автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему:Модель и метод структурированной оценки риска при анализе информационной безопасности



□03455008

На г равах рукоп 1си

Сидоров Алексей Олегович

МОДЕЛЬ И МЕТОД СТРУКТУРЕ РОВАБНО Я ОЦЕНКИ РИСКА ШИ АНАЛИЗЕ Ш [Ф0РМАЦ1ЮННОЙ БЕЗОПАСНО СТИ

Специалы ость 05.13.Г). Методы и системь защиты информации, информационная безопас* ость

Автореферат

диссергации на соискание учеши! степени кандидата технических наук

Санкт- Петербург 05

::оо8

003455008

УДК 004.056/005

Работа выполнена на к;.федре «Бе¡опасные информационные технологии» Санкт-Петербургскс го госудг рственного университета информационных техно тогий, механики и оптики (СПб ГУ И'ГМО).

Научный руководитель:

Доктор технических наук, грофессор Ос овецкий Лес нид Георгие зич

Официальные оппоненты: Дс кгор технических наук, г рофессор

Гагчин Юрий лрменакович

Ведун ая организация:

Ка ндидат техн1 иеских наук Моренин Алекоей Викторонич

Угравление Федерально» службы по техническому и экспорт! юму контролю (ФСТЭК) по Северо-Западному федеральному зкругу

Защита состоялся -/ъ- декабря 2008 г. в 15 часов 50 минут на заседании диссертационного совета Д 212.227.С5 при Саню-Петербургеком Государственном университете инбормационных технолог *й, механик л и оптики, по адресу: 1011! >7, Санкт-Пегербург, Крснверский пр , д. 49.

С диссертацией можно ознакомиться в библиотеке СПб ГУ ИТМО.

Автореферат раюслан ноября 2008 г.

Учень й секретарь Диссертационного совета Д 212.227.05

кандидат техничес сих наук, доцен"

А.

и. ->

Поляков В.И.

Общая харе ктеристина работы

Актуальность темы

Бурное внедре ние информационных технологий в структуры современных организаций стало объективно.! реальностью. Нам псех управленческих урознях имеется желание рас лирить свои коммуникационные и информационные возмсясности за счет внедрения современных информа1. ионных технологий. В результате информационные структуры организаций разрастаются: локгльные сет i организаций подключаются к Interne', объединяются в офисные многоярусные структуры, разрастаются до уровня распределенных корпоративных сетей.

Внедрение средств вычислительной тех! ики в структуру управления современных предприятий и организации являете) i, безусловно, прогрессивным процесс ом, поэтому вполне объяснимо, что до определен! ого момента но возникает вопросов и опасений, связанных с использования информационных технологий. Следствием этого часто является стихий шй рост информационной инфраструктуры орган мации, которая по к ере приобретения средств вычислительной техники разраспется «вши зь», приобретая неструктурированный гетерогенный характер. Это в свою очередь приводит к неконтролируемому рссту уязвимо гтей систем] л и увеличению возможностей доступа ! управленческой и производственно? информации со стороны внешних и внутренних на]>ушителей. ИС становится потенщшьно опасной для своих собственников, своего рода «mhhoiî замедлен! ого действия».

До определенного момента не возникает вопроссв и об оценке величины риска, рост которого следует рассматривать как о£ ратную сторону процесса информатизации. lïpooj ема усугубляется тем. что вопросы информационной безоп;lchocth, обычно, отдаются на откуп специалистам по информационным технологиям, которые часто не в состоянии опреде; ить

реальных последствий для органгоа1;ии угроз информационной безопасно;ти. Менеджерь предприятия, которые иогли бы оцгнить реальные последствия угроз, часто имеют недостаточных знаний в области информацион -(ых технологий чтобы оцен -ггь связаннь е с этим рис <и.

Так им образом в организации часто ь е оказывается специалиста, который мэг бы оценить реальные риски, связанные с использованием информационных технологий, хотя очевидно, это оценка эиска нужнг не только с то жи зрения безопасности уже сложив лейся инфраструктуры, но и для правильной оценки перспектив ис пользования и развртия информационных технологий. Волге того, своевременнук оценку ргска следует рассматривать не только 1ак функцию управлении ИС, но и как защиту организации в целом, ее способности выполнять свои функции. Следовательно, процесс управления рисками следует рассматривать не как техническую функцию, которую мо>сно поручить техническим специалисам, а как основ гую управляющую функцию организацию.

Согласно современным международным стандартам в области ИБ подсистема управления рисками ИБ должна был. обязательным компонентом общей систгмы обеспечения информационной беюпасности организации.

Цели диссертации

Целями работы являются получение структурированной оценки рисков состояния ИБ в ИС на пре?приятиях и в организациях, повышение достоверно'л-и оценки и сокращение расходов по созданию системы защит ы.

