Содержание к диссертации
Введение
ГЛАВА 1. Система менеджмента информационной безопасности банка
1.1.Современная интерпретация понятий информационной безопасности и риска информационной безопасности 14
1.2. Анализ системы менеджмента информационной безопасности 24
1.3. Анализ системы менеджмента риска информационной безопасности 32
1.4. Источники угроз информационной безопасности 43
1.5. Методики оценки рисков нарушения информационной безопасности 55
Выводы по главе 1
ГЛАВА 2. Разработка модели оценки риска нарушения информационной безопасности на основе применения аппарата нечеткой логики
2.1. Построение модели оценки риска нарушения информационной безопасности с использованием аппарата нечеткой логики 66
2.2. Построение модели оценки риска нарушения информационной безопасности с использованием нечеткой логики на основе рекомендаций в области стандартизации Банка России PC БР ИББС-2.2-2009 74
2.3. Формирование поверхности нелинейного вида в нечеткой модели оценки риска информационной безопасности 80
2.4. Повышение точности моделей оценки риска нарушения информационной безопасности 86
Выводы по главе 2
ГЛАВА 3. Реализация модели оценки риска нарушения информационной безопасности с использованием нечеткой логики
3.1. Оценка риска нарушения информационной безопасности по модели нечеткой логики с корректировкой параметров ее терм-множеств 92
3.2. Исходная поверхность модели оценки риска нарушения информационной безопасности с использованием нечеткой логики 102
3.3. Вычисление аппроксимирующей поверхности по минимуму интегрального критерия 111
3.4. Использование многомерной оптимизации для коррекции поверхности нечеткой модели оценки риска нарушения информационной безопасности 119
3.5. Практическая реализация модели оценки риска
нарушения информационной безопасности 126
Выводы по главе 3
Заключение 134
Список литературы
- Анализ системы менеджмента информационной безопасности
- Источники угроз информационной безопасности
- Построение модели оценки риска нарушения информационной безопасности с использованием нечеткой логики на основе рекомендаций в области стандартизации Банка России PC БР ИББС-2.2-2009
- Вычисление аппроксимирующей поверхности по минимуму интегрального критерия
Анализ системы менеджмента информационной безопасности
Банки осуществляют свою деятельность путем реализации совокупности следующих процессов [35]: - основные процессы, обеспечивающие достижение целей и задач организации БС РФ. - вспомогательные процессы, обеспечивающие качество, в том числе обеспечение ИБ организации БС РФ; - процессы менеджмента (управления), обеспечивающие поддержку параметров основных и вспомогательных процессов в заданных пределах и их корректировку в случае изменения внешних или внутренних условий.
Такое разделение процессов является достаточно условным, так как основные и вспомогательные процессы образуют единое целое. В частности, выполнение мер информационной безопасности является составной частью большинства основных процессов. И, соответственно, без надлежащего функционирования вспомогательных процессов, создающих своеобразный «кредит доверия» невозможно качественное исполнение основных процессов.
Любые банковские процессы неразрывно связаны с необходимостью обеспечения безопасности и управления рисками. Фактически, защита информации рассматривается сейчас как бизнес-процесс, рассчитанный на долгосрочную перспективу и обеспечивающий процветание и победу в конкурентной борьбе. Теоретическим фундаментом здесь являются исследования в области изучения, моделирования и прогнозирования риска .
Бизнес-процесс обеспечения банковской безопасности состоит из нескольких уровней, имеющих большое значение для построения комплексной системы обеспечения безопасности:
Маслов О.Н., Реинжениринг бизнес-процесса обеспечения корпоративной безопасности //Защита информации. Inside, № 6, 2011, СС. 18-28 - законодательный - организационный - программно-технический. Законодательный - работа банков связана с обязательных исполнением многочисленных законодательных требований и необходимостью обеспечивать безопасность совершаемых банковских операций. Можно выделить, например, такие документы, как: Гражданский кодекс РФ [1], Уголовный кодекс РФ [2], Федеральный закон «О банках и банковской деятельности» № 395-1 от 02 декабря 1990 г. [3], Федеральный закон РФ «О коммерческой тайне» № 98-ФЗ от 29 июля 2004 г. [5], Федеральный закон РФ «Об информации, информационных технологиях и о защите информации» № № 149-ФЗ от 27 июня 2006 г. [6],. Использование современных технологий также нашло свое отражение в законодательстве. Такие законы, как ФЗ «О персональных данных» от 27 июля 2006 г. № 152-ФЗ [7], ФЗ «Об электронной подписи» от 06 апреля 2011 г. № 63-ФЗ [8], ФЗ «О национальной платежной системе» от 27 июня 2011 г. № 161-ФЗ [9], оказывают существенное влияние на работу банков.
