Содержание к диссертации
Введение
1. Риски безопасности информационной системы 13
1.1. Задача анализа и управления рисками 13
1.2. Обзор стандартов в области ИБ 16
1.3. Технологии анализа и управления рисками 25
1.4. Показатели оценки экономической эффективности ИБ 31
1.5. Инструментальные средства анализа рисков 35
1.5.1. Инструменты базового уровня 36
1.5.2. Инструменты управления рисками 37
Выводы по главе 46
2. Разработка метода анализа и управления рисками .. 48
2.1. Проблемы анализа рисков 48
2.2. Этапы построения системы защиты 49
2.3. Угрозы безопасности информации 53
2.4. Классификация потенциальных нарушителей 56
2.5. Формализация процедуры расчета и управления рисками 64
2.5.1. Основные принципы 64
2.5.2. Процедура анализа рисков 66
2.6. Получение и обработка экспертных оценок 77
Выводы по главе 83
3. Разработка инструментальной системы управления рисками 85
3.1. Функциональные задачи системы 85
3.2. Структура информационной системы 89
3.3. Разработка структуры предметной области 92
3.3.1. Информационное поле данных 92
3.3.2. Описание предметной области 94
3.4. Порядок работ с инструментальной системой 100
Выводы по главе 105
4. Внедрение результатов работы 107
4.1. Объект исследования 107
4.2. Выявление и характеристика реальных угроз 108
4.2.1. Значимые ресурсы ИВС 108
4.2.2. Выбор реальных угроз для анализа 122
4.3. Исходные данные для анализа рисков 124
4.3.1. Основные параметры 124
4.3.2. Средства защиты 126
4.3.3. Статистические данные 127
4.3.4. Экспертные оценки 129
4.4. Проведение анализа рисков ИБ для ИВС МЭИ 131
4.4.1. Адаптированный алгоритм оценивания 131
4.4.2. Результаты и их интерпретация 134
4.5. Примеры выполнения анализа рисков по конкретным противникам. 141
Выводы по главе 157
Заключение 159
Литература 161
Приложения 169
- Показатели оценки экономической эффективности ИБ
- Классификация потенциальных нарушителей
- Функциональные задачи системы
- Значимые ресурсы ИВС
Введение к работе
Актуальность.
В настоящее время организация эффективной системы защиты информационной системы становится критически важным стратегическим фактором развития любой компании. По сути, информация является одним из ключевых элементов бизнеса. При этом под информацией понимаются не только статические информационные ресурсы (базы данных, текущие настройки оборудования и другие), но и динамические информационные процессы обработки данных.
Главной целью любой системы защиты является обеспечение устойчивого функционирования объекта, предотвращение угроз его безопасности, защита законных интересов организации от противоправных посягательств, недопущение хищения финансовых средств, разглашения, утраты, утечки, искажения и уничтожения служебной информации, обеспечение нормальной производственной деятельности всех подразделений. Для разработки системы защиты необходимо решить следующие основные задачи [1]:
- классифицирование информации, отнесение информации к категории
ограниченного доступа (служебной тайне);
прогнозирование и своевременное выявление угроз безопасности информационным ресурсам, причин и условий, способствующих нанесению финансового, материального и морального ущерба, нарушению его нормального функционирования и развития;
создание условий функционирования с наименьшей вероятностью реализации угроз безопасности информационным ресурсам и нанесения различных видов ущерба;
- создание механизма и условий оперативного реагирования на угрозы
информационной безопасности и проявления негативных тенденций в
функционировании, эффективное пресечение посягательств на ресурсы на
5 основе правовых, организационных и технических мер и средств обеспечения
безопасности;
- создание условий для максимально возможного возмещения и локализации ущерба, наносимого неправомерными действиями физических и юридических лиц, ослабление негативного влияния последствий нарушения информационной безопасности на достижение стратегических целей;
повышение экономической эффективности системы защиты, соизмерение выделяемых средств с коммерческой ценностью закрываемой информации.
