде и целям безопасности в профилях защиты автоматизированных систем банковской отрасли.

Предложены способы использования апробированных профилей защиты в последующих реализациях информационных систем банковской сферы.

Научная новизна

Научная новизна заключается:

• Предложена новая модель взаимодействия субъектов банковской системы РФ, на основе конкуренции. Эта модель позволяет учитывать взаимодействия членов банковской системы, как субъектов банковской популяции.

• Предложена новая модель перераспределения освоенного ресурса между членами банковской популяции. Которая позволяет оценивать эффективность жизнедеятельности на основе динамики изменения экономических показателей.

• Предложен новый метод подтверждения соответствия профиля защиты отраслевым целям и среде безопасности, который состоит в использовании реальных экономических параметров жизнедеятельности систем при оценке профилей защиты.

Практическая ценность

Практическая ценность данной работы заключается в сочетании экономических и технических показателях оценке автоматизированных систем, что позволит более тесную интеграцию различных отделов организаций банковской системы РФ. Таким образом, управленческому аппарату будут донесены необходимости действий предпринимаемых в сфере информационной безопасности организации на понятным ему экономическом уровне, а не только в виде технических подробностей. Управленческий аппарат функционирует на основе аналитических данных по экономическим показателям деятельности и не всегда способен к восприятию сугубо технических подробностей. В свою очередь технические службы не в состоянии соизмерять предпринимаемые технические меры безопасности с финансовыми результатами, что ведет к взаимному недопониманию стратегии организации в сфере информационной безопасности.

Апробация работы

Основные положения и результаты диссертационной работы докладывались и обсуждались на семинарах кафедры БИТ и конференциях:

• на IV межвузовской конференции молодых ученых (Санкт-Петербург, апрель 2008);

• на XI научно-практической конференции «Теория и технология программирования и защиты информации» (Санкт-Петербург, май 2007)

• на научно-технической конференции «День антивирусной безопасности» (Санкт-Петербург, октябрь 2007);

• на XXXVII научной и учебно-методической конференции СПбГУ ИТМО (Санкт-Петербург, февраль 2008);

• на V межвузовской конференции молодых ученых (Санкт-Петербург, апрель 2008);

• на XII научно-практической конференции «Теория и технология программирования и защиты информации» (Санкт-Петербург, май 2008);

• на XI Санкт-Петербургской межрегиональной конференции «Региональная информатика 2008 (РИ-2008)» в рамках круглого стола «15 лет российскому закону «о государственной тайне» (Санкт-Петербург, октябрь 2008).

Внедрение результатов

Результаты работы реализованы в учебном процессе кафедры БИТ СПбГУ ИТМО по специальности 075300 «Экономика защиты информации» I

Публикации по теме диссертации

Основные положения диссертации отражены в 4-х сборниках научных трудов конференций и журналах. В том числе рецензируемых Высшей аттестационной комиссией Министерства образования и науки Российской Федерации.

ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ автоматизированная банковская система: автоматизированная система, реализующая банковский технологический процесс или его часть. активы организации банковской системы Российской Федерации: все, что имеет ценность для организации банковской системы Российской Федерации и находится в ее распоряжении.

Примечание.

К активам организации БС РФ могут относиться: банковские ресурсы (финансовые, людские, вычислительные, телекоммуникационные и пр.); информационные активы, в т.ч. различные виды банковской информации (платежной, финансово-аналитической, служебной, управляющей и пр.) на следующих фазах их жизненного цикла: генерация (создание), обработка, хранение, передача, уничтожение; банковские процессы (банковские платежные технологические процессы, банковские информационные технологические процессы, процессы жизненного цикла автоматизированных банковских систем и др.); банковские продукты и услуги, предоставляемые клиентам. атрибут безопасности: Информация, связанная субъектами, пользователями и/или объектами, которая используется для осуществления ПБО. аудит информационной безопасности организации банковской системы Российской Федерации: периодический, независимый и документированный процесс получения свидетельств аудита и объективной их оценки с целью установления степени выполнения в организациях БС РФ установленных требований по обеспечению информационной безопасности. <

Примечания.

Внутренние аудиты ("аудиты первой стороной") проводятся самой организацией или от ее имени для анализа менеджмента или других внутренних целей и могут служить основанием для самодеклараций организации о соответствии требованиям по ИБ.

Внешние аудиты включают "аудиты второй стороной" и "аудиты третьей стороной". Аудиты второй стороной проводятся сторонами, заинтересованными в деятельности организации, например, потребителями или другими лицами от их имени. Аудиты третьей стороной проводятся внешними независимыми организациями.