Об ъект и предмет исследог ания

Объектом исследования данной работы являются И С предприятий, обладающиг гетерогенной мношуро зневой структурой.

Предмет исавдования составляют метоцы и модели аналитических исследован 1Й, позволяющие произвести оцешу рисков состояния ИЗ в объекте исследования.

Методы исследования

При решении поставленны> задач испо тьзованы: miггоды анализа и моделирования систем, методы опенки защищенности и методы нечеткой логики.

Основные нау» иыс положс ния, выносимые на зац.иту

1. Метод стэуктурировашой аналитической оценки рисков информационной безошюности в слсжных промь тленных системах.

2. .Модель струстурированн эй оценки pi- ска при построении системы информационной безопасности.

Основные результаты работы

1. Построена модель структурированной оценки рис <а при создании системы информационней безопаснсста.

2. Разработана методика получения оценки ризка на основе механизма нечеткого зывода, позволяющего учесть мнокество потеков входных да -шых.

3. Предложен мзтод поэташ-ого выполнения аналит!- ческих рабе - по структурированной оценке рисков.

Научная новизна

Научная новизта работы состоит в том, что с использован «ем методов нечеткой логики к решению проблемы ИБ в И С, обладающих сложной инфраструктурой, был разэаботан инновационгый структурированный по,гход, позволяющий улучшить качество оценки риска по сравнению с существующими методами.

Пр штическая ценность

Работа определяет способ получения качественных и количественных оценск величин риска с максимальными возможностями учета априорных даш-ых и результатов предварительные исследований характеристик и свойств ИС. Полученные оценки риски могут быть

использованы при разработке Кэнцепции с беспечения ИБ на этапе формирова) 1ия ИС и для поддержан!- я уровня ри< ка на прием, гемом уровн ; на этапе экспл /атации ИС.

Данная работы может быть полезь а аналитиком в области информационной безопасности, у которых возникает за; ача обобщения большого количества данных о характеристик х и свойстеэх исследуемой системы социалистам, эксплуатирующим ИС или отвечающим за состо*ние ИБ, для контроля и поддержания допустимого уровня бе;опасности. Эна рекомендуется также менеджерам д:я определен ад объема и стоимости рг бот по оценке рисков.

Ап эобация работы

Основные положения и результаты диссертационной рабэты докладывались и обсуждались на научно-технигеской конфгренции «¿.снь антивируснэй безопасюсти» (Санкт-Петербург, октябрь 20 37), на XXXVII научной и учебно-методической конференция СПбГУ ИТМО (Санкт-Петербург, февраль 200:5), 12-ой нау-шо-техничеокой конференции «Теория и технология программирования и з лциты информации» (Сашсг-Петерб /рг, май 2008) и на круглом столе «Актуальные проблемы го( тайны» (Санкт-Петербург, эктябрь 2005).

Внедрение рез)Льтатов

Результаты рабэты реализозаны в учеб юм процессе кафедры БИТ СПбГУ ЖМО по специальности 0Í'0103; на ее осюве ООО "ИДС Менеджмент" проводило аудит информационной безопасности нескольких компаний.

Публикации по теме диссертации

Основные положения диссе{ тации изло» ены в 4 печатных работа:с.

Структура и of ъе.м диссерт ации

Диссертация сс стоит из сгиска сокрацений, введе ния, трех пав,

заключения и списка лггературы. Материал изложен на 134 страницах машинописюго текста, содержит 22 эисунка и 17 таблиц, спи;ок литературы состоит из 51 наименований.

Соде} 1жаниерабе ты

Во £ ведении обосновываете* актуальное! ь темы, сформулировань её цель, научнгл новизна, приведены езедения о практическом использова! ии полученных научных рззультатов I представлгны основное положения, выносимые на защиту.

В первой главе рассмотрены основные методы и средства оценки текущего уровня информационной безопасности.

В_первом разделе дан о(>зор методов и методик у правде! :ия

информациоиными рисками. Эти методики различаются, прежде всего, по уровню и совершенсгву испол*зуемых математических методов, положенных в основу процедур оценивания рисков. Используемые методики можно раз;елить на грямые одноэтапные пр оцедуры ох.енки риска и многоэтапные процедуры с пред зарительньш оцениванием ключевых параметров, оказываюццх основное I лияние на величину риска.

В одноэтапных методиках оценки рис* а выполняйся с помошыо одноэтапно? процедуры, исходя из набора исходных дашых. Мехаюзм вывода при этом не формализован и определяется возможно!ггями эксперта. Риск опреде.1яется путем прямой эксгертной оценки.

В тем случае, когда модель информационной структуры организации уже определилась и можно выдел пъ основные факторы, влияющие на величину риска, более подходящими являются многоэтатые механизмы получения сценок риск, предусматоивающие получение щедварительных оценок по опочевым входным фа?торам. Известны методики получения оценок риски с предвари--ельным оцениванием дв^-х или трех параметров.