Организационный - действия общего характера, предпринимаемые руководством и персоналом банка. Это очень важное направление обеспечения безопасности банков, поэтому, отдельные вопросы данного направления будут рассмотрены в разделе 1.4.
Программно-технический - конкретные технические меры, реализуемые для достижения необходимого уровня безопасности.
Существует большое количество определений понятия «Информационная безопасность». Одно из наиболее актуальных - определение из Британского стандарта BS ISO/IEC 17799:2005 BS 7799-1:2005 «Информационные технологии - Методы обеспечения безопасности - Практические правила управления информационной безопасностью» [32]: «Информационная безопасность - это защита информации от широкого спектра угроз с целью обеспечения непрерывности бизнеса, минимизации биз нес риска, максимизации прибыли на инвестированный капитал и возможностей для бизнеса».
Банк России определяет информационную безопасность [35], как безопасность, связанную с угрозами в информационной сфере, т.е. это обеспечение защищенности совокупности свойств ИБ (доступности, целостности, конфиденциальности информационных активов).
ГОСТ Р ИСО/МЭК 13335-1 — 2006 «Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий. Национальный стандарт Российской Федерации» [18], так же как и ГОСТ Р ИСО/ТО 13569-2007» Финансовые услуги. Рекомендации по информационной безопасности. Национальный стандарт Российской Федерации» [21] рассматривает информационную безопасность более широко - как все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации или средств ее обработки.
Стандарты BS КОЛЕС 17799:2005 BS 7799-1:2005 [32] и BS КОЛЕС 27001:2005 BS 7799-2:2005 «Информационные технологии - Методы обеспечения безопасности - Системы управления информационной безопасностью -Требования» [33] понимают под информационной безопасностью обеспечение конфиденциальности, целостности и доступности информации; дополнительно также могут подразумеваться другие свойства, такие как аутентичность, подотчетность, неотказуемость и надежность.
То есть фактически можно дать следующее общее определение информационной безопасности - обеспечение защищенности интересов (целей) организации в условиях информационных угроз.
Источники угроз информационной безопасности
Данные, на основании которых проводится оценка СВРК0Л угроз ИБ, и ее результаты документируются. Оценки СТПК0Л нарушения ИБ формируются экспертно путем перевода качественных оценок СТП нарушения ИБ, полученных в рамках выполнения процедуры 5, в количественную форму в соответствии со следующей рекомендуемой шкалой (табл. 1.5.3):
Количественные оценки рисков нарушения ИБ вычисляются для всех свойств ИБ выделенных типов информационных активов и всех соответствующих им комбинаций объектов среды и воздействующих на них источников угроз путем перемножения оценок СВРК0Л угроз ИБ и СТПК0Л нарушения ИБ. Результаты количественной оценки рисков нарушения ИБ документально фиксируются. Суммарная количественная оценка риска нарушения ИБ организации БС РФ вычисляется как сумма количественных оценок по всем отдельным рискам нарушения ИБ. Размер резерва на возможные потери, связанные с инцидентами ИБ, рекомендуется принимать равным суммарной количественной оценке риска нарушения ИБ.
Метод CRAMM разработан английской Службой Безопасности. Является государственным стандартом Великобритании (BS 7799-3:2006 «Системы управления информационной безопасностью. Часть 3: Руководство по управлению рисками информационной безопасности» [31]). Здесь кроме потенциального ущерба и вероятности реализации угрозы, оценивается степень уязвимости информационной системы. Входные параметры оцениваются по пятиуровневым шкалам, а для оценки риска используется девятиуровневая шкала целых чисел от 0 до 8. Методика оценивания риска CRAMM позволяет анализировать большее количество параметров по более точным шкалам. Матрица с величиной риска представлена в таблице 1.5.4. [31].
Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности. Рекомендации в области стандартизации Банка России PC БР ИББС-2.2.-2009 [39].
Финансовые услуги. Рекомендации по информационной безопасности. Национальный стандарт Российской Федерации ГОСТ Р ИСО/ТО 13569-2007 [21]. Большинство методик ОРНИБ основано на табличных методах и использовании качественных оценок. Такой подход является идеальным для применения аппарата нечеткой логики для оценки рисков ИБ.
