автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему:Методы оценки защищённости систем менеджмента информационной безопасности, разработанных в соответствии с требованиями международного стандарта ИСО/МЭК 27001:2005

00504537О

/І

/и "І/

На правах рукописи

ЛИВШИЦ Илья Иосифович

МЕТОДЫ ОЦЕНКИ ЗАЩИЩЁННОСТИ СИСТЕМ МЕНЕДЖМЕНТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ, РАЗРАБОТАННЫХ В СООТВЕТСТВИИ С ТРЕБОВАНИЯМИ МЕЖДУНАРОДНОГО СТАНДАРТА ИСО/МЭК 27001:2005

Специальность 05.13.19 - Методы и системы защиты информации, информационная безопасность

Автореферат диссертации на соискание ученой степени кандидата технических наук

- 7 И ЮН 2012

Санкт-Петербург 2012 год

005045375

Работа выполнена в Федеральном государственном бюджетном учреждении науки Санкт-Петербургском институте информатики и автоматизации Российской академии наук.

Научный руководитель:

доктор технических наук, профессор Молдовян Александр Андреевич

Официальные оппоненты:

доктор технических наук, профессор Саенко Игорь Борисович ведущий научный сотрудник

Лаборатории проблем компьютерной безопасности СПИИРАН

кандидат технических наук, с.н.с. Емелин Вадим Иванович ведущий научный сотрудник ОАО «НИИ «Вектор»

Ведущая организация: Санкт-Петербургский государственный

электротехнический университет «ЛЭТИ» им. В.И. Ульянова (Ленина).

Защита состоится «28 июня 2012 г. в 15:30 на заседании диссертационного совета Д.002.199.01 при Федеральном государственном бюджетном учреждении науки Санкт-Петербургском институте информатики и автоматизации Российской академии наук по адресу: 199178, Санкт-Петербург, В.О., 14 линия, 39.

С диссертацией можно ознакомиться в библиотеке Федерального государственного бюджетного учреждения науки Санкт-Петербургском институте информатики и автоматизации Российской академии наук.

Автореферат разослан «25» мая 2012 г.

Ученый секретарь ___

диссертационного совета Д.002.199.01 Ч

кандидат технических наук Ф Г. Нестерук

ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ

Актуальность работы. На современном этапе проблема обеспечения информационной безопасности (ИБ) в Российской Федерации (РФ) находится в фокусе внимания как одна из ключевых для обеспечения стабильности как бизнес-сообщества, так и информационной инфраструктуры на уровне государства. Техническое обеспечение для решения данной проблемы постоянно совершенствуется, появляются новые средства защиты информации (СЗИ), препятствующие или существенно затрудняющие попытки несанкционированного доступа (НСД). В области законодательного регулирования в РФ принят ряд нормативных правовых актов (НПА), прежде всего Стратегия национальной безопасности РФ до 2020 года (в которой отражена потребность в разработке и внедрении современных технологий ИБ в системах государственного и военного управления), Доктрина информационной безопасности РФ, федеральные законы ФЗ-149 «Об информации, информационных технологиях и о защите информации», ФЗ-98 «О коммерческой тайне», ФЗ-152 «О персональных данных», ряд постановлений Правительства и иных (например, Методические материалы ФСТЭК).

В РФ активно вводятся в оборот международные стандарты (МС), призванные восполнить пробел в создании современных систем менеджмента информационной безопасности (СМИБ), отвечающих требованиям как бизнеса (прежде всего эффективности), так и законодательным требованиям различных регуляторов (т.н. «compliance»). Среди наиболее известных МС необходимо отметить стандарты ИСО/МЭК серии 27000; стандарты BSI 10012 («Personal Data Protection») и 25999 («Business Continuity Process»), стандарты NIST серии 800, стандарт Австралии и Новой Зеландии AS/NS 4360 и пр. По данным ИСО (Отчет «ISO in figures for the year 2011 (at 31 December)» рис. 1) сектор стандартов ИСО для электроники, ИТ и телекоммуникаций демонстрирует стабильный рост как по количеству новых стандартов (268 из 1208, или 22%), так и по общему количеству (3186 из 19023, или 16%), что является 2-м результатом в рейтинге, уступая только общеинженерным стандартам.

SECTORS (os teed on the International Classitication lor Standards [ICS]} Work Hems International Standards 1 New No. of paget Total No. ot pages I

Ne* Total

| Generalities, infrastractrwes and sciences 72 746 103 6556 1703 72691

82 193 58 2642 773 32883

i 378 958 352 14 900 5 242 226283

! 313 698 268 36811 3186 231970

167 422 89 3497 1988 57700

АдпшШяе 4fid ba4 Ut, ЬяЫэду 66 150 50 1427 1094 28283 j

Materials technologies 275 671 242 7628 4460 124058

1 - I 58 143 35 1459 423 16479j

Special technologies 8 26 11 241 154 im.

I TOTAL 1419 4007 1208 75161 19023 794209]

Рис. 1 Статистика разработки новых стандартов ИСО 2011 г.

За последние 4-5 лет практически все современные МС ИСО/МЭК в области ИБ, приняты в РФ в качестве ГОСТ Р ИСО/МЭК (прежде всего серии 27000). В тоже время необходимо отметить, что применение техник аудита (как независимого процесса оценки ИБ), выполняется в РФ недостаточно широко, несмотря на принятый более 10 лет назад ГОСТ Р ИСО/МЭК 19011:2002 «Руководящие указания по аудиту систем менеджмента качества и/или экологического менеджмента» (актуальная новая версия МС ИСО/МЭК 19011:2011) и издание специального «целевого стандарта» МС ИСО/МЭК 27006:2007 «Информационные технологии. Методы обеспечения безопасности. Требования к органам аудита и сертификации систем менеджмента информационной безопасности».

Одним из наиболее критичных видов информации, защита которой затронула практически все слои современного общества, являются персональные данные (ПДн). О фактах крупнейших утечек ПДн как в РФ, так и в мире, известно достаточно; причем ущерб, в отличие от хищения, например, материальных средств (денег с банковских счетов), больше имиджевый - несколько атак подряд на сервера Sony привели к утечке личной информации более 1 млн. пользователей (по данным Reuters). В частности, в июне 2011 очередное нападение было осуществлено хакерской группой LulzSec. Взломщики опубликовали имена, даты рождения, почтовые и электронные адреса, номера телефонов и пароли нескольких тысяч участников конкурсов, которые проводит Sony.

Обеспечение защиты ПДн является важной практической проблемой в силу сложности оценки различных информационных систем (ИС). Проблема защиты ПДн актуальна в силу незащищённости (недостаточной защищённости) ИС, которые могут «в базовом варианте» разработки и поставки не содержать встроенных систем СЗИ НСД. Тем не менее, даже при наличии достаточного количества введенных российских НПА (например, ГОСТ Р 51583-2000 «Порядок создания автоматизированных систем в защищенном исполнении» и др.) обработка ПДн в ряде ИС проходит без должного внимания к проблемам ИБ даже у крупнейших операторов (Пример - в сахалинском филиале ОАО «Дальсвязь» выложили на публичный FTP-сервер файлы с исчерпывающими служебными и личными данными как минимум 11 тыс. текущих или бывших клиентов).

Известно, что анализ СМИБ - процесс непрерывный и должен выполняться на постоянной планируемой основе в течении всего жизненного цикла с должным вниманием к ресурсам и оперативным анализом результатов, что является базовыми требованиями при выполнении практики аудитов ИБ. Анализ НПА в области ИБ в РФ и МС показал, что до настоящего времени не уделялось должного внимания вопросам формирования требований и критериев оценки защищённости СМИБ (и как частной задачи - ПДн). Для формирования эффективной системы оценки защищённости СМИБ необходимо применять комплексный подход, включающий ряд взаимоувязанных мероприятий, одним из которых является формирование системы критериев и разработка адекватных моделей СМИБ. Как показал анализ публикаций на специализированных научно-практических конференциях, на практике недостаточно только информации о реализуемых в СМИБ функциях и/или механизмах ИБ (в терминах МС ИСО/МЭК 27001:2005 - «контролен»). Иными словами, провести типизированный анализ защищённости СМИБ весьма затруднительно; по этой причине используется экспертный подход, позволяющий получить качественные и/или количественные оценки СМИБ, которые могут быть предложены менеджменту организаций (лицам принимающим решения, ЛПР) для принятия эффективных управленческих решений.

При оценке защищённости СМИБ эксперты сталкиваются с рядом проблем, связанных с формализацией и анализом требований (критериев) реальных ИС и использованием доступной и релевантной поставленной задаче информации, прежде всего статистики (например, данных по инцидентам ИБ). Это обусловлено неоднородностью доступных для анализа данных, возникающей из-за разнообразия компонент ИС, программного обеспечения и различных СЗИ, задействованных при построении СМИБ. Также необходимо опираться только на факты (известно требование к аудиторам - «принятие решений, основанных на фактах»), но факты утечек (или любых инцидентов ИБ) редко становятся публично известны в силу нежелания менеджмента предавать огласке факты уязвимостей в СМИБ и/или управленческих ошибок. По этим объективным причинам для оценивания защищённости СМИБ применяются экспертные оценки (например, бальные системы оценки в Комплексе СТО БР), что вносит неопределенность в итоговые данные и является причиной сложностей при их анализе, интерпретации и формировании оперативного и эффективного управляющего решения.