Независимость при аудите предполагает полную свободу аудитора (самостоятельность) в отборе и анализе свидетельства аудита (изложение фактов или другой информации, связанной с критериями аудита) в отношении объекта аудита. аутентификационные данные: Информация, используемая для верификации предъявленного идентификатора пользователя. банковская система Российской Федерации: Банк России и кредитные организации, а также филиалы и представительства иностранных банков [6]. банковский технологический процесс: технологический процесс, содержащий операции по изменению и(или) определению состояния банковской информации, используемой при функционировании или необходимой для реализации банковских услуг.

Примечания.

Операции над банковской информацией могут выполняться вручную или быть автоматизированными, например, с помощью комплексов средств автоматизации автоматизированных банковских систем. Операции над банковской информацией требуют указания ролей их участников (исполнителей и лиц, принимающих решения или имеющих полномочия по изменению технологических процессов, в том числе персонала автоматизированных банковских систем).

В зависимости от вида деятельности выделяют: банковский информационный технологический процесс, банковский платежный технологический процесс и др. внешний объект ИТ: Любые продукт или система ИТ доверенные или нет, находящиеся вне ОО и взаимодействующие с ним. внутренний канал связи: Канал связи между разделенными частями ОО. данные ФБО: Данные, созданные ФБО или для ФБО, которые могут повлиять на выполнение ФБО. данные пользователя: Данные, созданные пользователем и для пользователя, которые не влияют на выполнение ФБО. доверие: Основание для уверенности в том, что сущность отвечает своим целям безопасности. зависимость: Соотношение между требованиями, при котором требование, от которого зависят другие требования, должно быть, как правило, удовлетворено, чтобы и другие требования могли отвечать своим целям. задание по безопасности: Совокупность требований безопасности и спецификаций, предназначенная для использования в качестве основы для оценки конкретного ОО. идентификатор: Представление уполномоченного пользователя (например, строка символов), однозначно его идентифицирующее. Таким представлением может быть либо полное или сокращенное имя этого пользователя, либо его псевдоним. интерфейс функций безопасности ОО: Совокупность интерфейсов как интерактивных (человеко-машинные интерфейсы), так и программных (интерфейсы прикладных программ), с использованием которых осуществляется доступ к ресурсам ОО при посредничестве ФБО или получение от ФБО какой-либо информации. итерация: Более чем однократное использование компонента при различном выполнении операций. информационная безопасность организации банковской системы Российской Федерации: состояние защищенности интересов (целей) организации банковской системы Российской Федерации в условиях угроз в информационной сфере.

Примечания.

Защищенность достигается обеспечением совокупности свойств информационной безопасности — конфиденциальностью, целостностью, доступностью информационных активов и инфраструктуры. Приоритетность свойств информационной безопасности определяется значимостью информационных активов для интересов (целей) организации.

Информационная сфера представляет собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение, хранение и использование информации, а также системы регулирования возникающих при этом отношений. инцидент информационной безопасности организации банковской системы Российской Федерации: событие, вызывающее действительное, предпринимаемое или вероятное нарушение информационной безопасности организации банковской системы Российской Федерации.

Примечание.

Нарушение может вызываться либо ошибкой людей, либо неправильным функционированием технических средств, либо природными факторами (например, пожар или наводнение), либо преднамеренными злоумышленными действиями, приводящими к нарушению конфиденциальности, целостности, доступности, учетности или неотказуемости. класс: Группа семейств, объединенных общим назначением, компонент: Наименьшая выбираемая совокупность элементов, которая может быть включена в ПЗ, ЗБ или пакет. механизм проверки правомочности обращений: Реализация концепции монитора обращений, обладающая следующими свойствами:

- защищенностью от проникновения;

- постоянной готовностью;

- простотой, достаточной для проведения

- исчерпывающего анализа и тестирования. модель политики безопасности ОО: Структурированное представление политики безопасности, которая должна быть осуществлена ОО. мониторинг информационной безопасности организации банковской системы Российской Федерации (мониторинг ИБ): постоянное наблюдение за событиями мониторинга ИБ, сбор, анализ и обобщение результатов наблюдения. монитор обращений: Концепция абстрактной машины, осуществляющей политики управления доступом ОО. неформальный: Выраженный на естественном языке, область действия ФБО: Совокупность возможных взаимодействий с ОО или в его пределах, которые подчинены правилам ПБО. объект оценки: Подлежащие оценке продукт ИТ или система с руководствами администратора и пользователя. осознание информационной безопасности: понимание организацией необходимости самостоятельно на основе принятых в ней ценностей и накопленных знаний формировать и учитывать в рамках основной деятельности (бизнеса) прогноз результатов от деятельности по обеспечению информационной безопасности, а также поддерживать эту деятельность адекватно прогнозу. Примечание.