При использовании нечеткой логики качественные оценки используются в большей степени для формирования базы правил логического вывода. В данной методике также необходимо (если требуется для более точной оценки результата) вводить количественное значение переменной. Однако это не является обязательным (оно "привязано" к качественному терм-множеству). Кроме того, при отсутствии более или менее точных количественных данных (на краях диапазона или в специфическом диапазоне) эксперт может пользоваться качественной оценкой.
Нечеткая логика позволяет создать более гибкую структуру модели, изменить число градаций переменных и изменить границы расположения качественных оценок на количественной оси переменных входа и выхода модели.
Методика PC БР ИББС-2.2.-2009 предлагает линейную зависимость выходной переменной от входных. Она выражается простым произведением одного входа на другой, что показывает лишь частный случай из множества всех закономерностей для разных объектов исследования. Эти закономерности могут быть нелинейными с разной степенью и знаком кривизны (а также с несколькими точками смены знака кривизны). Аппарат нечеткой логики позволяет получить поверхность (как графическое отражение внутренней структуры модели) любой формы.
В этой разделе мы рассмотрели основные преимущества нечеткой логики для оценки рисков ИБ и примеры методик ОРНИБ, в следующей главе будет показано моделирование ОРНИБ с помощью нечеткой логики. Выводы по главе 1
Рассмотрены теоретические подходы к построению системы менеджмента информационной безопасности и системы менеджмента риска информационной безопасности, положение системы менеджмента информационной безопасности в общей системе менеджмента банка. Проанализированы вопросы реинжиниринга бизнес-процессов обеспечения безопасности, предложен альтернативный вариант развития данного направления.
. Для повышения качества управления операционными рисками и рисками информационной безопасности проведен анализ источников угроз данных рисков, что позволило определить общие факторы, влияющие на формирование данных рисков.
. Обоснована необходимость введения нового класса источников угроз информационной безопасности кредитных организаций, связанных с возможным нарушением технологии использования их организационно-методического обеспечения. Учет этого источника угроз ИБ позволяет выработать дополнительные меры по защите конфиденциальной информации клиентов. Также выработаны общие рекомендации по организационным мерам уменьшения других рисков информационной безопасности в кредитных организациях.
. Изложена аргументация по построению модифицированных моделей оценки риска нарушения информационной безопасности с использованием аппарата нечеткой логики, который позволяет расширить границы их применения по сравнению с существующими подходами, в частности методикой оценки
Основы нечеткой логики приведены в приложении Применение аппарата нечеткой логики будет рассмотрено на примере использования двух входных параметров: вероятность наступления ущерба и стоимости ущерба, имеющих пять уровней (на основе методики CRAMM, описанной выше). Используя данную методику, шкалу для оценки риска зададим в виде последовательности чисел от 0 до 8 включительно. Предполагается, что оценки входных переменных получаются на основании диагностических тестов или экспертных оценок. Для моделирования использовался специализированный пакет Fuzzy Logic системы MATLAB 6.1.
Построение модели оценки риска нарушения информационной безопасности с использованием нечеткой логики на основе рекомендаций в области стандартизации Банка России PC БР ИББС-2.2-2009
Для получения НМ удобнее всего использовать представление этой модели в виде трехмерной поверхности, которая однозначно описывает модель НЛ при различных значениях входных переменных, а также их комбинациях. Напомним, что входными переменными данной модели будут являться СТП и СВР, имеющие нормированные диапазоны от 0 до 1. В связи с тем, что выходная переменная «Риск», также представлена на нормированном диапазоне от О до 1, поверхность модели будет заключена в единичный кубический объем. Для визуального представления такой поверхности по окончанию расчетов будет представлен трехмерный график в изометрической проекции, а также таблица, в которой выходные значения модели автоматически выделяются цветами от желтого до красного различной интенсивности, представляя подобие цветового поля температур. По подобному градиентному раскрашиванию отдельных зна-чений таблицы легко визуально оценить равномерность и плавность изменения значений модели, что и является целью ее дальнейшей оптимизации [62].
Графическая и табличная интерпретация модели частично используется для автоматических вычислений в программе (база данных модели и значений ячеек таблицы), а также для визуального контроля адекватности модели, степени гладкости ее поверхности, сохранение прозрачности модели (трехмерная поверхность). Алгоритм процесса представлен на рис. 3.2.2.