Основные теоретические аспекты проблемы обеспечения ИБ и оценка анализа свойств защищённости сложных объектов (таких как современные СМИБ) нашли отражение в работах ряда современных российских и зарубежных специалистов: P.M. Юсупова, И.Б. Саенко, Н.В. Хованова, А.А. Молдовяна, В.Ю. Осипова, В.И. Емелина, В.М. Зимы, Л. Т. Заде, Т. Саати и др.

Анализ работ вышеуказанных ученых показал, что при всей значимости проведенных исследований, касательно применения моделей для оценки защищённости (в т.ч. экономической эффективности), в современном состоянии уровня техники модели СМИБ изучены и практически проработаны не в полной мере. Сделан вывод, что для повышения достоверности и оперативности оценки защищённости СМИБ необходимо разработать и применять методы оценки моделей СМИБ, позволяющие описать сложные иерархические структуры ИС. Актуальность диссертационной работы прямо следует из указанной выше необходимости.

Цель исследования - Повышение оперативности и достоверности оценки защищённости СМИБ, разработанных в соответствии с требованиями МС ИСО/МЭК 27001:2005 и практического применения моделей СМИБ и методов оценки защищенности в практике аудитов ИБ, в том числе при оценке защищённости ПДн, необходимой и достаточной менеджменту для принятия адекватных мер на основе современных математических методов проведения оценки и «лучшей практики».

Объект исследования - Система менеджмента информационной безопасности.

Предмет исследования - Модели и методы анализа сложных (иерархических) систем.

Для достижения указанной цели исследования поставлены и решены следующие задачи:

1. Выполнить анализ требований НПА в области ИБ и создания СМИБ, в том числе, в области обеспечения защищённости ПДн;

2. Разработать подходы и принципы синтеза эффективных моделей оценки защищённости СМИБ;

3. Разработать иерархические модели СМИБ, учитывающие множество критериев (в т.ч. требования защищённости ПДн), с использованием современного математического аппарата анализа иерархий - метода анализа иерархий (МАИ);

4. Синтезировать методы оценки защищённости СМИБ с использованием современного математического аппарата (модификации МАИ - сравнения относительно стандартов);

5. Выполнить апробацию моделей и методов оценки СМИБ в практике проведения аудитов ИБ в соответствии с требованиями ИСО/МЭК 27001:2005.

Теоретическая значимость выполненных исследований состоит в применении новых методов оценки сложных (иерархических) систем и синтезе моделей СМИБ для систематического процесса получения достоверных оценок защищённости моделей СМИБ.

Практическая значимость разработанных методов оценки защищённости СМИБ определяется тем, что модели СМИБ позволяют получать оперативные и достоверные оценки (в том числе и оценки защищённости ПДн) в процессе аудитов ИБ (различных типов) с использованием независимых (групповых) экспертных оценок. Разработанные модель СМИБ и методика позволяют повысить объективность и корректность оценки защищённости, сократить сроки проведения - например, в рамках планового проведения аудитов ИБ в организации. Применение независимых экспертных оценок дополнительно дают преимущества получения объективных, математически согласованных и практически обоснованных управленческих решений для ЛПР. Более того, накапливаемые результаты оценок СМИБ могут быть использованы для долгосрочного стратегического анализа, снижения издержек при проведении последующих аудитов ИБ, эффективного обучения персонала, а также для поддержки принятия решений по адекватному выбору технических и/или организационных мер («контролей»).

В ходе исследования получены следующие научные результаты, выносимые на защиту:

1. Модели оценки защищённости СМИБ:

a. Модель формирования статической оценки защищённости СМИБ;

b. Модель формирования динамической оценки защищённости СМИБ.

2. Методы оценки защищённости моделей СМИБ:

a. Метод оценки защищённости моделей СМИБ (статический), основанный на МАИ (модификация МАИ относительно стандартов) и статической матрице предпочтения стандартов;

b. Метод оценки защищённости моделей СМИБ (динамический), основанный на МАИ (модификация МАИ относительно стандартов) и динамической (функциональной) матрице предпочтения стандартов.

Научная новизна работы состоит в следующем:

1. Разработаны иерархические модели оценки защищённости СМИБ, служащие для описания предметной области и формирования множества альтернатив на основе модификации МАИ сравнения стандартов. Модели имеют вид иерархической структуры, отличающейся 3-х уровневой универсальной компоновкой: уровень «глобальной цели», уровень «триады безопасности» (в соответствии с требованиями МС ИСО/МЭК 27001:2005), уровень «критериев безопасности» (в соответствии с требованиями Приложения А ИСО/МЭК 27001:2005 в аспекте экономической целесообразности, необходимой для формирования эффективного «целевого» управленческого решения), а так же альтернатив («стандартов»). Разработанные модели позволяют дополнительно применять в широком объеме независимые экспертные оценки, широко варьировать (конструировать) альтернативы - не быть жестко привязанным к фиксированному множеству «стандартов» в области ИБ. Предложенные модели отличаются внутренними механизмами математической «самопроверки» (вычисляется индекс согласованности, не допуская несогласованных экспертных оценок, способных повлиять на достоверность итоговой оценки) и дополнительно - оценками рисков экспертных мнений.

2. Разработаны методы оценки защищённости СМИБ, базирующиеся на представленных в диссертационной работе моделях СМИБ, обладающие рядом новых особенностей, подтверждающих ее новизну: применение единого подхода к формированию критериев защищённости СМИБ (в соответствии с требованиями МС ИСО/МЭК 27001:2005), расчет ряда численных показателей, учитывающих применение (равно как и возможность исключения на основе оценки рисков ИБ) произвольного числа «контролей» (СЗИ НСД, организационных мер и набора «политик» пр.), а также практической применимостью.

Обоснованность и достоверность положений, выводов и рекомендаций подтверждена корректностью использованного математического аппарата, результатами ряда выполненных экспериментальных работ (проведенных аудитов ИБ в течение 2008-2012 гг.), положительными результатами внедрения разработанных моделей оценки защищённости СМИБ в практику проведения аудитов СМИБ в ряде организаций (Набережные Челны, Санкт-Петербург, Владивосток, Омск).

Апробация результатов. Основные положения и результаты диссертационной работы докладывались и обсуждались на 7-й международной конференции «Инфокоммуникационные технологии Глобального информационного общества» (Казань), 2009 г., 2-й, 3-й и 4-й Межбанковской конференции по информационной безопасности (Башкирия), 2010 - 2012 г.г., 16-й научно-практической конференции «Комплексная защита информации» (Гродно), 2011 г. Успешная практическая апробация подтверждена результатами внедрения разработанной модели в практику проведения аудитов СМИБ (в т.ч. защищённости ПДн) в ряде организаций («КАМАЗ-Дизель», г. Набережные Челны, ЗАО «Ниеншанц», г. Санкт-Петербург, ОАО «Дальневосточное морское пароходство», г. Владивосток, ОАО «ПРП Омскэнергоремонт»).

Публикации. Основные результаты диссертационного исследования представлены в 4-х статьях, опубликованных в ведущих научных журналах и изданиях, рекомендованных ВАК Министерства образования и науки РФ, в 17 публикациях в материалах научно-практических конференций, иных научных журналах и специализированных изданий. Всего по теме диссертации 21 публикация, в т.ч. 5 свидетельств об официальной регистрации программ для ЭВМ ФИПС «Роспатента».

Реализация. Методика аудита защищённости СМИБ используется в ряде организаций: ОАО «КАМАЗ-Дизель», ОАО «ПРП «Омскэнергоремонт» и ОАО «Дальневосточное морское пароходство» при проведении аудитов ИБ. Использование представленной методики позволяет повысить объективность оценки СМИБ (и ПДн в частности) в соответствии с действующими НПА, сократить сроки проведения аудитов ИБ (в соответствии требованиями МС ИСО/МЭК серии 27000) и число привлекаемых экспертов (аудиторов), что подтверждается соответствующими актами реализации (отзывами).

Структура и объем диссертации. Диссертация состоит из введения, 4-х глав, заключения, списка литературы из 154 наименований. В работе содержится 41 таблица и 39 рисунков. Объем основной части работы - 171 страница. В приложении приведен глоссарий и отзывы о практическом применении результатов диссертационной работы.

ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ Во введении обоснована актуальность выбранной темы диссертационного исследования, изложены цель и сформулированы задачи исследования. Определены научная новизна и практическая значимость полученных результатов, структура диссертации, приведены основные положения, выносимые на защиту.

В первой главе диссертации рассмотрены основные существующие методы анализа защищённости ИБ, основное внимание уделено применяемым методикам на основе менеджмента рисков (например, ИСО/МЭК 27005, NIST SP 800-30, СОВГГ 4.1, OCTAVE 3.0). Показано, что современное понимание проблемы обеспечения ИБ четко взаимоувязано с практикой риск-менеджмента и в доказательство этого подхода приведены факты пересмотра современных стандартов ИСО и ИСО/МЭК с учетом анализа аспектов риск-менеджмента. Например, актуальная версия стандарта ИСО 19011:2011 по аудитам систем менеджмента включает рекомендации по риск-менеджменту, а также содержит в приложении регламентирующие требования, в т.ч. для проведения аудитов СМИБ.