Осознание информационной безопасности является внутренним побудительным мотивом организации инициировать и поддерживать деятельность по менеджменту информационной безопасности, в отличие от побуждения или принуждения, когда решение об инициировании и поддержке деятельности по менеджменту информационной безопасности определяется соответственно либо возникшими проблемами организации, такими, как инцидент информационной безопасности, либо внешними факторами, например, требованиями законов. оценка: Оценка ПЗ, ЗБ или 00 по определенным критериям, оценочный уровень доверия: Пакет компонентов доверия из части 3 ОК, представляющий некоторое assurance положение на предопределенной в ОК шкале доверия. пакет: Предназначенная для многократного использования совокупность функциональных компонентов или компонентов доверия (например, ОУД), объединенных для удовлетворения совокупности определенных целей безопасности. политика безопасности организации: Одно или несколько правил, процедур, практических приемов или руководящих принципов в области безопасности, которыми руководствуется организация в своей деятельности. политика безопасности ОО: Совокупность правил, регулирующих управление активами, их защиту и распределение в пределах ОО. политика информационной безопасности организации банковской системы Российской Федерации: одно или несколько правил, процедур, практических приемов и руководящих принципов в области информационной безопасности, которыми руководствуется организация банковской системы Российской Федерации в своей деятельности. политика функции безопасности: Политика безопасности, осуществляемая ФБ. пользователь: Любая сущность (человек-пользователь или внешний объект ИТ) вне 00, которая взаимодействует с ОО. потенциал нападения: Прогнозируемый потенциал для успешного (в случае реализации) нападения, выраженный в показателях компетентности, ресурсов и мотивации нарушителя. продукт: Совокупность программных, программно-аппаратных и/или аппаратных средств ИТ, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы. профиль защиты: Независимая от реализации совокупность требований безопасности для некоторой категории ОО, отвечающая специфическим запросам потребителя. расширение: Добавление в ЗБ или ПЗ функциональных требований, не содержащихся в части 2 ОК, и/или требований доверия, не содержащихся в части 3 ОК. ресурс ОО: Все, что может использоваться или потребоваться в ОО. риск: неопределенность, предполагающая возможность потерь (ущерба). риск нарушения информационной безопасности организации банковской системы Российской Федерации: неопределенность, предполагающая возможность ущерба состояния защищенности интересов целей) организации банковской системы Российской Федерации в условиях угроз в информационной сфере. роль: Заранее определенная совокупность правил, устанавливающих допустимое взаимодействие между пользователем и ОО. роль в организации банковской системы Российской Федерации: заранее определенная совокупность правил, устанавливающих допустимое взаимодействие между субъектом и объектом в организации БС РФ. Примечания.

К субъектам относятся лица из числа руководителей организации БС РФ, ее персонала, клиентов или инициируемые от их имени процессы по выполнению действий над объектами.

Объектами могут быть аппаратное средство, программное средство, программно-аппаратное средство, информационный ресурс, услуга, процесс, система, над которыми выполняются действия. семейство: Группа компонентов, которые объединены одинаковыми целями безопасности, но могут отличаться акцентами или строгостью. система: Специфическое воплощение ИТ с конкретным назначением и условиями эксплуатации. система оценки: Административно-правовая структура, в рамках которой в определенном сообществе органы оценки применяют ОК. стойкость функции безопасности: Характеристика функции безопасности ОО, выражающая минимальные усилия, предположительно необходимые для нарушения ее ожидаемого безопасного поведения при прямой атаке на лежащие в ее основе механизмы безопасности. уполномоченный пользователь: Пользователь, которому в соответствии с ПВО разрешено выполнять какую-либо операцию. усиление: Добавление одного или нескольких компонентов доверия из части 3 ОК в ОУД или пакет требований доверия. функции безопасности ОО: Совокупность всех функций безопасности ОО, направленных на осуществление ПВО. функция безопасности: Функциональные возможности части или частей ОО, обеспечивающие выполнение подмножества взаимосвязанных правил ПБО. человек-пользователь: Любое лицо, взаимодействующее с ОО. цель безопасности: Изложенное намерение противостоять установленным угрозам и/или удовлетворять установленной политике безопасности организации и предположениям. элемент: Неделимое требование безопасности.