Во втором разделе рассмотрены стандарты в облаши

информационной б< зопасности, такие как ivеждународн >ie и нацио! альные стандарты оценки управления информационной безопасностью ISO 15408, линейке стандартов ISO 27000; стандарты аудита информационных с 1стем и информационной безопасности OOBIT, SAC COSO, SAJ. 55/78 и неготорые другие, аналогичные им.

В третьем рлзделе рассмотрены методы оценки за грат и инвестиций в информационную безопасность:

• Прикладной информационный анали s Applied Information Economics (ATE)

• Потребительский индекс Customer Index (CI)

• Добавленна? экономическая стоимосгь Economic Value Added (EVA)

• Исходная экономическая стоимость Economic Value Sourced (EVS)

• Управление портфелем г ктивов Portfolio Management (PM)

• Оценка дей< твительных возможносп ;й Real Optio i Valuation (1 tOV)

• Метод жизненного цикла искусственньх систем System Life Cycle Analysis (SLCA)

• Система сбглансироваш ых показателей Balanced Scorecard (В SC)

• Функциот ально-стс имостной анализ Activity Based Costing (ЛВС)

• Совокупная стоимость в тадения Tota I Cost of Owi lership (TCO•

Во второй главе предлагается модель структурированной оценки риска при построена и системы информационной безопаст ости, позволяющая, вне зависимости от метода оценки затрат и инвестиций, создать эффективную и эконо лически опр. шданную cm ¡тему защип .1 информащ и.

В первом разделе рассматриваются методы н средства шализа защищенности информации на техническом и организационно уровнях; приводется основнье требоваши к таким средствам. Длл получения полной

картины злщшценностi исследуемой системы, необход!-мо проведения анализ на дзух уровнях: организационно-технологическом техническом.

Дл! проведения инструиентальных проверок рекоменду(,тся использова'ъ спещшизированные программные средства обследования корпоративчых сетей с целью выянления уязвимых мест д.ш электронного вторжения, а также комплексной эценки степени защищенности от атак нарушителей. Несмотр? на повыиающийся интерес к сбласти защиты информации сетевых сканеров безопасности не так уж и много. Однако, задача выбора оптимал1ного продукта подобного класса непроста, поскольку при анализе нужно учитывать много факторов.

Дго. достижения желаемого результата - получения оценки защищенности информационных ресурсов на 'ехническом уровне, екгнер защищенности должен с бладать следующими ка1 ествами:

• универсальность;

• полная иде! [тификация с ервисов на с лучайных пс ртах;

• эвристический метод определения п- пов и имен с ерверов;

• проверка ел абости паро. п>ной защип л;

• глубокий ai [ализ контен- га WEB-сайт ов;

• проведение проверок на DoS-атаки, 11 том числе t е стандартны е;

• одновремег ное сканиро зание больше )го числа ко)/тьютеров;

• ведение noj ной историк проверок;

• генерация стчетов с pa3jшчными уро внями их детализации.

Оцонка защищенности ta организг ционном 3 ровне обычно

производится на основе специальньх методов и инструментальных средств, построенньх с использованием структурных методик системного анализа и проектирования (SSADM - Structural Systems Analysis and Design).

Данные методики позволяю":

• убедиться, что требования, предъявляемые к организации системы безопасности, полностью п]юанализиро1;аны и документированы;

• избежать рг сходов на п])инятие изл* шних мер б(30пасности, что возможно при субъективной оценке оисков;

• оказывать помощь в шинировании л осуществлгнии защиты на всех стадия < жизненного цикла информационны* систем;

• обеспечить проведение работ в сжатые сроки;

• автоматизи] ювать проце гс анализа т} >ебований бе 5опасности;

• предостави- ъ обоснован ие для мер п эотиводейсп тя;

• оценивать эффективноеъ различных вариантов контрмер;

• генерирова'ъ отчеты.

Во втором разделе рассмотрены методики работы пс анализу рисков информационной безопасности, проектированию и сопровождению систем безопасное:-и, которые г озволяют:

• произвести количественную оценку текущего уревня безопасное:-и, задать допустимые уровни рисков, разработать глан мероприятий по обеспечению требуемого уровня безопасности;

• рассчитать и экономически обосновать перед руководством или акционерами размер необходимых вложений в обеспечение безопасности;

• выявить и провести г ервоочередюе блокирование наибе шее опасных уязвимостей дс осуществле тя атак на уязвимые рес/рсы;

• определить функциональные отношгния и зоны этветственнс сти при взаимодействии подразделений и лиц по обгепечению информационной безопасное:-и; создать необходимый пакет оргашгзационно-ргспорядительной документации;

• разработать и согласовать проект внедрении необходимых комплексов защиты, зчитывающиЗ современный уровень и тенденции

развития т формационь ых технолог лй;

• обеспечить поддержание внедренного комплекса защиты в соответствш изменяюцимся условиям работы организация, регулярными доработками орг. шизащгонно -распорядительной документации, модификаций технологических п[оцессов и модернизацией технических средств заи иты.