Выполнен обзор и подробный анализ национальных НПА в области ИБ в составе ГОСТ Р, Комплекса СТО БР ИББС, рекомендаций СТО НАПФ и ряда других НПА. Дана краткая оценка существующих НПА, разработанных в РФ, применительно к целям оценки ИБ (в частности, ПДн) и отражено текущее положение, при котором не предложено единого нормативного документа, утвержденного как ГОСТ Р или Технический регламент. Подтверждено, что современная практика защиты ИБ (и обеспечения защищённости ПДн) основана на документах, в большинстве разработанных более 20 лет назад в СССР и ранее предназначенных для защиты государственной тайны. Отмечено, что отсутствие единого нормативного документа, принятого на уровне ГОСТ Р или Технического регламента, серьезно осложняет процесс анализа рисков ИБ и обеспечение защищённости СМИБ и, как следствие, оставляет возможность различным организациям создавать свои собственные «отраслевые» документы, содержащие разноплановые требования к обеспечению ИБ.

Выполнен обзор и подробный анализ международных НПА актов в области ИБ, прежде всего МС ИСО/МЭК серии 27000. Отмечено, что широко известный цикл Дёминга-Шухарта (цикл PDCA) нашел свое логичное применение и к задачам менеджмента ИБ: к построению, внедрению, аудиту и непрерывному развитию СМИБ в соответствии с требованиями МС ИСО/МЭК 27001:2005. Дополнительно к МС ИСО/МЭК рассмотрены стандарты BS серии 25999, стандарт PCI DSS, а также ряд рекомендаций, применимых к оценке защищённости: рекомендации ITU-T Х.1051, SAS 70, Закон Sarbanes-Oxley Act (SOX), закон «KonTraG», Европейская директива 95/46/ЕС и новая редакция «Базель III». Проведен подробный анализ системных противоречий, которые начинаются даже на уровне используемой терминологии, например, для одного из важнейший терминов «control» применяются следующие варианты:

■ «защитная мера» (ГОСТ Р ИСО/МЭК 13335-1-2006, п 2.24 )

■ «мера управления» (ГОСТ Р ИСО/ТО 13569-2007, п. 3.17);

■ «мера и средство контроля и управления» (ИСО/МЭК 27005-2009 п. 2.10)

■ «управляющее воздействие» (ГОСТ Р 52380.1-2005, п. 2.8);

Следующие диспропорции наблюдаются в соотношение стандартов ГОСТ Р и ИСО/МЭК, точнее в разработке национальных НПА (за последние 5 лет их количество не превысило 500) и прямого применения МС (как перевода ИСО/МЭК в национальные ГОСТ Р ИСО/МЭК) в области ИТ и ИБ (за тот же интервал 5 лет их количество лет превышает 2.000). Также наблюдается существенное расхождение в требованиях по хранению журналов аудита (лог-файлов). В Таблице 1 приведены рекомендуемые различными НПА сроки хранения данных (например, для анализа в дальнейшем инцидентов ИБ). Как видно, рекомендованные значения находятся в широчайшем диапазоне.

Таблица 1

Требования Длительность хранения

SOX 7 лет

PCIDSS 1 год

Директивы Евросоюза (EU Directive) 2 года

Basel II 7 лет

HIPAA 7 лет

СТО БР ИББС 7 лет

Ведомственные РД 3 года

Дополнительно изучены аспекты проведения аудитов ИБ в соответствии с требованиями МС ИСО/МЭК 27006:2007, проанализированы слабые и сильные стороны этого процесса, полученные из практики за последние 5 лет, а также выполнено сопоставление требований к компетенции аудиторов ИБ. Отмечено, что в практике проведения аудитов ИБ требуется фиксация несоответствий («наблюдений аудита» в терминах МС ИСО 9000:2005, п. 3.9.5) в формальных чек-листах и категорирование их по фиксированной градации (например, «незначительные», и «значительные» в терминах МС ИСО/МЭК 17021:2011, п. 9.1.9.6). Соответственно, одним из перспективных направлений для аудитов ИБ является разработка достоверных математических моделей и соответствующих методик (алгоритмов), базирующихся на иерархических структурах, способных предоставить для анализа достоверное описание СМИБ, достаточное для проведения численной оценки.

Анализ современных подходов (в равной степени в России и в мировой практике) к оценке СМИБ показал, что в настоящее время 3 основные фактора являются «драйверами» проблемы оценки защищённости (применительно к практической задаче оценке защищённости ПДн):

1. Возросший уровень угроз, в том числе принципиально новых (сложные социально-ориентированные «фишинг-атаки», распределенные «бот-сети», 5М5-мошенники...);

2. Постоянное изменение требований регуляторов (ФСБ, ФСТЭК, Роскомнадзор);

3. Разработка «отраслевых» стандартов и установление практики аудитов на соответствие этим отраслевым стандартам (СТО БР ИББС и пр.)

Вместе с тем, перечисленные выше «драйверы» не в полной мере воспринимаются ЛПР как прямое «руководство к действию»: в силу ряда причин при создании и/или внедрении СМИБ, например, применительно к ИСПДн на практике встречается такой подход: максимально снизить класс ИСПДн с тем, чтобы минимизировать затраты на технические и иные меры защиты ПДн (посредством сегментации ПДн, изоляции ИС и пр.). Показано, как это можно объяснить доминирующим принципом «пообъектовой» защиты, который наследуется еще со времен 90-х годов прошлого века на базе Руководящих документов Гостехкомиссии при Президенте РФ. Отмечено, что при выполнении проектов по защите реальных ИСПДн свыше 70% проектов (по данным ряда экспертов) выполнялось собственными специалистами по «типовым» комплектам документов. Очевидно, что при изменении требований к СМИБ, на первый план выходят новые подходы к обеспечению защищённости, прежде всего, основанные на лучших международных практиках, в т.ч. стандартах ИСО и ИСО/МЭК.

В результате проведенного анализа выполнена общая постановка задачи исследования.

Во второй главе предложены подходы к формированию моделей СМИБ, рассмотрены теоретические аспекты применительно к решению сложных задач, в частности, отмечается, что задача синтеза адекватной модели СМИБ требует учета экспертами и ЛПР множества как контролируемых, так и неконтролируемых элементов, отражающих реальную ситуацию.

Для моделей реальных СМИБ учтены существенные последствия ошибок, которые могут привести к несогласованным выводам экспертов, и для того, чтобы экспертные оценки (экспериментальные опыты, аудиты ИБ, сертификация СМИБ) адекватно воспроизводили реальную СМИБ, сформированы следующие предположения для создаваемой модели СМИБ:

1. Физическая «реальность» СМИБ согласованна посредством оценок независимых групп экспертов и при определенных условиях (независимые аудиты ИБ) обеспечивается воспроизводимость одинаковых результатов оценки.

2. Экспертные оценки должны стремиться к согласованности, и модель СМИБ допускает корректировку при получении недостоверных оценок матриц парных сравнений.

3. Для получения адекватных оценок модели СМИБ по сравнению с реальной СМИБ, при сборе, обработке и оценке экспертных суждений предлагается постоянно контролировать выполнение требований беспристрастности, объективности и должного профессионального усердия.

4. Для получения достоверных результатов моделирования СМИБ для целей оценки защищённости СМИБ предлагается обеспечить:

■ Точный и практически применимый математический аппарат, позволяющий обеспечить достоверные результаты численной оценки сравнительных измерений;

■ практически пригодную шкалу оценки, обеспечивающую прямое соответствие между качественными суждениями экспертов и численными значениями шкалы;

■ возможность воспроизводить достоверные измерения реальной модели СМИБ, которые могут быть известны (например, по данным технического задания и/или аудиторского заключения).

Отдельно рассмотрены способы решения многокритериальных задач и отмечено, что наиболее обоснованным способом решения таких сложных задач с иерархическими структурами, включающими факторы самой разнообразной природы, является МАИ, который представляется более эффективным, чем подход, основанный на линейной и/или нечеткой логике. Представлено обоснование выбора модифицированного МАИ для решения сложных управленческих задач - оценки защищённости по моделям СМИБ.

Предложена следующая последовательность этапов для решения задачи в МАИ:

1. Выполняется структуризация задачи в виде иерархической структуры с несколькими уровнями: «Цель» - «Критерии» - «Альтернативы».

2. Выполняется парное сравнение элементов каждого уровня экспертами. Результаты сравнения имеют количественный (числовой) характер.

3. Выполняется расчет приоритетов (весов) для элементов каждого уровня и проверка согласованности экспертных суждений.

4. Выполняется иерархический синтез - подсчет количественной оценки представленных альтернатив. Анализируется выбор наилучшей альтернативы.

Показано, что иерархический синтез в МАИ используется для взвешивания собственных векторов матриц парных сравнений альтернатив весами критериев, имеющихся в иерархии, а также для вычисления суммы по всем соответствующим взвешенным компонентам собственных векторов нижележащих уровней иерархии. Иерархический синтез в модифицированном МАИ выполняется в 3 этапа, каждый из которых имеет четко выраженный результат, используемый далее в формировании итогового решения по «глобальной цели».