Информационная среда организации, вне зависимости от своего состава, должна предусматривать систему защиты. Однако затраты на обеспечение высокого уровня безопасности могут быть неоправданны. Нахождение разумного компромисса и выбор приемлемого уровня защиты при допустимых затратах является важным условием постановки задачи обеспечения ИБ. Для решения этого вопроса необходимо проводить анализ рисков ИБ, позволяющий оценить существующий уровень защищенности ресурсов организации. Значение риска, являющееся произведением вероятности реализации угрозы по отношению к защищаемому ресурсу на ущерб от реализации данной угрозы, служит показателем полноты, комплексности и эффективности системы ИБ организации, а также позволяет выявить ее слабые места.
Существуют различные способы проведения оценки рисков. Они отличаются методами оценивания их составляющих - вероятности и ущерба. Наиболее распространено использование экспертных оценок в совокупности с балльными шкалами значений, что затрудняет трактовку результатов расчетов. Эффективность анализа рисков снижает также рассмотрение типовых угроз ИБ применительно к конкретной организации с характерными для нее информационными, ресурсами. В связи с этим обстоятельством актуальной является задача разработки метода анализа и управления рисками, опирающегося на показатели, пригодные для количественной экспертной оценки. При этом оценки необходимо получать в денежном выражении, что
позволило бы использовать строгие формулы для расчетов и адекватно интерпретировать результаты.
Важным также является вопрос, какой объем средств следует тратить на внедрение, поддержание и модификацию системы ИБ организации. Для ответа на него необходимо использовать некоторый показатель экономической эффективности для оценки выгоды по отношению к затратам. При этом возникает ряд трудностей с интерпретацией экономических показателей для области . ИБ. Решение вопроса формирования адекватного показателя экономической эффективности системы защиты, удобного для оценивания, является на сегодняшний день актуальным.
Целью исследований является разработка метода анализа и управления рисками безопасности с возможностью оценки экономической эффективности системы защиты и вариантов ее модификации.
Основными задачами исследований являются:
Проведение сравнительного анализа основных стандартов, подходов к решению задачи анализа и управления рисками безопасности, критериев оценки экономической эффективности системы защиты, используемых инструментальных программных средств. Выявление ограничений в применении рассмотренных подходов и решений.
Разработка метода анализа и управления рисками с учетом выявленных недостатков существующих подходов и решений.
Разработка показателя оценки экономической эффективности затрат на создание и эксплуатацию системы защиты и вариантов ее модификации.
Реализация разработанных подходов в виде программной инструментальной системы.
Внедрение инструментальной системы в рамках информационно-вычислительной сети МЭИ (ТУ).
7 Объектом исследования являются методы, подходы, инструментальные
средства анализа и управления рисками ИБ организации, а также показатели
оценки экономической эффективности вложений в ИБ.
Методы исследований.
Для решения поставленных задач использовались математические модели оценки рисков, рентабельности, теории информации, теории множеств, методы объединения экспертных оценок. При разработке программной реализации инструментальной системы применялись технологии информационного поля, унифицированный язык моделирования данных UML, объектно-ориентированное проектирование и программирование.
Научная новизна.
Предложен новый метод анализа и управления рисками безопасности информационной системы. Метод оперирует данными только по конкретным (реально действующим) противникам организации с учетом их возможностей, намерений, мотивации на реализацию угроз, что позволяет повысить достоверность исходных данных и результатов анализа.
Проведена классификация и описание типовых информационных носителей и нарушителей ИБ с указанием возможных способов реализации угроз по отношению к защищаемой информации, а также вариантов противодействия, что позволяет аналитику более полно описывать угрозы реально действующего противника.
В качестве оценки выгоды от функционирования системы защиты предложен показатель нериска как произведение вероятности нереализации угрозы на ущерб от ее реализации. Показатель позволяет оценивать экономический эффект на основе имеющихся данных без проведения дополнительного анализа.