В ходе проведе шя анализа риска выявл. 1ются наиболее критичные с точки зрения информа1 .ионной безопасности ресурсы, по каждому ресурсу определяются характерные угрозы безопасности и оценивался уязвимость системы зациты ресурса. На основании этих и эбщестатистических дашых определяются вероятностные характеристики возникновения и реализации угроз информационной безопасности.

ЦeJ[ь процесса оценивания рисков состоит з определении характеристик рисков в информациэнной системе и ее ресурсах. На осюве таких данных выбираются необходимые средстве управления ИБ.

Процесс оценивания рисков содержит не:колько этапов:

• описание объекта и мер защиты;

• идентификация ресурс! и оцени¡ание его количествен 1ых показателе!, (определеше потенщального негативного зоздействия на бизнес);

• анализ угро з информавд онной безоп асности;

• оценивание уязвимостег;

• оценивание существующих и предполагаемых средств обеспечент информационной безопасности;

• оценивание рисков.

В тэетьем разделе приводите непосредственно модель построения системы нн формацнонн эй безопаснссти (рис 1).

Условные обозначения:

--► - естественное воздействие,

-----------► _ управляющее воздействие.

Рис. 1 Модель построения системы информационной безопасности

Эта модель соответствует специальным нормативным документам по обеспечению информационной безопасности, принятым в Российской Федерации, международному стандарту КОЛЕС 15408 «Информационная технология — методы защиты — критерии оценки информационной безопасности», стандарту КО/ГЕС 27002 «Управление информационной безопасностью», и учитывал- тенденции развития отечественной нормативной базы по вопросам информационной безопасности.

Представленная модель информационной безопасности - это совокупность объективных внешних и внутренних факторов и их влияние на

состояние информационней безопасности на обьекте и на сохранность материальных или информационных ресурсов.

Рассм приваются следующие оэъективные факторы:

• у1розы информационной безопасно л-и, характеризующиеся вероятностью возникновения и вероятностью реализации;

• у53вимости информационной системы или системы контрмеэ (системы информационной безопасности), влияющ!ге на вероятность реализации угюзы;

• риск - факте р, отражающий возможный ущерб ерганизащш з результате реализации угрозы информационно \ безопасности: утечк\ информации и ее неправомерного использования (риск в конечном итоге о: ражаег веро ггные финан совые потер] I - прямые и пи косвенны г).

Для построения сбалансированной системы информационно \ безопасности предполагается первоначально провести анализ рисков в области информационной безопасности. Затем определить оптимальны! уровень риска для организации на основе заданного Крите]>ия. Систем/ информационной безопасности (контрмеры) предстоит построить тамил о(¡разом, чтобы достичь заданного уровня риска.

В че'вертом разделе рассматривается процесс проектирования системы обеспечения I нформациотной безопасности, состоящий из с; едующих этапов:

• Пострэение плана защиты объекта, которое начинается с по строе ни? профиля защиты данного объекта. П|и этом часть этой работы уже был! проделана при проведении анализа рисков.

• Разработка организационной политики безопасности, которая описывает порядок предоставления и использования пзав доступ! пользователей, а также требования отчетности пользователей за сво-1

действия в ¡опросах без эпасности.

• Система информационной безопасности (СИБ) объекта окалоггся эффективней, если онг будет надежно поддерживать выпэлнение пргвил политики безопасности и наобора\ Шагами гостроения организационной политики б '»опасности 1вляются:

о внесение в описание объекта автоматизг ции структ/ры ценности и про! едение анал «а риска;

о определение правил для любого процесса пользования данным видом доступа к ресурсам объекта автоматизации, имею!дим данную степень ценности.

• Дае тся детализс ванное опис шие общей I (ели построе лия системы безопасное и объекта, в сражаемое через совокупность факторов или критериев, уточняющих цель. Совокупность фаюоров служш базисом дл> определения требованш. к системе (иыбор альтернатив).

• Фу.шциональнь е требован 1я профиля защиты определяются на основе набора хорошо известных, отработанных и согласован тых функциональных требований безопасности. Все требования к функциям безопасное-и можно разделить на два тиш.: управление доступов г к информации! управление потоками информацш.

• Перечень требований к с1стеме инфэрмационноп безопасности, эскизный гроект, план защиты содержит набер требоваш:й безопасности информационной среды объекта, которые могут ссылаться на соответств)ющий профиль защи-ы, а таю се содержа гь требования, сформулированные в яв том виде.