Результаты работы реализованы в учебном процессе в Санкт -Петербургском государственном университете информационных технологий, механики и оптики на кафедре Безопасные информационные технологии. Апробация работы выявила ряд положений которые необходимо принимать во внимание при использовании данного метода. В частности показатели защищенности ряда субъектов оказались ниже чем предполагалось в теоретическом обосновании. И вызвано, как показала апробация, географической рассредоточенностью некоторых субъектов.

Как вариант избежание этого неблагоприятного фактора, является представление одного субъекта в виде нескольких региональных.

Практическая ценность данной работы, заключающаяся в сочетании экономических и технических показателях оценке автоматизированных систем, призвана привезти к повышению доверия к БС РФ, повышению стабильности функционирования организаций БС РФ и на этой основе — стабильности функционирования БС РФ в целом.

ЗАКЛЮЧЕНИЕ

В процессе исследовательской деятельности по разработка модели и метода обоснования профиля защиты в соответствии с ГОСТ Р ИСО/МЭК 15408, для автоматизированных систем организаций банковской системы РФ. Были достигнуты следующие основные результаты:

Построена модель для оценки профиля защиты автоматизированных систем на основе экономических показателях деятельности организаций входящих в банковскую систему РФ.

- Разработаны практические методы о выявлении соответствии функциональных требований и требований доверия среде и целям безопасности в профилях защиты автоматизированных систем банковской отрасли.

- Предложены способы использования апробированных профилей защиты в последующих реализациях информационных систем банковской сферы.

- Предложены направления дальнейшего развития и данной модели с целью получения более точных оценочных результатов в случаях когда ожидаемые результаты (по отдельным субъектам) сильно отличаются от получившихся показателях. Что обусловлено специфичностью отдельных субъектов системы.

1. Афанасьева Л.П., Богатырев В.И., Журкина Н.Г. и др. Основы банковской деятельности. М., 2003.

2. Безопасность информационных технологий Руководство по разработке профилей защиты и заданий по безопасности, Гостехкомиссия России, 2003.

3. Безопасность информационных технологий. Многоуровневые операционные системы в средах, требующих среднюю безопасность. Профиль защиты (вторая редакция). Центр безопасности информации, 2002

4. Белецкий Н.П. и др. Управление персоналом: Учеб. пособие/ Белецкий Н.Е., Велесько С.Е., РОИШ П. Мн.: ИП «Эко перспектива» 2000.

5. Бетелин В.Б., Галатенко В.А., Кобзарь М.Т., Сидак A.A., Трифаленков И.А. Профили защиты на основе «общих критериев», jetinfo, №3, 2003.

6. Богомолов A.M., Твердохлебов В. А. Целенаправленное поведение автоматов. Киев.: Изд. «Наукова думка», 1975.

7. Вагин Б.Н. Дедукция и обобщение в системах принятия решений. М.: Наука. Гл. ред. физ.-мат. лит-ры, 1988.

8. Войст И., Ревенглоу П. Экономика фирмы: Учебник Пер. с датского Чеканского А.Н., Рождественского O.B. М.: Высш. шк., 1994.

9. Гаврилова Г.А., Хорошевский В.Ф. Базы знаний интеллектуальных систем. СПб: Питер. 2001.

10. Герчикова И.Н. Менеджмент: Учебник 2-е изд. перераб. и доп. М.: Банки и биржи, ЮНИТИ, 1995.

11. Глушков И., Классические» системы безопасности для банков. Банковские технологии №07 (2004 г.)

12. ГОСТ Р ИСО/МЭК 15408-2002 Информационная технология. -Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. - Части 1, 2, 3.

13. ГОСТ 34.601-90 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания.

14. ГОСТ Р 51898-2002 Аспекты безопасности. Правила включения в стандарты.

15. ГОСТ Р ИСО 9000-2001 «Системы менеджмента качества. Основные положения и словарь».

16. Грушо А., Васильев А. Защита распределенных компьютерных систем. Банковские технологии №03 (2004 г.)

17. Зима В., Молдовян А., Молдовян Н. Безопасность глобальных сетевых технологий. СПб.: бхв-петербург, 2003. 368с.

18. Жмурова С.Н., Дружинин И.В. Экспертная система для оценки эффективности присутствия предприятия на рынке интеллектуальной собственности. Высокие технологии (исследования, проектирование, экономика). Ростов н/д: Изд. центр ДГГУ, 2001.