8 4) На основе показателя нериска разработан показатель оценки
экономической эффективности системы защиты в виде
рентабельности, который позволяет учитывать специфические
параметры функционирования системы ИБ и действий конкретных
противников.
Достоверность результатов.
Достоверность полученных результатов, сформулированных в диссертации, подтверждается:
непротиворечивостью исходных предпосылок получения конечного результата - показателя рентабельности системы ИБ, выраженного через риски;
результатами внедрения разработанного метода анализа и управления рисками на ИВС МЭИ (ТУ), подтверждающими, что результаты использования метода совпадают с экспертной оценкой специалистов;
апробацией полученных результатов среди квалифицированных специалистов на семинаре Института проблем информационной безопасности МГУ (ноябрь 2007 г.) и на седьмой общероссийской научной конференции «Математика и безопасность информационных технологий» (МаБИТ-2008) (Москва, МГУ, октябрь 2008 г.)
Практическая значимость.
Разработанный метод анализа и управления рисками может быть использован любой организацией для контроля и управления защищенностью значимых ресурсов, но в первую очередь метод предназначен для крупных коммерческих организаций, имеющих службу ИБ, и заинтересованных в нахождении компромисса между затратами, выделяемыми на защиту, и достигаемым уровнем безопасности.
9 Метод реализован в виде инструментальной системы, которая дает
возможность специалистам по информационной безопасности организации:
проводить накопление статистики инцидентов в области ИБ;
описывать структуру информационной системы организации и моделировать различные варианты системы защиты;
оценивать риски ИБ организации на основе статистических данных и экспертных оценок, обрабатываемых с использованием метода групповой оценки объектов;
оценивать экономическую эффективность системы ИБ, используя показатель рентабельности.
Апробация. Материалы диссертации были доложены:
на XIV Международной конференции «Информационные средства и технологии» (Москва, МЭИ (ТУ), октябрь 2006 г.);
на семинаре Института проблем информационной безопасности МГУ (ноябрь 2007 г.);
на XVII Международном научно-техническом семинаре (Алушта, сентябрь 2008 г.);
на седьмой общероссийской научной конференции «Математика и безопасность информационных технологий» (МаБИТ-2008) (Москва, МГУ, октябрь 2008 г.).
Публикации. Основные материалы диссертации были опубликованы в б печатных работах [25], [41], [42], [43], [44], [45].
Структура и объем работы. Диссертация состоит из введения, 4 глав с выводами к ним, заключения, списка литературы и приложения.
Первая глава содержит обзор основных стандартов в области ИБ, существующих теоретических подходов к анализу рисков, показателей,
10 используемых для проведения оценки экономической эффективности систем
ИБ, а также инструментальных средств анализа и управления рисками,
представленных на рынке. В результате были выявлены и сформулированы
достоинства и недостатки существующих подходов и средств, определена
область исследований данной работы.
Вторая глава содержит подробное описание предлагаемого метода анализа и управления рисками. Основное отличие метода от известных заключается в том, что он оперирует данными по конкретным противникам организации, которые существуют на сегодняшний день. В рассмотрении и анализе рисков участвуют только те ресурсы и информация, которые интересует противников, и которые в связи с этим можно оценить денежно. Таким образом, метод в первую очередь адресован крупным, серьезным коммерческим организациям, так как его реализация требует непосредственной заинтересованности руководства, слаженной и оперативной работы службы информационной безопасности, качественной работы по подбору и работе с персоналом. Тем не менее, предлагаемый подход является универсальным, и может быть использован любым предприятием, которому противостоят конкретные нарушители, и требуется защитить совершенно определенную и важную информацию.
Третья глава содержит описание процесса моделирования и разработки инструментальной системы, реализующей предложенный во второй главе метод анализа и управления рисками, а также оценку экономической эффективности системы защиты. Также в данной главе произведено описание порядка работы с инструментальной системой.