Шаг 1. На 1-м шаге определяются векторы приоритетов альтернатив V/ (ЛЕ,} относительно

элементов Е) предпоследнего уровня иерархии (т.е. i = 5). Здесь через Е ■ обозначим элементы иерархии (факторы ИБ), причем верхний индекс / указывает на уровень иерархии, а нижний индекс / указывает порядковый номер элемента на уровне. Вычисление множества

векторов приоритетов альтернатив У? / относительно Я - уровня иерархии осуществляем с помощью итерационного алгоритма по данным матриц парных сравнений. В результате определяем множество векторов:

пг ,л = {уг £Л . мг , , УГ ;... /,}

Шаг 2. На 2-м шаге образом обрабатываются матрицы парных сравнений собственно элементов Е у , определяется предпочтительность элементов /-уровня иерархии относительно элементов 1+1 уровня («триада безопасности», «контроли»), В результате обработки матриц парных сравнений определяется множество векторов приоритетов элементов ТУ

* Е = {и^,}

Полученные значения № Д используются далее при определении векторов приоритетов

альтернатив относительно всех элементов (факторов ИБ) иерархической модели СМИБ. Шаг 3. На 3-м шаге осуществляется иерархический синтез, заключающийся в последовательном определении векторов приоритетов альтернатив относительно элементов Е , находящихся на всех иерархических уровнях, кроме предпоследнего уровня, содержащего элементы Е * . Вычисление производится путем последовательного перемножения соответствующих векторов и матриц. Общий вид выражения для вычисления векторов приоритетов альтернатив определяется следующим образом:

где Иг А(е'1> — вектор приоритетов альтернатив относительно элемента Е\'л, определяющий _/-й столбец матрицы;

— вектор приоритетов элементов £|'Л Ег1,..., Е„'~\ связанных с элементом /у

вышележащего уровня иерархии.

Предложено должным образом учесть мнения нескольких экспертов (групп), т.к. для повышения степени объективности и качества принятия управленческих решений целесообразно учитывать мнения нескольких экспертов. С этой целью предлагается проведение групповой экспертизы, причем множество экспертов предлагается разделить по нескольким «доменам» (например, в зависимости от области экспертизы ИБ - криптография, физическая защита активов, обеспечение непрерывности бизнеса и пр.), определяемых характером критериев, используемых в иерархии модели СМИБ. Для агрегирования мнений экспертов предлагается среднегеометрическое, вычисляемое по следующему соотношению:

а и = ФТа I - 0

где: — агрегированная оценка элемента, принадлежащего 1-й строке и^'-му столбцу матрицы парных сравнений;

п — число матриц парных сравнений, каждая из которых составлена одним экспертом.

1. 2.

3.

4.

5.

6. 7.

9.

Предлагается следующая разработанная методология Формирования модели СМИБ:

Формулирование «глобальной» цели для иерархии. Анализ системных взаимосвязей (в т.ч. «петель» обратных связей). Анализ свойств альтернатив и формирование множества альтернатив. Формирование всех элементов иерархии и анализ точности определения элементов, для устранения неопределенности (рисков ИБ).

Идентификация множества критериев, влияющие на достижение глобальной цели. Формирование матриц парных сравнений. Расчет векторов приоритетов.

Формирование весов альтернатив в иерархии для получения общих приоритетов, которые определяют результат расчет по модели.

Выбор среди множества альтернатив одной альтернативы с наибольшим приоритетом. 10. Оптимизация модели в фокусе выбранной альтернативы и рисков ИБ (в т.ч. остаточных).

Известны ограничения применения «классического» метода парного сравнения альтернатив в МАИ в некоторых практических ситуациях (моделях):

1. Экспертам может быть предложено для анализа свыше 9 альтернатив, что крайне усложняет построение согласованных матриц парных сравнений;

2. При добавлении новых альтернатив изменяется порядок ранее прошедших сравнение альтернатив относительно установленных ЛПР критериев качества, что нежелательно при решении ряда прикладных задач (в т.ч. ресурсоемких и/или критических);

3. Альтернативы могут поступать экспертам для сравнения не одновременно, а через определенные промежутки времени, поэтому невозможно попарно сравнивать объекты.

С учетом выполненного анализа для создания достоверных моделей СМИБ сделан вывод о необходимости применения модифицированного варианта МАИ - МАИ относительно стандартов. В такой иерархической модели «стандарты» присваиваются элементам, имеющим непосредственную связь с альтернативами (см. рис. 2). На практике в предлагаемой модели число стандартов по каждому элементу может быть различно и определяется экспертами, как правило, по согласованию с ЛПР. По каждому «стандарту» экспертом устанавливается относительная степень предпочтения, которая указывает значимость стандарта для эксперта. Численное значение каждого «стандарта» определяется их парным сравнением по шкале отношений и вычислением главного собственного вектора.

£,2 Е 2

/ч Ч/

Е; Е і

ХЧ

\ /

Е? ЕІ

Рис. 2 Иерархическая модель МАИ относительно стандартов

Предложен алгоритм создания модели СМИБ по иерархии, учитывающей «стандарты» и использующей алгоритм вычисления векторов приоритетов альтернатив:

1. Формирование системы шкал

С = {Сбм, Сдоп} — множество стандартов, включающее два подмножества, устанавливающие основную {Сб„} и дополнительную {Сдо„} шкалы. Для конкретного элемента включенного в иерархию из множества С, определяется подмножество стандартов Су, такое, что Су с С, С) е На практике для конкретных СМИБ могут быть назначены различные значения для одних и тех же по наименованию стандартов, относящихся к Ёр.

2. Формирование подмножества стандартов

Для конкретного элемента Е 1; в составе иерархии на множестве М, определяется

подмножество стандартов М^ такое что Г^ | М, М] | Е ' ■

Вычисление векторов приоритетов альтернатив относительно элементов иерархии в модели сравнения объектов с учетом стандартов, осуществляется по следующему алгоритму:

1. Для каждого элемента £ иерархии, непосредственно связанного со стандартами, устанавливается подмножество Mj | М. Стандарты, входящие в подмножество Mj сравниваются по методу парных сравнений по шкале предпочтений (рекомендуется количественная 9-бальная шкала). Относительные предпочтения стандартов фиксируются

в матрицах, для которых необходимо определить правые собственные вектора ' I .

2. Группа экспертов присваивает каждой альтернативе А,- значение 1-го стандарта, и такая процедура присваивания повторяется для всех элементов Е * / . В результате формируется матрица А

е 5 е ;

с., ... ^ 1

А, и>„ А, №„

[А] =

'і р

■'2 Г

в которой через \у,у обозначается численное значение «стандартов», соответствующих

альтернативе Аі и элементу Е.Таким образом, столбцы матрицы [А] образуют ненормированные векторы приоритетов всех альтернатив по соответствующим элементам

Е

3. Для получения нормированных векторов приоритетов альтернатив матрица [А] умножается на диагональную матрицу [8] следующего вида:

[5] =

Е

1

О

Множество нормированных векторов приоритетов альтернатив относительно всех элементов нижнего уровня иерархии (непосредственно связанного с альтернативами в принятой иерархической модели) определяется перемножением матриц по формуле:

[\УА] = [А] * [в]

В итоговой матрице [\УА] столбцами будут являться нормированные векторы приоритетов

альтернатив для каждого элемента иерархии

Е

Представлено описание учета динамических предпочтений и приоритетов. В практике применения МАИ для решения управленческих задач МАИ часто появляется необходимость анализа изменения суждений. В качестве решения предлагается параметризованное решение задачи о собственном векторе АЩу/(О = А „и (I) п (1) как функции времени для обеспечения совместимости не только того, что могут оценить эксперты сейчас, но и того, что могут оценить на определенной перспективе (прогнозные расчеты).

В третьей главе предложено описание новых научных решений для оценки защищённости модели СМИБ, представлены походы к формированию моделей СМИБ, показано, что с учетом современной практики рекомендуется выбор «стандартов», применимых для целей создания моделей СМИБ даны результаты прогноза (функции вида у = к + х, у = ехр(кх + т), у = кх + пм}). Представлены оценки точности экспериментальных данных по модифицированной модели в МАИ, т.к. очевидно, что для ЛПР могут быть востребованы как оценки «Ав Ь», позволяющие оценить статический «срез» защищённости по сформированной модели СМИБ, так и прогнозные оценки «То Ве». В данной работе оценки экспериментальных данных выполняются в соответствии с действующими НПА Государственной системы измерений (ГСИ), прежде всего Р 50.2.038-2004 «Измерения прямые однократные. Оценивание погрешностей и неопределенности результата измерений».

Дополнительно представлены новые научные решения для оценки рисков по модифицированной модели в МАИ, т.к. одним из критичных аспектов для формирования адекватной модели СМИБ, следовательно, всей методики оценки защищённости по модели СМИБ, является эффективный менеджмент рисков. Предложены способы формирования системы критериев для синтеза модели в МАИ. Поскольку для формирования управленческих решений, применительно к оцениванию сложных объектов (СМИБ), наилучшие возможности предоставляет модификация МАИ относительно стандартов, то предложено в качестве критериев рассматривать «контроли» из Приложения А стандарта ИСО/МЭК 27001:2005.