• Производится сценка меры гарантии безопасности информационной среды объекта автоматизации. Мера гарантии основывается на оценк;, с которой по;ле выполнения рекомеьдованных мероприятий можно доверять

информационной среде эбъекта.

В пятом разделе рассматривается механизм несеткого вывэда, являющийся основным звеном в методике получения оценки риска. Он преобразуй• входные данные в выходную переленную, т.е. в оценку риска. Механизм нечеткого вывода представляет собой поспедовательность операций над входными данными в соответствии < параметр? .ми, заложенными в наборе репродукционных правил (рис.2).

Рис. 2. Мехгнизм нечет<ого вывод*!

Ос1 ювными эта) 1ами нечеткс го вывода яе ляются: • Ввсд эксперт тх оценог обеспечивает механизм выюда необходимой ш формацией.

• Фа тфикацил представляет собой процедуру нахоядения функций прр надлежности используемых термот входных переменных на основе исходных данных.

• Агр егироваиие * вляется пр01 (едурой опр< деления стет [ени истиннс •сти условий по каждому из прав ад системы нечеткого выюда.

• Активизация пэедставляет собой про1.едуру нахо:кдения стег.ени истинности каждого из подз. истечений правил нечетких продукций.

• Акъумуляция представляет собой процедуру нахоядения функции принадлежности для каждой из выходных I ингвистических переменных заданной совок;шности правил нечеткой» вывода.

• Дефазафикация является процедурой нахождения четких значения выгодных переменных, в наибольшей степени отвечающих входным данным и базе гродукционн>1х правил.

Реализация ¡механизма нечеткого вывода заключается в использовании известного или в {азработке нового алгоритма обработки данных.

Приведены примеры практического использования мехатзма нечеткого вывода для пэлучения оценки риска. Один из примеров приведем ниже:

Предположим, что с помещью продусционных правил нечеткой логики необходимо воспроизвести механизм оцежи риска, представленный в таблице 1 (рекомендацияШБТ 800-30).

Таблица 1. Зависимость риска от вероятности и ущерба

Вероятность Ущерб

Большой Средний Низкий

Большая Б С Н

Средняя С С н

Низкая н Н н

Таблице 1 соответствуют следующие продукционные правила:

1. Е( ШИ Вероятность - Большая И Ущерб - Большой, ТО Риск = Б (большой);

2. ЕСЛИ Вероятность - Большая И Ущерб - Средний, ТО Риск = С (средний);

3. Е( "ЛИ Вероятность - Большая И Ущерб - Низкий, ТО Риск = Н (низкий);

4. ЕСЛИ Вероятность - Средняя И Ущерб - Большой, ТО Риск = С (средний);

5. Е( -ЛИ Вероятность - Средняя И Ущ ерб - Средний, ТО Риск = С(средний);

6. ЕСЛИ Вероятность - Средняя И Ущерб - Низю ш, ТО Риск = Н (ш вкий);

7. ЕСЛИ Вероятность - Низкая И Ущерб - Большой, ТО Риск = II (низкий);

8. ЕСЛИ Вероят ность - Низкая И Ущерб - Средний, ТО Риск = II (низкий);

9. Е( "ЛИ Вероятность - Низкая И Ущерб - Низкий, ТО Риск = Н (низкий).

Механизм вывода будет содержать два входа: один - для ввода оцешл вероятности, второй - для ввода оценки ущерба (рис. 3).

7и 4

Рис. 3. Структура механизма вывода (МАТ1-ЛВ) Функции принадлежности для всех трех шкал зададим с помощью трапециевидных функций (рис. 4). Механизм вывода показан на рис. 5.

РЕ ''/апаЫеэ гл А/

Уш#р8

Низкий

Ш'тЬегг^р <ипсйоп рЫа рЫр.апй!

Рио. 4 Вид функций принадлежности

Рис. 5. Механизм вывода

В качестве входных значений зададим значение вероятности ранное 0,683 и ущерба - 0,''41. Вид входных переменных после фазификации представлен в левой и в средней колонках ш рис. 5. В правой коленке показаны активизированные решиощие празила, здесь же наглядно представлена процедура дефазификации (взвешивания) и получения конечной оценки рис<а. Выходной переменной является оцениваемое значение рр ска, которое в данном случае равно 0.57.

Рассмотренный пример приведен для понимания используел ого метода и не демонстрир /ет всех его треимущесть, которые будут проявля-ься по мере увеличения количества входов, увеличения числа градаций используемых шкал и роста сложности продукционных правил вывода.

В третьей глгве описывается метод выполнения аналитических работ по структурировашой оценке рисков. Метод включает в себя деиять основных :тапов, каждому из которых соответствует свой раздел данной главы диссс ртации.