Четвертая глава описывает процесс внедрения разработанной инструментальной системы в рамках информационно-вычислительной сети МЭИ (ТУ). В результате были сделаны выводы о том, что существующий
вариант системы защиты от вирусов и спама в ИВС является работоспособным и экономически оправданным. Надежность защиты (уменьшение вероятностей и суммарных рисков) может быть повышена путем усиления антивирусной защиты и добавления дополнительных элементов для фильтрации спама, но при этом нельзя забывать об экономической эффективности этих денежных вложений. Следует изначально спроектировать изменения и просчитать для предполагаемой конфигурации оценки вероятностей, рисков, рентабельности, и после этого обоснованно принимать решения по управлению системой безопасности. Предложенные в результате анализа рекомендации по защите ИВС подтверждаются экспертной оценкой специалистов.
Также в данной главе рассмотрены примеры решения задач анализа и управления рисками по конкретным противникам, иллюстрирующие стратегию разработки экономически выгодной системы защиты с учетом допустимого уровня защищенности, характеризуемой рисками.
В заключении приводятся основные результаты и выводы по работе.
Приложение к диссертации содержит:
акт об использовании результатов диссертации;
структуру предметной области для разработанной инструментальной системы;
примеры способов противодействия угрозам безопасности.
Термины, определения, сокращения
Информационная безопасность (ИБ) - состояние защищенности информации, характеризующееся обеспечением ее секретности, целостности, доступности.
Система защиты - аппаратные средства, программное обеспечение, процессы и процедуры, объединенные для защиты информационных систем организации от внутренних и внешних угроз [31].
ИС — информационная система.
КИС - корпоративная информационная система.
ЛИС - автоматизированная информационная система.
СИБ — система информационной безопасности.
ПН— потенциальный нарушитель.
СБ - служба безопасности.
Политика безопасности организации — совокупность руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые регулируют управление, защиту и распределение ценной информации.
Конкретный (реальный) противник — физическое или юридическое лицо, заинтересованное в настоящий момент времени в осуществлении противоправных действий в отношении организации с целью получения определенной выгоды.
Угроза - совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности информации.
Уязвимость - слабость в системе защиты, которая делает возможным реализацию угрозы.
Риск — произведение оценки вероятности реализации определенной угрозы и оценки возможного ущерба от реализации этой угрозы.
Нериск - (оценка непонесенных потерь владельцем информации от угроз со стороны нарушителя) - произведение оценки вероятности нереализации определенной угрозы и оценки возможного ущерба в случае ее реализации.
Экономическая эффективность — количественно определенная характеристика качества системы с точки зрения соотношения результатов функционирования и затрат, произведенных для их получения и использования.
Показатели оценки экономической эффективности ИБ
Оценка рисков — первый этап в управлении системой информационной безопасности, предназначенный для идентификации источников рисков и определения его уровня значимости. Оценку разбивают на анализ рисков и оценивание рисков.
В рамках анализа проводится инвентаризация и категоризация защищаемых ресурсов, выясняются нормативные, технические, договорные требования к ресурсам в сфере ИБ, а затем с учетом этих требований определяется стоимость ресурсов. В стоимость входят все потенциальные затраты, связанные с возможной компрометацией защищаемых ресурсов. Следующим этапом анализа рисков является составление перечня значимых угроз и уязвимостеи для каждого ресурса, а затем вычисляется вероятность их реализации.