. Основными начальными коэффициентами модели являются аналоги дисперсии и математического ожидания ФП входов и выхода, представленные гауссовыми кривыми. По входной переменной ущерб вводится по 2 коэффициента (Ха, Хк) для каждой из 4-х ФП. По входной переменной «СВР» по 2 коэффициента (Ya, Yk) для каждой из 5-й ФП. Выходная переменная «Риск» также имеет по 2 коэффициента (Za, Zk) для 2-х ФП. Остальные начальные значения процедуры вычисления поверхности задают шаг изменения входных переменных X и Y на нормированных диапазонах от 0 до 1.
. Для каждого значения переменных X и Y (СТП, СВР), изменяющихся в общем цикле с заданным ранее шагом для каждого из их терм-множеств вычисляются значения Xb (Yb) по формулам Гаусса.
Функция агрегирования множеств является аналогом логической операции И и математически выражается в выборе минимального значения среди переменных ХЬ и Yb. Таким образом, данная процедура дает пересечение множеств, которое будет эквивалентно минимальному из комбинаций значений. Процедура пересечения множеств (т.е. выбор минимального значения из пары чисел ХЬ и Yb повторяется не для всех комбинаций терм-множеств входных переменных, а только для тех, которые заданы в правилах логического вывода). Таким образом, мы имеем 20 правил и, соответственно, 20 значений Zb.
Из 20 значений Zb выбирается одно максимальное по тем комбинациям правил, которые связаны с первым термом выходной переменной. Например, в соответствии с правилом: Если «СТП»=Низкий И «СВР» = Низкий ТО «Риск» = Допустимый. В таком случае, для всех комбинаций переменный СВР и СТП, которые дают одинаковое значение выходной переменной Риск, равное «Допустимый», алгоритм должен выбрать максимальное значение Zb. Аналогичная процедура, описанная в п. 4 повторяется для тех комби наций входных переменных, которые правила связывают со вторым терм множеством выходной переменной «Риск». Таким образом, получается 2 мак 106 симальных переменных по всем комбинациям входных переменных модели, как для первого, так и для второго терм-множества выходной переменной.
Для выходной переменной «Риск» строится плоская фигура, являющаяся пересечением следующих множеств: ФП «Допустимый» и «Недопустимый» риски, а также максимальные значения Zb по данным функциям, полученные в предыдущих пунктах 4 и 5. Результатом вычислений является плоская фигура сложной формы, состоящая из отрезков гауссовых кривых ФП выходной переменной, а также прямых, параллельных оси X, являющихся описанными ранее максимумами.
Процедуры поиска минимальных значений (п. 2 и 3) и максимальных значений (п. 4 и 5) представляют собой так называемую комбинацию min-max.
Искомое значение выходной переменной находится как центр тяжести полученной плоской фигуры. Суть метода центра тяжести заключается в смещении координаты вдоль оси Z (относительно координаты центра тяжести прямоугольной фигуры, равной по площади полученной плоской фигуре) пропорционально единичным площадям, составляющим плоскую фигуру. Из этого видно, что недостатком данного метода является невозможность совпадения координаты центра тяжести с началом или концом диапазона переменной Z.
Описанный в предыдущем пункте недостаток метода центра тяжести выражается в том, что при граничных значениях входных переменных выходная переменная все равно определяется как центр тяжести некоторой плоской фигуры. Следовательно, она не может совпадать с началом или концом диапазона Z. Однако, учитывая что данный эффект не изменяет логические правила модели, а также физические закономерности, описываемые этими правилами, метод центра тяжести приводит лишь к сужению диапазона выходной переменной. Это компенсируется предложенным способом линейного масштабирования выходного диапазона после нахождения максимального и минимального значения выходной переменной.
Вычисление аппроксимирующей поверхности по минимуму интегрального критерия
Нарушение электропитания. Компания Amazon сообщила, что их дата-центр в ирландском Дублине был временно отключен из-за удара молнии в здание, где расположено оборудование. По той же причине был обесточен и соседний датацентр корпорации Microsoft. На восстановление работоспособности ушло несколько часов.
Класс 2. Источники угроз ИБ, связанные с деятельностью террористов и лиц, совершающих преступления и правонарушения.
Большое число преступлений совершается против сотрудников и клиентов банка с использованием методов социального инжиниринга.
Компания Cisco3 провела исследование персонализированных атак. Согласно статистике Cisco ущерб, наносимый атаками с помощью электронных писем, адресованных конкретным лицам организаций, во всем мире составляет $1,29 миллиардов в год.
В исследовании систем ИТ-безопасности американского Департамента внутренней безопасности4 говорится, что ИТ-злоумышленники постепенно уходят от массовых кампаний, предпочитая индивидуальные рассылки и целевые атаки. Одним из значительных трендов стали атаки на руководителей высшего звена, которые по роду своей деятельности обладают значительном доступом к информации, что является наиболее притягательным для хакеров моментом.