Предложенная система иерархии критериев СМИБ будет выглядеть так:

■ на первом уровне иерархии критериев находятся «домены» А;, соответствующие точно разделам Приложения А стандарта ИСО/МЭК 27001:2005, всего их 11 - с А.5 до А. 15 (например А.5 «Политики безопасности»);

■ на втором уровне иерархии находятся группы, которых может быть несколько в одном «домене» (например, А.5.1 «Политики ИБ»), всего таких элементов 39;

■ на третьем уровне иерархии находятся конкретные средства защиты (меры противодействия), которых также может быть несколько в одном «домене» (например, А.5.1.1 «Документ политики ИБ»), всего таких элементов 133.

Предложено описание концептуальной модели опенки защищённости СМИБ по уровням иерархии (см. рис. 2 как пример иерархической модели СМИБ):

1. на 1-м уровне иерархической модели находится «глобальная» цель е\- оценка защищённости модели СМИБ, например, применительно к ПДн (как будет рассмотрено далее в практическом примере);

2. на 2-м уровне иерархической модели находятся «домены» А„ соответствующие точно разделам Приложения А стандарта ИСО/МЭК 27001:2005, £,2- Е,2,;

3. на 3-м уровне иерархической модели находятся группы «контролей», связанных с «доменами» безопасности Е* - Е339 ;

4. на 4-м уровне иерархической модели находятся конкретные средства защиты, «контроли», связанные с группами «контролей» Я,4- Е*п ;

5. Множество {А} альтернатив представлено основными НПА (Стандарты ИСО/МЭК серии 27000, Комплекс СТО БР ИББС, Руководящие документы ФСТЭК / ФСБ, возможно расширение иными НПА - стандарты В5, РС1ОББ, СоЫТ и пр.)

Предложена методика оценки защищённости модели СМИБ.

В соответствии с предлагаемым подходом в методике выделяются 2 фазы (см. рис. 3). Фаза 1 («сбор информации и идентификации проблемы принятия решения ЛПР») - на выходе формируется оценка оптимальности модели СМИБ в аспекте рисков ИБ и, соответственно, Фаза 2 («Оценивание защищённости СМИБ») - на выходе формируется статическая и/или динамическая оценка защищённости модели СМИБ для ЛПР.

Синтез модели СМИБ по реальной ИС (ИСПДн] Оценка модели СМИБ методом анализа иерархий (МАИ]

Рис. 3 Методика оценки защищённости модели СМИБ

Представлено описание методики оценки защищённости модели СМИБ (Таблица 2): ................Таблица 2

Фаза Этап Детализация задач

1 Проектная организация 1. Идентификация проблемы ЛПР 2. Формирование независимых групп экспертов

Сбор информации 1. Определение «глобальной» цели 2. Оценка критических активов ИБ 3. Синтез модели СМИБ 4. Формирование системы критериев 5. Формирование альтернатив {А}

Построение альтернатив 1. Оценка рисков по модели СМИБ (1-й цикл) 2. Уточнение перечня критериев и «контролей» (в аспекте 1-го цикла риск-менеджмента) 3. Построение альтернатив {А}

Выбор альтернатив 1. Построение матрицы предпочтения стандартов 2. Построение шкал оценки (основной и дополнительной) 3. Оценка рисков по модели СМИБ (2-й цикл) 4. Расчет модели СМИБ и выбор альтернативы А,-

Таблица 2 (продолжение)

Оценка результатов 1. Анализ результатов выбора альтернативы А,- 2. Анализ возможности конструирования {А} 3. Анализ экономической модели достижения А,- 4. Подготовка отчета ЛПР.

2 Оптимизация 1. Оценка ЛПР приемлемости А,-для поставленной «глобальной» цели 2. Оценка необходимости «мягкой» оптимизации через итерационный пересмотр матриц векторов приоритетов альтернатив 3. Оценка необходимости «жесткой» оптимизации через итерационный пересмотр модели СМИБ (активов, рисков, применимых «контролей» и пр.) 4. Оценка необходимой оптимизации с учетом новых внешних возмущений (НПА, доступных альтернатив {А} и пр.) 5. Принятие оценки защищённости по модели СМИБ и реализации управляющих воздействий (сертификация, оценка применимости, аттестация и пр.)

В четвертой главе представлен пример расчета оценки защищённости ПДн по модели СМИБ, сформированной в соответствии с предлагаемой методикой на базе модифицированного МАИ относительно стандартов. На рис. 4 и рис. 5 показаны 2 части модели СМИБ, построенной по иерархическому принципу для глобальной цели «Оценка защищённости ПДн».

Формирование независимых групп экспертов (4-е полностью независимые «отраслевые» группы) произведено с учетом неукоснительного выполнения требований как стандарта ИСО/МЭК 27006 (специальные требования к экспертам ИБ), так и ИСО/МЭК 19011 (общие требования к техническим экспертам ИБ), все требования (опыт, образование и пр.) учтены.

Оценка защищенности

"т ■

Целостность

А.12

Information

systems acquisition, development and maintenance A.12.3.1 A.12.3.2

A.9

Physical and environmental security

A.9.2.4 'Equipment maintenance"

—--

А.10 A.14

Communications Business continuity

and operations management

management A.14.1.3

A.10.5.1 "Developing and

"Information implementing

back-up" continuity plans

including

information

«©rnrrtv"

Рис. 4 Пример построения модели иерархической структура с учетом «Триады безопасности» и «контролей» ИСО/МЭК 27001:2005

е;_

А.12

Information systems acquisition, development and maintenance

El_

A.9 Physical and environmental security

El

2_

A.10 Communications and operations management

A.10.5.1 Information back-up"

A.14

Business continuity management A.14.1.3 "Developing and implementing continuity plans including information security"

Рис. 5 Пример построения модели СМИБ иерархической структура с учетом 4 стандартов.

Расчет опенки защищённости ПДн по статической модели СМИБ Представлены примеры расчета оценки защищённости ПДн по модели СМИБ, построенной в соответствии с предлагаемой методикой на базе МАИ относительно стандартов:

a. Глобальная цель: «Оценка защищённости ПДн»

b. Альтернативы: Стандарт ИСО/МЭК 27001:2005; Комплекс СТО БР ИББС; Руководящие документы ФСТЭК / ФСБ; Стандарт PCI DSS.

Критерии «верхнего» уровня: Конфиденциальность Целостность Доступность d. Критерии «нижнего» уровня: А.10.1.3 А.9.2.4 А.6.1.5 А.7.1.3

Результат расчета по статической матрице:

W = {0,432; 0,217; 0,215; 0,136}'

Иными словами, приоритет отдается стандарту ИСО/МЭК 27001:2005, далее с примерно равными «весами» следуют Комплекс СТО БР ИББС и Руководящие документы ФСТЭК и ФСБ, наименьший приоритет отдан «стандарту» PCI DSS.

Расчет оценки защищённости ПДн по динамической модели СМИБ а. Глобальная цель: «Оценка защищённости ПДн», ■ аналогично как в статической модели

b. Альтернативы:

■ аналогично как в статической модели

c. Критерии «верхнего» уровня:

■ аналогично как в статической модели а. Критерии «нижнего» уровня:

■ аналогично как в статической модели

е. Функции для «динамической» матрицы предпочтения стандартов:

■ И сі*ехр(с2*т) + с3

■ ¥2 -> Ьі*Ьп(Т+Ьг) + Ь3

- ЇЇЗ Яі(Т) + а2

■ Р4 -»^ТЧС^Т + сіз

- Г5 аі(Т) + а2

■ їїб -> с,*Ехр(Т) + с2

Результат расчета по динамической матрице (выбран диапазон -1 < Т > 2) показан далее (см. Таблицу 3) и отдельно - графически (см. рис. 6):

т Аі (ИСО) А2 (СТО) Аз (РД) АЛРСІ) Год

-1 0,502 0,212 0,188 0,098 2010

0 0,448 0,210 0,202 0,141 2011

1 0,451 0,248 0,203 0,098 2012

2 0,430 0,271 0,213 0,086 2013

Результат расчета по динамической матрице (выбраны функции времени при Т = 0) показал:

W = {0,448; 0,210; 0,202; 0,141}т

Представляется полезным оценить совместно результаты расчетов по двум моделям СМИБ и определить практическую ценность и «качество» как синтезированных моделей на базе модифицированного МАИ относительно стандартов, так и предложенной методики оценки защищённости на базе представленных моделей СМИБ.

Динамическая модель СМИБ

0,600 --- ---

0,000 -__

2010 2011 2012 2013

А1 (ИСО/МЭК) — — А2 (СТО БР ИББС) «••• АЗ {ФСТЭК/ФСБ) -А4(РСЮ55)

Рис. 6 Результаты расчета по динамической модели СМИБ

Сопоставление 2-х моделей (статической и динамической при Т = 0) показало, что расчетные значения вполне близки, относительная погрешность находится в приемлемом интервале (см. Таблицу 4).