Оценивание риска проводится путем его вычисления и сопоставления с пороговыми значениями. Вычисление риска состоит в умножении вероятности компрометации ресурса на значение величины ущерба, связанного с его компрометацией. После того как риск оценен, должно быть принято решение относительно его обработки — точнее, выбора и реализации мер и средств по минимизации риска. Помимо оцененного уровня риска, при принятии решения могут быть учтены затраты на внедрение и сопровождение механизмов безопасности, политика руководства, простота реализации, мнение экспертов и другие. Возможны следующие меры обработки риска (по BS 7799). 1) Уменьшение риска. Риск считается неприемлемым, и для его уменьшения выбираются и реализуются соответствующие меры и средства защиты. 2) Передача риска. Риск считается неприемлемым и на определённых условиях (например, в рамках страхования, поставки или аутсорсинга) переадресуется сторонней организации. 3) Принятие риска. Риск в конкретном случае считается допустимым. Обычно это означает, что стоимость контрмер значительно превосходит финансовые потери в случае реализации угрозы либо организация не может найти подходящие меры и средства защиты. 4) Отказ от риска. Отказ от бизнес-процессов организации, являющихся причиной риска (например, отказ от электронных платежей по Internet). В результате обработки риска остается так называемый остаточный риск, относительно которого принимается решение о завершении этапа отработки риска. Для контроля риска рекомендуются технические меры (мониторинг, анализ системных журналов и выполнения проверок), анализ со стороны руководства, независимые внутренние аудиты ИБ. Фаза оптимизации риска содержит переоценку риска и, соответственно, пересмотр политик, руководств по управлению рисками, корректировку и обновление механизмов безопасности. Постановка задачи обеспечения информационной безопасности может варьироваться в широких пределах. Соответственно, варьируется и постановка задачи анализа рисков. Основным фактором, от которого зависит отношение организации к вопросам информационной безопасности, является степень ее зрелости. Различным уровням зрелости соответствуют разные потребности в области информационной безопасности. Университет Carnegie Mellon предложил следующую модель определения уровня зрелости компании [1] к восприятию проблем ИБ. Выделяется пять уровней, которым можно поставить в соответствие различное понимание проблем ИБ организации. На первом уровне эта проблема, как правило, руководством формально не выдвигается. При этом она может решаться сотрудниками по собственной инициативе щ возможно, эффективно. С точки зрения руководства задачи обеспечения режима ИБ неактуальны. В то же время такие организации могут быть вполне жизнеспособными. На втором уровне проблема обеспечения ИБ решается неформально, на основе постепенно складывающейся практики. Комплекс мер (организационных и программно-технических) позволяет защититься от наиболее вероятных угроз, как потенциально возможных, так и имевших место ранее. Вопрос относительно эффективности защиты не поднимается. Таким образом, постепенно складывается неформальный список актуальных для организации рисков, который постепенно пополняется. Если серьезных инцидентов не происходило, руководство организации, как правило, не считает вопросы ИБ приоритетными. В случае серьезного инцидента сложившаяся система обеспечения безопасности корректируется, а необходимость поиска других возможных уязвимостей в защите иногда осознается руководством. На третьем уровне в организации принято следовать в той или иной мере (возможно, частично) стандартам и рекомендациям, обеспечивающим базовый уровень информационной безопасности (например, ISO 17799). Вопросам документирования уделяется должное внимание. Задача анализа рисков не является, по мнению руководства, своевременной. Понятие риска включает несколько аспектов: вероятность, угрозу, уязвимость, стоимость. Один из вариантов оценки риска (определенного класса): вероятность возникновения инцидента в результате того, что имеющаяся уязвимость (определенного класса) будет способствовать реализации угрозы (определенного класса).
Классификация потенциальных нарушителей
По статистике 80% нарушений ИБ предприятий связаны с действиями внутренних нарушителей (сотрудников предприятия). Поэтому большинство существующих систем анализа и управления рисками уделяют внутренним нарушениям основное внимание. Но понятно, что сам сотрудник, работающий ежедневно с некоторой информацией, чаще всего не заинтересован реализовывать ее самостоятельно, искать покупателя (если только он параллельно не работает на конкурентов). Он работает на предприятии, чтобы получать деньги за свою работу, иметь хорошую репутацию, расти по службе и т.д. Поэтому подавляющее большинство нарушений режима ИБ сотрудниками предприятия вызвано действиями третьих лиц (посторонних), которые каким-либо образом мотивируют сотрудника на нарушение. Чаще всего противник обращается к сотруднику, который имеет доступ к интересующей информации в соответствии со своими служебными обязанностями. Для получения информации может применяться подкуп, угрозы, шантаж и т.д. Фактически, внутренний нарушитель - это промежуточное звено в действиях внешнего нарушителя.
