Содержание к диссертации
Введение
Глава 1. Информационные риски в процессе обработки служебной информации . 10
1.1. Анализ процесса обработки служебной информации в выбранном классе корпоративных систем 10
1.2. Разработка системы показателей для оценки качества процесса обработки служебной информации 27
1.3. Анализ последствий реализации информационных рисков в процессе обработки служебной информации 36
Глава 2. Построение обобщенной модели угроз процессу обработки служебной информации 41
2.1. Разработка системы классификации воздействий на процесс обработки служебной информации 41
2.2. Классификация угроз информации по уровням типовой модели системы обработки информации 46
2.3. Исследование основных сценариев воздействий на процесс обработки служебной информации 59
Глава 3. Разработка комплекса моделей для оценки информационных рисков 67
3.1. Исследование существующих подходов к анализу и оценке информационных рисков . 67
3.2. Формальная постановка проблемы оценки информационных рисков 91
3.3. Разработка методов декомпозиции и консолидации информационных рисков 96
3.4. Разработка системы показателей для оценки информационных рисков 104
Глава 4. Практическая апробация разработанных подходов к оценке информационных рисков в системах обработки служебной информации
4.1. Определение основных направлений по минимизации информационных рисков 121
4.2. Спецификация типовой архитектуры для выбранного класса корпоративных систем обработки информации 125
4.3. Реализация предлагаемых подходов к оценке информационных рисков в информационно-аналитической системе «Барометр»
Заключение 139
Слисок литературы 143
- Анализ процесса обработки служебной информации в выбранном классе корпоративных систем
- Разработка системы классификации воздействий на процесс обработки служебной информации
- Исследование существующих подходов к анализу и оценке информационных рисков
- Определение основных направлений по минимизации информационных рисков
Введение к работе
Актуальность темы. Конец XX - начало XXI веков - время стре мительного внедрения передовых информационно- телекоммуникационных технологий во все сферы человеческой деятель ности и, особенно, в системы управления государством, крупным производством, деятельностью корпораций и фирм. Их революционное воздействие касается государственных структур и институтов гражданского общества, экономической и социальной сфер, науки и образования, куль туры и образа жизни людей.
Возникла и быстро развивается индустрия производства и потребления информации, человечество поступательно движется к информационному обществу. Россия не только не должна оставаться в стороне от этого процесса, но имеет все возможности быть в числе передовых стран в этой области. Именно поэтому наряду с руководителями 7 ведущих стран мира Президентом РФ В.В.Путиным в августе 2000 г. была подписана Окинавская хартия глобального информационного общества, цель которой состоит в «.... продвижении усилий правительств по укреплению соответствующей политики и нормативной базы, стгтулирующих, конкуренцию и новаторство, обеспечение экономической и финансовой стабильности, содействующих сотрудничеству по оптимизации глобальных сетей, борьбе со злоупотреблениями, которые подрывают целостность сети, по сокращению разрыва в цифровых технологиях, инвестированию в людей и обеспечению глобального доступа и участия в этом процессе».
Материальным носителем различных информационных процессов в сфере управления и поддержки принятия решения являются системы обработки информации (СОИ), различающиеся своими масштабами: от обеспечения нужд отдельного пользователя до систем, удовлетворяющих потребности общения в мировом пространстве. Несмотря на функциональную разнородность СОИ, можно сформулировать общие требования к системам такого рода. Они должны быть прагматически эффективными по выполнению своих функциональных задач, обеспечивать конфиденциальность, доступность и целостность информации, наглядно и понятно отражать результаты работы и предоставлять информацию для поддержки функций всего спектра организационного и технологического управления [16]. Однако при этом появляются новые виды рисков - информационные риски, связанные с процессом всеобщей информатизации и ассоциируемые, прежде всего, с СОИ как системами управления и поддержки принятия решений [24, 59].
Цель получения и обработки информации состоит в ее последующем использовании для формирования целенаправленных воздействий на объект управления. При этом наблюдение и осознание происходящего с объектом осуществляется через соответствующие информационные модели, обеспечиваемые СОИ, т.е. опосредовано, а реализация принятого решения осуществляется в рамках объекта управления, т.е. непосредственно. Таким образом, между субъектом, принимающим решение (человек и/или программно-техническое устройство), и объектом, на который это решение направлено, стоит некоторый посредник - информационная модель. Это является потенциальной угрозой ошибочного управляющего воздействия, так как эта информационная модель может неправильно отражать реальное состояние объекта управления. Поэтому одним из основных принципов, реализуемых в процессе функционирования СОИ, должен выступать принцип системной безопасности [23, 26]. Этот принцип определяет, что информационно-коммуникационные услуги, предоставляемые СОИ с определенным уровнем качества, являются безопасными. В свою очередь, это означает, что, во-первых, использование этих услуг не приводит к нежелательным для их потребителей последствиям в процессе выработки ими требуемого решения и, во-вторых, эти услуги не могут быть использованы третьей стороной во вред как самой СОИ, так и легитимным потребителям ее услуг.
Информационные риски, сопровождающие процесс информатизации, в случае неадекватности мероприятий по их оценке и соотнесению требованиям реальных процессов и явлений могут репродуцироваться в экономические, социальные, политические, финансовые, экологические, военные, психологические, научно-технические и прочие опасности и угрозы России в целом, российскому обществу и отдельной личности [25,48]. Поэтому вопросы идентификации и расчета информационных рисков в рамках корпоративных СОИ органов государственной власти РФ являются актуальными, особенно, в рамках происходящих процессов всеобщей информатизации органов государственной власти. Одними из основных факторов этих процессов являются: во-первых, активно идет реализация федеральных и региональных целевых программ информатизации таких, как «Электронная Россия», «Электронная Москва» и т.д., где блок информатизации органов государственной власти различных уровней представлен в большом объеме; во-вторых, принятие постановления Правительства РФ №98 от 12.02.2003 фактически определило грань между тем, что должно быть отнесено к служебной тайне, и тем, что является открытой информацией о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти и должно быть доступно широкому кругу граждан и организаций.