Модель Альтернатива ^^^^ Статическая Динамическая (при Т = 0) Погрешность

А б

А, (ИСО/МЭК) 0,432 0,448 0,016 3,53%

А2 (СТО БР ИББС) 0,217 0,210 0,007 3,45%

Аз (РД ФСТЭК/ФСБ) 0,215 0,202 0,014 6,73%

А4(РС1 БЗБ) 0,136 0,141 0,005 3,54%

ЗАКЛЮЧЕНИЕ

Полученные в результате работы научные результаты касаются решения актуальных проблемы оценки защищённости СМИБ, разработанных в соответствии с требованиями МС ИСО/МЭК 27001:2005 и практического применения этих методов и моделей СМИБ в практике аудитов ИБ, в том числе при оценке защищённости ПДн. Основные научные результаты:

1. Выполнен анализ требований современных НПА в области оценки защищённости СМИБ, разработанных в соответствии с требованиями МС ИСО/МЭК 27001:2005 и практики оценки защищённости ПДн в СМИБ, как частной задачи. Проведен обзор существующих подходов к решению проблемы оценки защищённости СМИБ, построению моделей СМИБ, пригодных для анализа защищённости, предлагаемых методов оценки защищённости на базе различных НПА, в т.ч. актуальных МС.

2. Разработаны методы оценки защищённости СМИБ:

■ Метод оценки защищённости ПДн (статический), основанный на МАИ (модификация МАИ относительно стандартов) и статической матрице предпочтения стандартов. Положительным отличием предлагаемого метода является получение экспресс-оценки защищённости СМИБ и предоставления ЛПР объективных данных, полученных в результате расчета модели СМИБ и взвешенного мнения группы экспертов (статической матрицы предпочтения). Существенным преимуществом является применение в методе контуров обратной связи при оценке рисков СМИБ. Предлагаемый метод позволяет оценить текущее (статическое) значение защищённости СМИБ как факта достижения «глобальной цели» в дополнение развития «классического» МАИ. При расчете модели предлагается несколько альтернатив для подтверждения корректности и эффективности выбранного множества «контролей» в терминах Приложения «А» ИСО/МЭК 27001:2005.

■ Метод оценки защищённости СМИБ (динамический), основанный на МАИ (модификация МАИ относительно стандартов) и динамической (функциональной) матрице предпочтения стандартов. Положительным отличием предлагаемого метода является прогнозирование защищённости СМИБ и предоставления ЛПР объективных данных, полученных в результате расчета модели СМИБ и данных прогнозирования группы экспертов (динамической матрицы предпочтения). Существенным преимуществом также является применение в методе контуров обратной связи при оценке рисков СМИБ. Метод позволяет оценить значение защищённости как результат «динамического суждения» факта достижения «глобальной цели» в терминах МАИ и численного представления экспертов об изменениях трендов выбранных альтернатив на определенном временном интервале. При расчете динамической модели СМИБ дополнительно предлагается несколько

альтернатив для подтверждения корректности и эффективности (если применимо) выбранного множества «контролей» в терминах Приложения «А» ИСО/МЭК 27001:2005, а также предложены дополнительно ряд функций и коэффициентов, отражающих «интуитивные чувства экспертов» по изменениям в тренде (постоянном, линейном, логарифмическом и пр.)

3. Разработаны новые модели оценки защищённости СМИБ, созданные в соответствии с требованиями международного стандарта ИСО/МЭК 27001:2005 и предложены алгоритмы применения этих моделей в практике аудитов ИБ, в том числе при оценке защищённости ПДн, как частной задачи:

■ Модель формирования статической оценки защищённости СМИБ;

■ Модель формирования динамической оценки защищённости СМИБ.

4. Проведен расчет оценки защищённости СМИБ (на базе и статической и динамической матриц предпочтения стандартов), выполнено практическое апробирование предложенных алгоритмов, получены количественные показатели (нормированные векторы приоритетов, сравнительные таблицы, графики) по синтезированным моделям СМИБ, пригодным для оценки ЛПР, дополнительно выполнено сопоставление точности предложенных моделей.

5. Предложенные новые подходы к оценке защищённости СМИБ, разработанных в соответствии с требованиями МС ИСО/МЭК 27001:2005, реализованы в практике аудитов ИБ, в том числе при оценке защищённости ПДн, для следующих отраслей:

■ Машиностроение (ОАО «КАМАЗ-Дизель», г. Набережные Челны);

■ Транспорт (ОАО «Дальневосточное морское пароходство», г. Владивосток);

■ Электроэнергетика (ОАО «ПРП Омскэнергоремонт», г. Омск);

■ Нефтедобыча и нефтепереработка (ООО «ТНК - Уват», г. Тюмень);

■ Системная интеграция (ИТ) - ЗАО «Ниеншанц», г. Санкт-Петербург);

■ Медицина - ЗАО «Клиника Доброго Стоматолога», г. Санкт-Петербург.

а также были реализованы в учебном процессе по тематике «Аудитор/Ведущий аудитор системы менеджмента информационной безопасности (СМИБ) в соответствии с требованиями ИСО/МЭК 27001:2005».

ОСНОВНЫЕ ПУБЛИКАЦИИ ПО ТЕМЕ ДИССЕРТАЦИИ Статьи в изданиях, рекомендованных перечнем ВАК РФ

1. Лившиц И. И. «Проектирование, создание и внедрение комплексных систем обеспечения информационной безопасности на базе международного стандарта ИСО/МЭК 27001:2005», журнал «Электросвязь», № 4, 2010,0,8 печ. листа;

2. Козин И.Ф., Лившиц И.И. «Информационная безопасность. Интеграция международных стандартов в систему информационной безопасности России» «Информация и связь», № 1, 2010,0,8 печ. листа;

3. Агаджанян Э. Г., Лапин А. В., Лившиц И. И., «Информационное обеспечение процесса управления персоналом клиники на примере стоматологического программного комплекса Ма51егСПшс» // «Менеджер здравоохранения», № 9, 2005 г., 0,64 печ. листа;

4. Агаджанян Э. Г., Лапин А. В., Лившиц И. И., «Стоматологический программный комплекс Ма^егСНшс. Технология автоматизации работы администратора клиники» // «Врач и информационные технологии», № 3,2005 г., 0,64 печ. листа;

Статьи, опубликованные в прочих научных, технических изданиях и в материалах конференций

5. Лившиц И. И. «Современные подходы к формированию стандартов качества банковских продуктов на основе моделей риск-менеджмента» // 8-я научно-практическая конференция «Банки. Процессы. Стандарты. Качество», Уфа, 11-13 марта 2012 г. 0,8 печ. листа;

6. Лившиц И.И. «Современная практика проведения аудитов информационной безопасности» // Журнал «Управление качеством», № 7, 2011 г., 0,64 печ. листа;

7. Лившиц И.И. «Современная практика проведения аудитов информационной безопасности» // Журнал «Управление качеством», № 6, 2011 г. 0,8 печ. листа;

8. Лившиц И. И. «Современная практика проведения аудитов ИБ» // 16-я научно-практическая конференция «Комплексная защита информации», 17-20 мая 2011 г., Республика Беларусь, г. Гродно, 0,96 печ. листа;

9. Лившиц И. И. «Современные аспекты менеджмента рисков. Применение международных стандартов для повышения эффективности операционной деятельности банка» // 6-я научно-практическая конференция «Банки. Процессы. Стандарты. Качество», Уфа, 11-13 марта 2010 г. 0,96 печ. листа;

10. Лившиц И.И., Селиверстова H.A., Жантуаров Б.Ж. «Актуальные вопросы построения систем менеджмента с учетом требований международных стандартов информационной безопасности» // Журнал «Успех», № 3-4, 2010, Казахстан, Астана, 0,8 печ. листа;

П.Лившиц И.И. «Практика обеспечения защиты персональных данных в соответствии с требованиями международного стандарта ИСО/МЭК 27001:2005», // 2-я межбанковская конференция «Информационная безопасность банков», Республика Башкортостан, 15-20 февраля 2010 г., 0,8 печ. листа;

12. Лившиц И. И., Подолянец Л. А. ««Перспективы применения системы менеджмента качества для синтеза и оптимизации моделей деятельности организаций». «XIV Международная научно-практическая конференция «Интеграция экономики в систему мирохозяйственных связей». 27 - 29 октября 2009 г. 0,32 печ. листа;

13. Лившиц И. И., Марцынковский Д.А., // «Современные аспекты проектирования, создания и внедрения комплексных систем обеспечения информационной безопасности. Применение международного стандарта ИСО/МЭК 27001:2005» 7-я международная конференция «Инфокоммуникационные технологии Глобального информационного общества», 10-11 сентября 2009 г. Казань, 0,96 печ. листа;

14. Лившиц И. И. «Развитие систем менеджмента информационной безопасности в России». // Международная конференция IQNet, 14-16 июня 2009 г., 0,32 печ. листа;

15. Лившиц И. И. «Защита завтрашнего дня. Каким рискам подвержены информационные потоки» // Журнал «Кейс», № 15,2008 г. 0,96 печ. листа;

16. Лившиц И. И., Подолянец Л. А. «Экономическая безопасность системы стратегического управления организации». «X Международная научно-практическая конференция «Интеграция экономики в систему мирохозяйственных связей». 23 - 25 октября 2007 г. 0,32 печ. листа.