Для предотвращения таких ситуаций на предприятии должна быть предусмотрена, во-первых, служба по подбору персонала, которая будет проводить тестирования кандидата по различным аспектам, наводить о нем справки на предыдущих местах работы. При этом чем выше предполагаемая должность, тем тщательнее должен производиться отбор. Во-вторых, необходимо постоянно следить за поведением и действиями сотрудников, за обстановкой в коллективе, выявлять недовольства, участвовать в решении проблем сотрудников, мотивировать их на добросовестную работу, применять систему премий и штрафов и т.д. Это существенно снижает риск вербовки сотрудника внешним противником.
Так как предлагаемый метод анализа рисков основан на работе по конкретным противникам, внутренние нарушители в рассмотрении не участвуют. Это объясняется следующим. Во-первых, если выясняется, кто именно является нарушителем внутри компании, его чаще всего увольняют или оставляют на испытательный срок на повышенном контроле. Во-вторых, на предприятии уже существует некоторая система ИБ базового уровня, которая при качественной разработке позволяет предоставлять сотруднику доступ к минимальному объему информации (в рамках системы управления доступом). Информация предоставляется сотруднику в соответствии с занимаемой должностью или с текущей производственной необходимостью, остальная информация для него закрыта. В-третьих, существует служба по работе с персоналом. Все эти меры, конечно, не гарантируют 100% преданность сотрудников, но и оптимизировать внутренние схемы защиты не представляет особого смысла, они являются базовыми и описаны в стандартах.
Необходимо заметить, что разработанный метод позволяет повышать экономическую эффективность системы защиты, изменяя ее структуру. Процесс выполняется последовательно, путем предложения или отклонения на каждом шаге некоторого средства или группы средств защиты. При этом анализируется изменение значений показателей рентабельности и уровня рисков. Грамотное использование денежных средств, выделяемых на защиту, дает возможность постепенно повышать экономическую эффективность при общем снижении рисков. Достаточность результатов работы для конкретной информационной системы определяется экспертом. Всякая информация предполагает некоторый носитель. Предлагается разбить все информационные носители на следующие категории. 1) Персонал (сотрудники и бывшие сотрудники предприятия, непосредственно работающие (работавшие) с информацией в соответствии со своими должностными обязанностями). 2) Документы, информация на бумажных носителях (официальные бумажные документы с рукописными подписями и печатями, копии официальных документов, некоторые распечатанные рабочие данные и т.д.). 3) Технические средства хранения, обработки и передачи информации (серверы, рабочие станции, электронные каналы связи, телефонные линии, магнитные накопители, дисковые накопители и т.д.). 4) Физические излучения, в том числе речевая информация (электромагнитное излучение при передаче информации по линиям связи, речевая информация на совещаниях и т.д.). Безопасность, состояние защищенности информации характеризуется достижением следующих целей: 1) секретности (конфиденциальности) информации; 2) целостности информации и/или системы ее защиты (несанкционированная модификация или уничтожение информации и/или системы ее защиты); 3) доступности информации.
Функциональные задачи системы
Для осуществления практического использования разработанного метода анализа информационных рисков была разработана инструментальная система (ИнС). Система предназначена для использования ведущим специалистом организации по ИБ или лицом, отвечающим за разработку и функционирование системы безопасности.