19. Киримов В.Э. Управленческий учет: Учебник 3-е изд. изм. и доп. М.: Издательско-торговая корпорация «Дашков и К°», - 2001.

20. Клир Дж. Системология. Автоматизация решения системных задач: Пер. с англ. М.: Радио и связь, 1990.

21. Кузнецов О.П., Адельсон-Вельский Г.М. Дискретная математика для инженера. 2-е изд., перераб. и доп. - М.: Энергоатомиздат, 1989г.

22. Кутин A.A. Создание конкурентоспособных станков. М.: Станкин, 1996.

23. Курсикй В.А. Методология и механизмы эволюционного развития предприятия в конкурентной среде. Автор, дис. г. Воронеж, 2003.

24. Макконел К.Р., Брю С.Л. Экономикс: Принципы, проблемы и политика: Пер. с англ. 2-го изд.: в 2 т. М.: Республика, 1992.

25. Мельников Ю., Теренин А. Политика безопасности в банке. Банковские технологии №10 (2004 г.)

26. Месарович М., Мако Д., Тахаре И. Теория иерархических многоуровневых систем. М.: Мир.

27. Месконт М.Х., Альберт М., Хедоури Ф. Основы менеджмента Пер. с англ. — :Дело, 1992.

28. Методика оценки соответствия информационной безопасности организаций банковской системы российской федерации требованиям СТО БР ИББС-1.0-2006

29. Методические рекомендации по документации в области обеспечения информационной безопасности в соответствии с требованиями СТО БР ИББС-1.0-2006

30. Поспелов Г.С., ИриковВ.А., Курилов А.Е. Процедуры и алгоритмы формирования комплексных программ/ Под ред. Г.С. Поспелова-М.: Наука; Гл. ред. физ.-мат. литр-ры, 1985.

31. Пфанцагль И. Теория измерений: Пер. с англ. М.: Мир, 1976.

32. Робсон М., Уллах Ф. Практическое руководство по реинженерингу бизнес-процессов. Пер. с англ. под ред. Эриашвили Н.Д. М.: Аудит. ЮНИТИ. 1997.

33. Рогачев А., Информационные технологии в банках вчера и сегодня. Банковские технологии №08 (2004 г.)

34. Руководящий документ Безопасность информационных технологий - Критерии оценки безопасности информационных технологий- Часть 1: Введение и общая модель, Гостехкомиссия России, 2002.

35. Руководящий документ Безопасность информационных технологий - Критерии оценки безопасности информационных технологий- Часть 2: Функциональные требования безопасности, Гостехкомиссия России, 2002.

36. Руководящий документ Безопасность информационных технологий - Критерии оценки безопасности информационных технологий- Часть 3: Требования доверия к безопасности, Гостехкомиссия России, 2002.

37. Руководящий документ Безопасность информационных технологий - Руководство по разработке семейств профилей защиты, Гостехкомиссия России, 2003.

38. Руководящий документ Безопасность информационных технологий - Руководство по регистрации профилей защиты, Гостехкомиссия России, 2003.

39. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации., Гостехкомиссия России, 1992

40. Руководство по самооценке соответствия информационной безопасности организаций банковской системы российской федерации требованиям СТО БР ИББС-1.0-2006

41. РД ГОЕР-2000 Методология функционального моделирования. М.: ИПК Издательство стандартов, 2000 г.

42. Скородумов Б. Новый банковский стандарт информационной безопасности. Банковские технологии №01 (2005 г.)

43. Средства построения виртуальных локальных вычислительных сетей. Защита от несанкционированного доступа к информации. Базовый профиль защиты (проект, редакция 01). МИФИ, 2002

44. Стандарт банка России "обеспечение информационной безопасности организаций банковской системы российской федерации. Общие положения" СТО БР ИББС-1.0-2006

45. Трубачев А.П., Долинин М.Ю., Кобзарь М.Т., Сидак А.А., Сороковиков В.И. Оценка безопасности информационных технологий. Под общей редакцией Галатенко В.А. М.: СИП РИА, 2001

46. Уэнстром М. Организация защиты сетей cisco. М.: издательский дом «вильямс», 2003 — 768с

47. Федеральный закон "О центральном банке российской федерации (банке России)" от 10 июля 2002 года № 86-фз

48. Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа. М.: наука и техника, 2004. — 384с.

49. Ярочкин В.И. Информационная безопасность. Учебник для вузов. М.: мир, 2004. 544с.

50. Iachello G. User-Oriented Protection Profile for Unobservable Message Delivery using MIX networks, Revision 2.4 June 6, 1999.