Свидетельства об официальной регистрации программ для ЭВМ

17. Лившиц И. И., Агаджанян Э. Г., «Автоматизированное рабочее место системного администратора» («АРМ Системный»), № 2004610090, зарегистрировано в Реестре программ для ЭВМ г. Москва, 05.01.2004

18. Лившиц И. И., Агаджанян Э. Г., «Автоматизированное рабочее место администратора стоматологической клиники» («АРМ Администратора»), № 2001611167, зарегистрировано в Реестре программ для ЭВМ г. Москва, 12.09.2001 г.

19. Лившиц И. И., Агаджанян Э. Г., «Автоматизированное рабочее место страхового агента стоматологической клиники» («АРМ Страхового агента»), № 2001611169, зарегистрировано в Реестре программ для ЭВМ г. Москва, 12.09.2001 г.

20. Лившиц И. И., Агаджанян Э. Г., «Автоматизированное рабочее место врача стоматологической клиники» («АРМ Врача-стоматолога»), № 2001611170, зарегистрировано в Реестре программ для ЭВМ г. Москва, 12.09.2001 г.

21. Лившиц И. И., Агаджанян Э. Г., «Автоматизированное рабочее место главного врача стоматологической клиники» («АРМ Главного врача»), N° 2001611172, зарегистрировано в Реестре программ для ЭВМ г. Москва, 12.09.2001 г.

Подписано в печать 24.05.2012г. Формат 60x84 1/16. Бумага офсетная. Печать офсетная. Усл. печ. л. 1,2. Тираж 100 экз. Заказ № 2633.

Отпечатано в ООО «Издательство "JIEMA"» 199004, Россия, Санкт-Петербург, В.О., Средний пр., д. 24 тел.: 323-30-50, тел./факс: 323-67-74 e-mail: izd_lema@mail.ru http://www.lemaprint.ru

61 12-5/3047

Федеральное государственное бюджетное учреждение науки Санкт-Петербургский институт информатики и автоматизации Российской академии наук

Методы оценки защищенности систем менеджмента информационной безопасности, разработанных в соответствии с требованиями международного стандарта ИСО/МЭК 27001:2005

Специальность 05.13.19. - «Методы и системы защиты информации, информационная безопасность»

Диссертация на соискание научной степени кандидата технических наук

Н; >укописи

Лившиц Илья Иосифович

Научный руководитель: Профессор, д.т.н. Молдовян А. А.

Санкт-Петербург, 2012

Содержание

Наименование раздела Стр.

Введение........................................................................................................................................................5

Глава 1. Существующие методы анализа защищённости ИБ 16

1.1 Цели современной организации в области ИБ.................................................16

1.2 Менеджмент на основе рисков.....................................................................16

1.3 Обзор национальных нормативных актов в области ИБ.....................................19

1.3.1 Обзор российских государственных стандартов (ГОСТ / ГОСТ Р).................19

1.3.2 Обзор СТО БР ИББС........................................................................20

1.3.3 Обзор СТО НАПФ............................................................................23

1.3.4 Обзор проекта «Тритон»..................................................................23

1.3.5 Анализ НПА документов оценки ИБ.....................................................24

1.4 Обзор международных стандартов...............................................................26

1.4.1 Цикл PDCA................................................................................••••26

1.4.2 Обзор стандартов ИСО/МЭК...............................................................27

1.4.2.1 Обзор стандартов ИСО/МЭК серии 27000 ......................................27

1.4.2.2 Обзор стандартов ИСО/МЭК серии 20000......................................28

1.4.2.3 Обзор стандартов BS серии 25999................................................30

1.4.2.4 Обзор стандартов PCI DSS.......................................................31

1.4.2.5 Международные рекомендации ITU-T Recommendation Х.1051..........33

1.4.2.6 Statement on Auditing Standards 70 (SAS 70)....................................34

1.4.2.7 Закон Сэрбэйнс-Оксли (Sarbanes-Oxley Act, SOX)...........................35

1.4.2.8 Закон «Kontrolle- und Transparenz Gesetz» (KonTraG)........................36

1.4.2.9 Европейская директива 95/46/EC.................................................37

1.4.2.10 «Базель III»...........................................................................37

1.5 Проведение аудитов ИБ..............................................................................38

1.5.1 Задачи аудитов ИБ...........................................................................39

1.5.2 Требования к проведению аудитов ИБ..................................................39

1.5.1.2 Требования стандарта ИСО/МЭК 19011.......................................39

1.5.1.2 Требования стандарта ИСО/МЭК 27006.......................................39

1.5.2 Сравнение сильных и слабых сторон аудитов ИБ....................................40

1.6. Анализ противоречий различных применяемых методик оценки........................41

1.6.1 Противоречия оценок регуляторов РФ..................................................41

1.6.2 Противоречия терминологии..............................................................41

1.6.3. Диспропорции в соотношение стандартов ГОСТ и ИСО/МЭК....................41

1.6.4 Требования по хранению журналов (лог-файлов)....................................42

1.6.5 Проблемы практической реализации требований ФЗ................................42

1.6.6 Несоответствие сертификата и ожидаемого уровня защищённости.............43

1.7. Оценка соответствия.................................................................................43

1.8 Противоречия, порождающие задачи диссертационного исследования..................45

1.9 Задачи диссертационного исследования.........................................................46

Глава 2. Формирование моделей для оценки защищённости СМИБ 47

2.1. Формирование управленческого решения......................................................47

2.1.1. Наилучшее управленческое решение....................................................47

2.1.2. Подходы к формированию моделей.....................................................48

2.1.3. Пути решения многокритериальных задач.............................................49

2.1.4. Построение иерархии.......................................................................49

2.1.5. Измерения и суждения.....................................................................52

2.2. Анализ задач и методов принятия решений....................................................53

2.2.1. Процесс принятия решений...............................................................53

2.2.2. Метод формирования моделей для принятия решения.............................55

2.2.3. Метод формирования шкал................................................................56

2.2.4. Требования к применению шкал.........................................................57

2.2.5. Ограничения применения шкалы Саати.................................................58

2.3. Метод анализа иерархий.............................................................................59

2.3.1. Предложение метода анализа иерархий для решения задач........................59

2.3.2. Постановка решения задачи в МАИ.....................................................61

2.3.3. Последовательность формирования решения задачи в МАИ......................63

2.3.4. Иерархический синтез в МАИ............................................................65

2.3.5. Преимущества иерархии при решении управленческих задач.....................67

2.3.6. Предпочтения выбора МАИ (сравнение с методом Дельфи)......................67

2.3.7. Недостатки МАИ.............................................................................68

2.4. Формирование экспертных оценок...............................................................70

2.4.1. Учет мнений нескольких экспертов......................................................70

2.4.2. Работа экспертов в МАИ...................................................................71

2.4.3. Требования к компетенции экспертов...................................................73

2.4.4. Риски экспертных оценок...................................................................73

2.5. Методология формирования модели СМИБ.....................................................74

2.5.1. Общий подход к формированию модели................................................74

2.5.2. Методы вычисления вектора приоритетов.............................................76

2.5.3. Оценка однородности суждений...........................................................78

2.5.4. Процедура определения приоритетов.....................................................79

2.5.5. Процедура определение альтернатив......................................................79

2.5.6. Процедура формирования критериев.....................................................80

2.5.7. Оценка важности критериев.................................................................82

2.5.8. Оценка результативности матриц парных сравнений.................................83

2.5.9. Оценка требований по согласованности..................................................84

2.6. Метод сравнения альтернатив относительно стандартов.....................................84

2.6.1. Обоснование применения..................................................................84

2.6.2. Алгоритм построения иерархии относительно стандартов..........................87

2.6.3. Динамические предпочтения и приоритеты............................................89

2.7. Выводы к 2-й главе....................................................................................92

Глава 3. Оценка защищённости СМИБ 94

3.1. Формирование модели оценки защищённости СМИБ.........................................94

3.1.1 Оценка НПА для выбора альтернатив модели в МАИ........................................94

3.1.2 Оценка точности экспериментальных данных модели в МАИ...........................98

3.1.3 Оценка рисков по модели в МАИ........................................................................102

3.1.4 Формирование системы критериев для синтеза модели в МАИ......................107

3.1.5 Алгоритм синтеза модели оценки защищённости СМИБ..................................112

3.1.6 Синтез модели оценки защищённости СМИБ....................................................113

3.1.7 Описание концептуальной модели оценки защищённости СМИБ..................114

3.2. Формирование методики оценки защищённости СМИБ.............................................115

3.2.1 Требования к формированию методики оценки защищённости.......................115

3.2.2 Методика оценки защищённости модели СМИБ................................................116

3.2.3 Описание методики оценки защищённости модели СМИБ...............................117

3.3. Выводы к Главе 3.............................................................................................................119

Глава 4. Пример расчёта оценки защищённости СМИБ..........................120

4.1. Формирование модели оценки защищённости СМИБ.....................................120

4.1.1. Постановка «глобальной цели»...................... ..................................120

4.1.2. Формирование альтернатив.............................................................120