При разработке инструментальной системы использовался язык программирования Object Pascal, среда программирования Borland Delphi 7, СУБД Paradox 7.0. Требования к операционной системе: Microsoft Windows версия не ниже 98, обязательная установка Borland BDE Administrator, оперативная память не менее 128 Мб, свободное место на жестком диске 200 Мб. Далее рассматривается функциональный состав инструментальной системы. Моделирование функциональной структуры Для первоначального моделирования и формулирования требований к функциям инструментальной системы была использована нотация UML, реализованная в продукте IBM Rational Rose [76]. Унифицированный язык моделирования (UML) является стандартным инструментом для создания «чертежей» программного обеспечения. С помощью UML можно визуализировать, специфицировать, конструировать и документировать артефакты программных систем. UML пригоден для моделирования любых систем: от информационных систем масштаба предприятия до распределенных Web-приложений и даже встроенных систем реального времени. Выбор языка UML в качестве инструмента проведения анализа и описания функционирования системы определяется следующими его возможностями. 1) Эффективная визуализация системы. Модель на базе языка UML позволяет максимально наглядно представить создаваемую систему, при этом большая часть информации о проектируемой системе будет доступна чисто визуально, а не путем прочтения текстовых описаний. 2) Структуризация моделей. Язык UML рассчитан на независимую реализацию отдельных решений, которые принимаются в процессе развития модели. 3) Документирование. Среда Rational Rose позволяет осуществить объединение моделей UML с другими результатами процесса разработки и сгенерировать, таким образом, законченную документацию по системе. В среде Rational Rose были созданы несколько типов визуальных диаграмм на языке UML: диаграммы вариантов использования (функциональные диаграммы), диаграммы деятельности (диаграммы отражения процесса); Бизнес-функции инструментальной системы Бизнес-процесс обеспечения эффективного управления ИБ организации представлен на рис. 3.1 в виде UML-диаграммы бизнес-вариантов использования (бизнес-функций). Бизнес-функции ИнС «Аудит» Описание бизнес-процесса проводилось с тем, чтобы выделить функции, которые должны быть автоматизированы с помощью разрабатываемой инструментальной системы, также чтобы показать ее место в работе по обеспечению ИБ организации. Бизнес-процесс включает следующие процессы и действующих лиц. 1) Поддерживать эффективность системы информационной безопасности (СИБ). Процесс выступает в качестве обобщения работ по обеспечению эффективного управления ИБ организации. 2) Оперативно изменять СИБ. Процесс показывает действия по поддержанию системы защиты в состоянии, адекватном текущей ситуации по угрозам, защищаемым ресурсам, экономическим показателям и т.д. 3) Контролировать реальные угрозы. Для поддержания эффективного функционирования системы защиты необходимо непрерывно проводить контроль окружающей обстановки. 4) Оценивать эффективность. Процесс необходим для формализованной оценки текущего состояния функционирования системы ИБ. Проводится оценки параметров рисков, критерия эффективности в текущий момент времени. 5) Принимать решения об изменениях. На основании анализа эффективности, защищенности, рисков принимаются решения о целесообразности внесения изменений в систему ИБ организации. 6) Осуществляет изменения. Процесс отражает действия по изменению системы защиты: технического обеспечения, программного обеспечения, организационных мер и т.д. 7) Проводить разведку. Процесс необходим для выявления и контроля внешних противников организации. Отслеживание их действий позволяет оперативно реагировать на угрозы и принимать решения о защите. 8) Проводить контрразведку. Процесс необходим для выявления противников внутри организации среди ее сотрудников. По статистике большинство нарушения ИБ организации связанно именно с их действиями. 9) Вести статистику инцидентов. Процесс необходим в рамках контроля обстановки в области ИБ организации. Накопленная статистика позволяет далее проводить ее автоматизированную обработку и использовать для анализа и управления рисками. 10) Служба ИБ. Данное подразделение организации занимается вопросами контроля обстановки в области ИБ и ответственно за работу СИБ организации.