Этгп 1: Описание системы. На этом этапе проводится сбор сведений для определения граш-ц и описания системы I а различны?: иерархических уровнях с целью выявления уязвим остей и оцепа! достаточности принятых мер защить.

Этгп 2: Идент1фикация источников у роз. Целью данного э"апа является определение потенциальны ¡с источников угроз для оцениваемой ИТ-системы и составление списка шетуальных и сочников у] роз для данной ИТ-системы.

Этгп 3: Идентификация уязымостей. Целью данного этапа является создание сгиска уязвим эстей (недостатков или упущений), <оторыми могут воспользоваться потенциальные источники угроз

Этгп 4: Анализ контроля безопасности. Цель данного этапа - ашлиз средств контроля, уж; внедренных компанией или планируемых для

внедрения для уменьления или устранения вероятности использоьания уязвимости системы под действием источника у гроз.

Э-ап 5: Определение верэятности. Ш данном э-апе вычислнется уровень 5ероятности успешной атаки зави;ит от потенциала угрозы, создаваемой активным источником угрозы в поле уязвимости (табл. 2).

Таблица 2. Вероятность успешной атаку от от ¡-го и ггочника угроз в

рамках ]-ой уязвил/ости

Эффективность защиты ад Потенциг л угрозы 4(1,])

1 2 3 4 5

0 (нетзащиты) 1 2 3 4 5

0 1 2 3 4

0 0 1 2 3

„» 0 0 0 1 2

л 0 0 0 0 1

0 0 0 0 Э

Н< ¡трудно заметить, что табличные данные отражают пороговый эффект, связанный с греодолением защиты и получены на основе операции алгебраической разности.

Э"ап 6: Анализ воздействия. Следующим шаге: л в о преде/ енин уровня ри;ка является определение неблагопрнятного воздействия (ущерба), как результата успешного использования уязв змостей системы источником угроз.

Э"ап 7: Определение риска. Цель дшного этапа заключается в определении максимального уровнл риска при успешной реализации ата<и от (¿-го) исто-шика по (¡-й) уязвимосп-.

Простой способ получения оценок риска длл каждой пары

угроза/уяззимость, который можно заложить в механизм оценки риска, заключается в переумножении вероятности реализации угрозы и ущерза от реализации угрозы с последующим ранжированием получен -шх значени

Результаты выполнения перемножен!га величин Р(Ц) и и

последующего ранжир звания полученных значе ний для расс мотренных выше шкал вероятности реализации у1розы и уиерба от реализации угрозы приведены в табл. 3 (числа - результат перемножения Р(у) и 8(1]), а буквенные индексы отражают результат ранжирования).

Таблица 3. Шкала ранжированных оценок риска

Ущерб ст реализац «I угрозы Б(у) Вероятт ость реализации угрозы Р(у)

1(ОК) 2(ВГ. 3(С 4(в; 5(0£)

1 1(Н) 2(Н> 3(Н 1 4(с; 5(с;

2 2(НГ| 4(Н> б(С 8(в; 10(В)

3 з(н;| б(с; 9(В 12(В) 15(К)

4 4(с; В (В) 12(В) 16(К) 20(К)

5 5(С 10(В) 15(К) 20(К) 25(0)

В шкале для оценки риска предусмотрыы следующие уровни:

•II - низкий (приемлемый)

•О - средний;

•I; - высокий;

•I! - критический;

•О - очень высокий (недопустимый).

При ранжировании значений риска (табл. 3) использовано следующее правило:

•Н - соответст вует з начет ям риска от I до 3; •С- от 4 до 6;

•В- от 8 до 12;

•К- от 15 до 20;

•О- - соответствует значению риска 25.

Та?лица 4 содержит описание уровнен рисков. С помощью :тих уровней оцгнивается схпень риска, которому может быть годвержена ИТ-система (отдельный элемент или процедура) в случае, если проявится определенная уязвимость. В таблице приведены так же действия, которые необходимо предпринять в этих слу1 аях.

Таблица 4, Шкала рисков

Уровен з риска Описание риска и необходимые действия

Низкий (приемлем ый) Если сведе -шя расцениваются кап низкий риск, необходимо определить существует ли необходимо'лъ в корректирующих действиях тли есть возможность принять риск.

Средний Если сведения расцениваются как средний риск, необходимо разработать и применить план корректирующих дейспий в течение приемлемого периода вре лени.

Высокий Если полученные сведения расцгниваются как высокий риск, то возникает настоятельная необходимо'лъ в коэректирующтх действиях. Система может продолжать работу, но корректирующий план действии необход тмо применить как можно бь стрее.

Критический Система находится в критическом положении. Уровень р* ска имеет критическое значение для основных бизнес процессов. Необходшо незамедлительно принять меры пэ уменьшению риска.