Компания Leta в пятом ежегодном исследование "Рынок информационной безопасности 2010: New Generation"5 включила социальный инжиниринг в пятерку самых распространенных угроз безопасности 2010-2011 гг. облачных технологий и т.д. На этот класс угроз обращают большое внимание, как Банк России, так и другие организации. Например, австралийская спецслужба6, которая отвечает за безопасность в сфере коммуникаций, Defence Signals Directorate (DSD), выпустила документ, предупреждающий государственные учреждения о возможных рисках, возникающих при использовании облачных технологий. Основное внимание уделено вопросам определения уровня надежности потенциального поставщика облачных услуг. Не рекомендуется передавать в облако критически важные или конфиденциальные данные, недоступность или утечка которых могут нанести серьезный урон бизнес-процессам. Также рекомендуется выяснять на территории какой страны будут храниться и обрабатываться данные, в том числе, в случае выхода из строя дата-центров и возможного переноса данных на резервные мощности.
McAfee7 советует компаниям обращать пристальное внимание на защиту сетей поставщиков от атак, а также заранее планировать простои и карантины. Необходимо обращать внимание на то, что участились случаи поставки высо-котехнологисного копьютерного оборудования с вирусами. Неоднократно появлялась информации о выявлении вирусов в устройствах самообслуживания.
Компания Aveksa8 в исследовании, проведенном с целью изучения вопросов безопасности при переходе к хранению конфиденциальных приложений и данных к внешним облачным провайдерам, установила, что многие компании недооценивают расходы, связанные с нарушениями безопасности.
В настоящее время банки активно используют услуги различных подрядных организаций. Например, для Royal Bank of Scotland в таких сферах, как кадровые ресурсы и управление рисками работают около 3 тыс. человек, работающих на примерно 800 фирм. Так как это не собственные сотрудники, банки не в состоянии обеспечить необходимый контроль за работой поставщиков услуг, которым часто нет необходимости так же строго относиться к требованиям безопасности как банкам.
Citibank сообщил в августе 2011 года10 об утечке информации из его японского подразделения. Хакеры похитили данные о 92 408 клиентах компании в Японии. Взломаны были не сами внутренние системы безопасности банка, а ИТ-системы некоего третьего подрядчика, через которые были получены данные о банковских картах Citibank.
К этому же классу угроз относятся ошибки в обеспечении безопасности информационных систем на стадиях жизненного цикла. Компания Appercut Security11, портал SecurityLab.ru и журнал «Информационная безопасность» провели исследование «Скрытая угроза: недекларированные возможности биз 6 Спецлужбы Австралии обеспокоены безопасностью облачных сервисов //URL. www. itgator.ru ( дата обраще
Источники угроз ИБ, связанные со сбоями, отказами, разрушениями/повреждениями программных и технических средств.
Сбои и отказы технических средств и каналов связи. В исследовании, проведенном организацией Ponemon Institute на базе центров обработки данных, расположенных в США, отмечено, что за последние два года произошло 2,5 полных выхода ЦОД из строя. За это же время частичные выходы ЦОД из строя или перебои в работе всего нескольких стоек имели место 6,8 раз.
В ходе недавнего исследования, проведенного организацией Ponemon Institute13, было установлено, что стоимость одной минуты простоя ЦОД может превышать 5000 долларов США. Для предприятий, бизнес которых в значительной степени зависит от способности ЦОД предоставлять информационные и сетевые услуги клиентам, стоимость простоев особенно высока и может достигать 1 млн. долларов за один инцидент (то есть более 11 000 долларов за минуту).
По результатам независимых исследований в случае преднамеренных или случайных действий системного администратора, вирусной атаки или аппаратного сбоя только 15% банков могут восстановить операционную деятельность в тот же день. Остальным 85% для восстановления понадобится порядка 4-х дней .
Нарушения функциональности криптографической системы. Затраты компании RSA Security, утратившей данные о ключах идентификации SecurelD составили до 100 млн. долларов15.
По данным исследования организации Electronic Frontier Foundation16, по меньшей мере, четыре центра сертификации (SSL) сообщили о том, что были взломаны в последние месяцы. Взлом всего лишь одного центра позволяет мошенникам заполучить цифровые сертификаты, которые Google Mail, Skype или другие сервисы используют для шифрования гигабайтов "чувствительного" трафика и для доказательства аутентичности своих серверов.