4.1.3. Формирование критериев нижнего уровня иерархии..............................120

4.1.4. Формирование иерархической модели................................................122

4.1.5. Формирование группы экспертов.......................................................124

4.1.6. Оценка рисков по модели СМИБ.....................................................125

4.2. Расчёт оценки защищённости ПДн по статической модели СМИБ....................126

4.2.1. Формирование матриц парных сравнения (Альтернативы).....................127

4.2.2. Матрица предпочтения стандартов...................................................130

4.2.3. Матрица предпочтения критериев относительно «стандартов»...............131

4.2.4. Матрицы парных сравнений критериев..............................................132

4.2.5. Иерархический синтез для статической модели СМИБ..........................134

4.3. Расчёт оценки защищённости ПДн по динамической модели СМИБ..................136

4.3.1. Формирование матриц парных сравнения (Альтернативы).....................136

4.3.2. Матрица предпочтения стандартов....................................................136

4.3.3. Матрица предпочтения критериев относительно «стандартов»................138

4.3.4. Матрицы парных сравнений критериев..............................................139

4.3.5. Иерархический синтез для динамической модели СМИБ........................140

4.3.6. Иерархический синтез для динамической модели СМИБ (прогноз)...........142

4.3.7. Сравнение статической и динамической моделей СМИБ........................143

4.4. Выводы к Главе 4...................................................................................144

Заключение...............................................................................................147

Выводы.....................................................................................................151

Перспективы использования и развития работы.....................................153

Список литературы...................................................................................156

Приложение 1. Термины и определения...................................................172

Приложение 2. Акты о внедрении результатов диссертации....................180

Введение

Актуальность работы. В последние несколько лет в Российской Федерации (РФ) проблема обеспечения информационной безопасности (ИБ) отражает общемировые тенденции и находится в фокусе внимания как критический фактор для обеспечения государственной безопасности. Техническое обеспечение для решения данной проблемы постоянно совершенствуется, появляются новые средства защиты информации (СЗИ), препятствующие или существенно затрудняющие попытки несанкционированного доступа (НСД). В области законодательного регулирования в РФ принят ряд нормативных правовых актов (НПА), прежде всего Стратегия национальной безопасности РФ до 2020 года (в которой отражена потребность в разработке и внедрении современных технологий ИБ в системах государственного и военного управления), Доктрина информационной безопасности РФ, Федеральные законы ФЗ-149 «Об информации, информационных технологиях и о защите информации», ФЗ-98 «О коммерческой тайне», ФЗ-152 «О персональных данных», иные Федеральные законы ([96] - [112]), Постановления Правительства РФ [62] -[69], и иные НПА: Приказы ФСТЭК и ФСБ [154] - [73], Методические материалы ФСТЭК [61] - [75]).

Необходимо отметить, что в РФ также активно вводятся в оборот международные стандарты (МС), призванных восполнить пробел в создании современных систем менеджмента информационной безопасности (СМИБ), отвечающим требованиям как бизнеса (прежде всего эффективности), так и законодательным требованиям различных регуляторов (т.н. «compliance»). Среди наиболее известных МС необходимо отметить стандарты ИСО/МЭК серии 27000 и 20000; британские стандарты BSI серии 10012 (Personal Data Protection) и 25999 (Business Continuity Process), американские стандарты NIST (прежде всего серии 800), стандарты Австралии и Новой Зеландии (например, AS/NS 4360) и пр.

1998 1999 200020012002 2003 200420052006 2007 2008 2009 2010 2011 годы Рис. 1 Динамика разработки международных стандартов в области обеспечения ИБ

2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 годы Рис. 2 Динамика разработки гармонизированных национальных стандартов в области ИБ

МС ИСО/МЭК серии 27000 предлагает концепцию ИБ, построенную на «триаде безопасности» - конфиденциальности, целостности и доступности. В стандарте МС ИСО/МЭК 27000:2009 предложено возможное расширение этой «триады» дополнительными требованиями: аутентичность, ответственность, неотказуемость, надежность (п. 2.19 ИСО/МЭК 27000:2009). Необходимо отметить, что за последние 3 года практические все современные стандарты ИСО/МЭК, в которых изложены требования к ИБ, приняты в РФ в качестве ГОСТ Р, и прежде всего ИСО/МЭК серии 27000 и ИСО/МЭК серии 20000.

Дополнительно необходимо отметить, что применении техник аудита (как независимого процесса оценки СМИБ) на соответствие множеству установленных требований, выполняется в РФ не достаточно широко,

несмотря на принятые более 10 лет назад ГОСТ Р ИСО 19011:2002 «Руководящие указания по аудиту систем менеджмента качества и/или экологического менеджмента» (а также новой пересмотренной версии ИСО 19011:2011 «Руководящие указания по аудиту систем менеджмента») и специального «целевого стандарта» МС ИСО/МЭК 27006:2007 «Информационные технологии. Методы обеспечения безопасности. Требования к органам аудита и сертификации систем управления информационной безопасностью».

Одним из наиболее критичных видов информации, утечка которой наиболее чувствительна, являются персональные данные (ПДн). О фактах крупнейших утечек ПДн как в РФ, так и в мире известно достаточно; причем ущерб, в отличие от хищения, например, материальных средств (денег с банковских счетов), больше имиджевый - несколько атак подряд на сервера Sony привели к утечке личной информации более 1 млн. пользователей (по данным Reuters). В июне 2011 очередное нападение было осуществлено хакерской группой LulzSec, которая ранее провела атаки на телеканал PB S и интернет-сайт Fox.com. Взломщики опубликовали имена, даты рождения, почтовые и электронные адреса, номера телефонов и пароли нескольких тысяч участников конкурсов, которые проводит Sony.

Общие оценки ущерба по фактам «отраслевых» утечек (приведены компанией Info Watch в 2010) таковы (см. рис. 3):

Банк

Реестр 60 юридических лиц - надежных заемщиков

900 млн.

Банк

Список 1000 физических лиц, способных отдать кредит

500 млн.

Системный интегратор

Переписка сотрудников - злоумышленников

15 млн.

Нефтяная компания

Требования закупочной компании

7 млн.

Нефтяная компания

Заявка на конкурс

1 млрд.

рис. 3 Общие оценки ущерба (InfoWatch)

Для специалистов - инженеров, юристов, сотрудников отделов персона и служб безопасности, проблема эффективности обеспечения ИБ недостаточно ясна в силу сложности оценки (как количественной, так и качественной) современных автоматизированных систем (АС). Известно, что некоторые АС «в базовом варианте» разработки и поставки могут не содержать встроенных систем (элементов) СЗИ НСД. Особенно это замечание справедливо для АС, созданных достаточно давно (например, в поликлинических медицинских АС) и категорированных только в связи с требованиями «регуляторов» по ФЗ-152. Необходимо отметить, что даже при наличии достаточного количества регулирующих технических документов (ГОСТ Р 51583-2000 «Порядок создания автоматизированных систем в защищенном исполнении»), наличие требований по ИБ в ГОСТ серии 34 (например 34.601, 34.201,) и др. обработка ПДн в ряде АС (ИСПДн) проходит без должного внимания к проблемам ИБ даже у крупнейших операторов (Пример - в сахалинском филиале ОАО «Дальсвязь» выложили на публичный ГТР-сервер файлы с исчерпывающими служебными и личными данными как минимум 11 тыс. текущих или бывших клиентов).

В последние 2-3 года экспертам в области ИБ стало очевидно, что анализ защищенности СМИБ, равно как и обеспечение необходимого уровня ИБ - процесс непрерывный и должен выполняться на постоянной планируемой основе с должным вниманием к ресурсам и оперативным анализом результатов, что, собственно, и является базовыми требованиями при выполнении аудитов ИБ. Анализ НПА в области ИБ в РФ и МС показывает, что до настоящего времени не уделялось должного внимания вопросам формирования критериев оценки защищённости СМИБ. Отдельные требования присутствуют в МС, ВБ, РД ФСТЭК, ФСБ и Постановлениях Правительства, но конкретных и безусловно признанных методологий оценки - качественных или количественных пока не предложено.

Для формирования эффективной практики аудита СМИБ необходимо применять комплексный подход, включающий ряд взаимоувязанных

мероприятий, одним из важнейших является формирование системы критериев и разработка моделей оценки. Как показывает анализ публикаций на специализированных конференциях и в отраслевых изданиях, на практике недостаточно информации о реализуемых функциях (механизмах) ИБ. Например, в докладе, посвященном «облачным вычисления» Oracle четко указано, что в силу повсеместного увеличения требований регуляторов и неустойчивости процессов «возможен рост стоимости аудита, исследований уязвимостей, исправлений и оповещений». Иными словами, проведение «унифицированного» анализа защищенности СМИБ весьма затруднительно; по этой причине используется экспертный подход, позволяющий получить качественные и/или количественные модели оценки, которые могут быть предложены менеджменту организаций (ЛПР - лицу, принимающему решения) для принятия эффективных решений в области ИБ.

В процессе оценки (различных аудитов - сертификационных, надзорных и пр.) СМИБ эксперты сталкиваются с рядом проблем, порожденных неоднородностью данных, доступных для анализа, разнообразием АС и СЗИ НСД, специально