Очень высокий (недопустимый) Уровень риска имеет очень высокий уровень, который яв.шется недопустимым д.ш организации. Необходимс остановить использование ИТ-системы и принять ргдикальные меры по уменьшению рис са.

В ¡V еханизме не теткого вывода такой способ получения оценок риска

может быть представле* с помощью следующих 1равил:

Входные данные:

•Р(у) - вероятность успешной реализации атаки от (1-го) источ! ика угроз по (]-п) уязвимости;

- величина ущерба от успешно? атаки от 1-го) источника угроз по 0-ц) уязвимости (шкала угр эз содержит пять уровне!).;

Высодные данные:

•Щу) - величина риска от атаки от (1-го) источника угроз по I]-й) уязвимости

Привила выводе .

• ЕСЛИ р[(Р<у)]*ц[8(У)] =<3 ТО И(у;= Н;

• ЕСЛИ 3 < р[(Р(у)]*ц[8(у)]=<6 ТОБ.(у)= С;

• ЕСЛИ В =< ц[(Р(у)]*м[ЯОо)]=<12 ТО Я(у)= В;

• ЕСЛИ 15=< 3(1"^)]=<20 ТО 11(1,])= К;

- ЕСЛИ ц[(Р<Ш*й[8(Щ =25 ТО Б1(у)= О.

В ;ти правила достаточно просто можно ввести условия и другие переменны!;, которые необходимо учесть при определении величины риск1.

Этгп 8; Рекомендации по контролю. Данный этгп обеспечивает средства контроля, которые могут снизить \ ли устраь ить идентифицированные р«жи и которые являются подходящими для данной компании. Целью рекомендуемых методов котгроля является понижение уровня рисков для ИТ-с гетемы и ее данных до пр иемлемого уровня.

Этгп 9: Оформление итоговых документов. После завершения оценки рисков (идентифицированы угрозы и уяз зимости, оценены ри;ки, рекомендованы средстЕа контроля) следует предоставить документацию в виде официального отчета или кратких инструкций.

В заключении пршедены основные резуштаты исследования и полученные вывоцы, их анализ и возможности практического применения.

Список публикаций по теме диссертации

1. Безгузиков Е.П Дубини В.А. Сидоров А.О. Процедура аудита информационной безопасности на основе запросов к службе активного каталога // Сборник трудов 3-й военно-таучной конференции Космических Войск - 2003 г., Санкт-Петербург: издательство Военно-Космическая Академия имени А.Ф. Можа* ского с. 17-2 $

2. Сидоров А. О. Аудит информационно! безопасности. Анализ рисков гафорь ационной безопасности // X научно-прг .ктическая конференция «г,еория и технология программирования и защиты информации» 18 мая 2006 г., Санкт-Петербург - Сборник научных -рудов, сс. 74-7',.

3. Шубин Ю. М., Сидоров А. О. Метод формирования npoi} иля защити автоматизированной банковской системы // Научно-технический 1.естник СПбГУ ИТМЮ № 5i¡ 2008 г., Санкт-Пет< рбург.

4. Сидоров А. О., Торше* ко Ю. А., Павлютенков А. А., Осоесцкнй JI. Г. Разработка методики структурированной оценки риска //Научно-технический вестник СПбГУ ИТМО Jft 55 2008 г., Санкт-Пет< рбург.

Тиражирование и брошюровка выполнены в Цен-ре "Университетские Телекоммуника Санкт-Петеэбург, Крошеркский пр., 49. Тел. (811) 233-46-69. Ликоя^ЛДЛ №69-182 от26.11.96 Тираж 100эьз

СПИСОК УСЛОВНЫХ СОКРАЩЕНИЙ.

ВВЕДЕНИЕ.

ГЛАВА 1. МЕТОДЫ И СРЕДСТВА ОЦЕНКИ ТЕКУЩЕГО

УРОВНЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.

1.1. Обзор методик управления информационными рисками.

1.2. Стандарты в области информационной безопасности.

1.3. Методы оценки затрат и инвестиций в информационную безопасность.

ГЛАВА 2. МОДЕЛЬ СТРУКТУРИРОВАННОЙ ОЦЕНКИ РИСКА ПРИ ПОСТРОЕНИИ СИСТЕМЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.

2.1. Методы и средства оценки текущего уровня и информационной безопасности (в том числе на соответствие стандартам).

2.2. Аудит информационной безопасности.

2.3. Модель системы информационной безопасности.

2.4. Проектирование системы обеспечения информационной безопасности.

2.5. Применение механизма нечеткого вывода для структурированной оценки риска.

ГЛАВА 3. МЕТОД ВЫПОЛНЕНИЯ АНАЛИТИЧЕСКИХ РАБОТ ПО

СТРУКТУРИРОВАННОЙ ОЦЕНКЕ РИСКОВ.

3.1. Этап 1: Сбор сведений и описание системы.