Значимые ресурсы ИВС
Причины 5) и 6) предотвращаются и устраняются использованием организационных и физических мер защиты, которые присутствуют в ИВ С МЭИ. Можно было бы сказать, что лица, совершившие данные неправомерные действия, являются реальными противниками, но это не совсем так. Во-первых, до обнаружения реализации угрозы о противниках ничего не известно. Во-вторых, при провале реализации угрозы о ней и о противниках также в большинстве случаев ничего не известно. В-третьих, после обнаружения реализации угрозы, выявленный злоумышленник нейтрализуется применением организационных мер защиты, ставится на особый контроль, и повторная атака с его стороны может считаться нереализуемой. В-четвертых, статистическая информация по данным нарушениям не была предоставлена для проведения анализа. Осталось неясным, собирается ли она в МЭИ вообще. Скорее всего, она доступна только ограниченному кругу лиц, в число которых не входят эксперты, участвовавшие в данном исследовании. Причины 3) по мнению экспертов являются крайне серьезными и имеют тяжелые последствия для функционирования ИВС. Достаточно вывести из строя один из центральных узлов сети, как большинство подразделений теряют связь между собой и оказываются отрезанными от Internet. Устранение последствий таких инцидентов требует и затрат времени, и денежных ресурсов. Реализация угроз такого рода происходит достаточно редко по сравнению с другими. По словам экспертов примерно 2-3 раза в год. Поэтому достаточных статистических данных для анализа в ИВЦ не накоплено. Каждая из таких ситуаций решается индивидуально. В связи с этим в дальнейшем анализе рисков они не участвуют.
Причина 2), вирусы - наиболее распространенная и повсеместная проблема в ИВС МЭИ. Вирусы проникают в сеть многими способами: со скачиваемыми данными из Internet, в письмах электронной почты, с внешних информационных носителей пользователей и др. Активная борьба с вирусами позволяет уменьшить их количество и частоту появления, но не устранить полностью. Поэтому вредоносное программное обеспечение, или вирус, включаем как первого реального противника и соответственно ему реальную угрозу для проведения оценки рисков информационной безопасности.
Причина 4) объединяет в себе несколько причин. Во-первых, это большое число пользователей сети. Их количество можно оценить только приблизительно с точностью до порядка, т.к. учет рабочих станций в подразделениях, включенных в ЛВС, ИВЦ не ведет. Чтобы выдерживать возрастающие объемы трафика, оборудование сети необходимо обновлять, совершенствовать, следуя новейшим техническим решениям.
Во-вторых, большие проблемы с загруженностью возникают из-за спама, поступающего в ОСЭП. Электронная почта, являясь одним из основных сервисов ИВС, постоянно подвергается атакам анонимных спамеров, число писем которых составляет 70-80% от общего числа электронной почты. Средства борьбы со спамом совершенствуются, но исключить его на все 100% невозможно. Таким образом, «Спам» будет участвовать как второй реальный противник в области ИБ для ИВС МЭИ.
С точки зрения обобщенной методики анализа рисков, противники спам и вирусы являются вырожденным вариантом реального противника как лица, самостоятельно действующего и принимающего решения. Поэтому, обобщенная задача будет сужена до необходимого размера путем уменьшения числа оцениваемых параметров. Как было сказано выше, для проведения расчетов используется разработанная инструментальная система.
Необходимо определить ресурсы, информацию, интересующую противников. В данном случае для спама и вирусов такие данные получить невозможно, т.к. действия этих противников не имеют (в подавляющем большинстве) конкретных целей, а скорее осложняют работу ИВС в общем. Поэтому в качестве защищаемой информации для данных противников примем все информационное наполнение сети: данные, сервисы и т.д.
Определим способы реализации угроз. Способы доступа вирусов в сеть разнообразны. Но выявить при обнаружении вируса, каким способом он проник в сеть, невозможно. Поэтому для вирусов определяется единый способ доступа. Способ доступа спама в сеть - электронная почта. Но, используя возможности системы MailScanner, можно выделить два вида спама: доставленный без пометки (не определенный антиспам-фильтром) и доставленный получателю с пометкой «спам». Оценка рисков будет проводиться для того и другого случая отдельно.