3.2. Этап 2: Идентификация источников угроз.

3.3. Этап 3: Идентификация уязвимостей.

3.4. Этап 4: Анализ контроля безопасности.

3.5. Этап 5: Определение вероятности.

3.6. Этап 6: Анализ воздействия.

3.7. Этап 7: Определение риска.

3.8. Этап 8: Рекомендации по контролю.

3.9. Этап 9: Оформление итоговых документов.

Актуальность. Бурное внедрение информационных технологий в структуры современных организаций стало объективной реальностью. Нам всех управленческих уровнях имеется желание расширить свои коммуникационные и информационные возможности за счет внедрения современных информационных технологий. В результате информационные структуры организаций разрастаются: локальные сети организаций подключаются к Internet, объединяются в офисные многоярусные структуры, разрастаются до уровня распределенных корпоративных сетей.

Внедрение средств вычислительной техники в структуру управления современных предприятий и организаций является, безусловно, прогрессивным процессом, поэтому вполне объяснимо, что до определенного момента не возникает вопросов и опасений, связанных с использования информационных технологий. Следствием этого часто является стихийный рост информационной инфраструктуры организации, которая по мере приобретения средств вычислительной техники разрастается «вширь», приобретая неструктурированный гетерогенный характер. Это в свою очередь приводит к неконтролируемому росту уязвимостей системы и увеличению возможностей доступа к управленческой и производственной информации со стороны внешних и внутренних нарушителей. ИС становится потенциально опасной для своих собственников, своего рода «миной замедленного действия».

До определенного момента не возникает вопросов и об оценке величины риска, рост которого следует рассматривать как обратную сторону процесса информатизации. Проблема усугубляется тем, что вопросы информационной безопасности, обычно, отдаются на откуп специалистам по информационным технологиям, которые часто не в состоянии определить реальных последствий для организации угроз информационной безопасности. Менеджеры предприятия, которые могли бы оценить реальные последствия угроз, часто имеют недостаточных знаний в области информационных технологий, чтобы оценить связанные с этим риски.

Таким образом, в организации часто не оказывается специалиста, который мог бы оценить реальные риски, связанные с использованием информационных технологий, хотя, очевидно, что оценка риска нужна не только с точки зрения безопасности уже сложившейся инфраструктуры, но и для правильной оценки перспектив использования и развития информационных технологий. Более того, своевременную оценку риска следует рассматривать не только как функцию управления ИС, но и как защиту организации в целом, ее способности выполнять свои функции. Следовательно, процесс управления рисками следует рассматривать не как техническую функцию, которую можно поручить техническим специалистам, а как основную управляющую функцию организацию. согласно современным международным стандартам в области ИБ подсистема управления рисками ИБ должна быть обязательным компонентом общей системы обеспечения информационной безопасности организации.

Целью работы является получение структурированной оценки рисков состояния ИБ в ИС на предприятиях и в организациях.

Объектом исследования данной работы являются ИС предприятий, обладающие гетерогенной многоуровневой структурой.

Предмет исследования составляют методы и модели аналитических исследований, позволяющие произвести оценку рисков состояния ИБ в объекте исследования.

Научная новизна работы состоит в том, что на основе разнородных методов оценки рисков ИБ, анализ которых был проведен в рамках данной работы, был разработан структурированный подход к решению проблемы ИБ в ИС, обладающих сложной инфраструктурой.

Практическая ценность работы заключается в том, что работа определяет способ получения качественных и количественных оценок величин риска с максимальными возможностями учета априорных данных и результатов предварительных исследований характеристик и свойств ИС. Полученные оценки риска могут быть использованы при разработке Концепции обеспечения ИБ на этапе формирования ИС и для поддержания уровня риска на приемлемом уровне на этапе эксплуатации ИС.

Данная работы может быть полезна аналитиком в области информационной безопасности, у которых возникает задача обобщения большого количества данных о характеристиках и свойствах исследуемой системы специалистам, эксплуатирующим ИС или отвечающим за состояние ИБ, для контроля и поддержания допустимого уровня безопасности. Она рекомендуется также менеджерам для определения объема и стоимости работ по оценке рисков.

Краткий обзор содержания работы:

В первой главе рассмотрены основные методы и средства оценки текущего уровня информационной безопасности: дан обзор методов и методик управления информационными рисками, рассмотрены стандарты в области информационной безопасности и методы оценки затрат и инвестиций в информационную безопасность.

Во второй главе предлагается модель структурированной оценки риска при построении системы информационной безопасности, позволяющая, вне зависимости от метода оценки затрат и инвестиций, создать эффективную и экономически оправданную систему защиты информации.

В третьей главе описывается метод выполнения аналитических работ по структурированной оценке рисков.

В заключении приведены основные результаты исследования и полученные выводы, их анализ и возможности практического применения.