Необходимость разработки моделей и методов оценки информационных рисков, возникающих в процессе обработки информации в интересах ОГВ, очевидна в условиях, когда, с одной стороны, существуют понятия «служебная информация» и «служебная тайна», а, с другой стороны, поставлена задача повышения информационной открытости и прозрачности для общества и граждан самого процесса принятия решений.
Все это выводит проблему оценки информационных рисков СОИ на передний план, так как единое информационное пространство этих систем фактически представлено двумя блоками информации: блок общедоступной информации и блок информации ограниченного распространения, что обостряет проблему корректного соблюдения «информационной границы» между этими блоками [27,49].
Предлагаемые подходы к решению проблемы оценки информационных рисков разработаны с учетом анализа отечественных и зарубежных источников по данной проблематике и отличаются существенной новизной и актуальностью в части выработки критериев для оценки качества обработки информации, декомпозиции проблемы оценки рисков и формализации этого процесса. В их основе заложены кибернетические принципы наблюдаемости, идентифицируемости и управляемости рисков.
Сформулированные в диссертации основные подходы к проблеме оценки информационных рисков в СОИ как элементе более общей проблемы управления обработкой информации в СОИ [36], обеспечивающей информационное обслуживание органов государственной власти, - результат более чем двадцатилетних исследований автора в области автоматизированных систем управления, разработки и внедрения в эксплуатацию информационных систем органов власти бывшего СССР, системы ситуационных и информационно-аналитических центров органов государственной власти, информационно-аналитических систем «Барометр» и «Экономика России» и ряда других. Как показал опыт их эксплуатации, предложенные модели и подходы к оценке информационных рисков -эффективный инструмент в общем процессе управления обработкой информации в таких системах.
Областью исследований в рамках диссертационной работы является формализация, постановка задач и разработка моделей описания обработки информации. Диссертационная работа выполнялась в рамках пунктов 2 и 3 перечня областей исследования паспорта специальности 05.13.01 «Системный анализ, управление и обработка информации (отрасль - государственное и муниципальное управление)».
Цель исследования - разработка метода оценки информационных рисков при обработке служебной информации в интересах органов государственной власти.
Задачи исследования.
Анализ типовых структурно-функциональных характеристик объекта информатизации и нормативной базы обработки служебной информации.
Построение обобщенной модели угроз процессу обработки служебной информации.
Разработка комплекса моделей для оценки информационных рисков.
Практическая апробация разработанных подходов к оценке информационных рисков в системах обработки служебной информации.
Объект исследования - информационно-телекоммуникационные системы органов государственной власти федерального и регионального уровней.
Предмет исследования — процесс идентификации и расчета информационных рисков, возникающих в процессе обработки служебной информации.
Методы исследования отражают результат анализа отечественного и зарубежного опыта разработки и проектирования средств управления обработкой информации. Они включают статистические и экспертные методы принятия решений, методы теории решеток и математического программирования.
Полученные результаты и их научная новизна. - разработана оригинальная система показателей для оценки каче ства процесса обработки служебной информации и классификация по следствий воздействий на служебную информацию с точки зрения реали зации функций организационного управления, которые позволяют ассо циировать информационные риски с эффективной реализацией этих функций; -разработана система показателей для классификации факторов воздействия на информацию и спецификация угроз по уровням архитектуры СОИ, которые могут быть использованы в качестве методического материала при решении проблемы управления информационными рисками; -разработаны оригинальные методы декомпозиции проблемы оценки информационных рисков путем построения модели (типа решетки) на основе структурных абстракций обобщения, агрегации и ассоциации воздействий, что делает процесс оценки рисков наблюдаемым, идентифицируемым и управляемым; -разработана оригинальная система показателей для оценки информационных рисков и осуществлено сведение проблемы оценки рисков к задаче математического программирования; - разработана типовая архитектура СОИ, которая позволяет опти мизировать информационные риски, может быть использована в качестве методического материала при проектировании СОИ ОГВ, и осуществлена практическая реализация этой архитектуры.
Практическая значимость и апробация результатов. Полученные результаты исследования использованы в процессе разработки, внедрения и эксплуатации ряда информационно-аналитических систем, созданных для информационного обслуживания органов государственной власти, в том числе, ИАС «Барометр» и НАС «Экономика России». Практическая апробация и использование в рамках конкретных СОИ полученных в ходе исследования результатов подтверждены соответствующими документами.
Работа выполнялась в соответствии с заданием Федеральной целевой программы создания и развития информационно-телекоммуникационной системы, утвержденной Постановлением Правительства Российской Федерации и разработанной во исполнение Указов Президента Российской Федерации
Публикации. Основные результаты и выводы диссертации опубликованы в статьях, научно-технических отчетах, научно-методических разработках, рекомендациях и указаниях, конструкторской и эксплуатационной документации на конкретные СОИ. Они были включены в спецкурсы Учебно-методического центра новых информационных технологий ФАПСИ (УМЦ ИИТ), в отчеты лаборатории «Математического моделирования НОРИАС» Академии криптографии РФ и в целый ряд отчетов по НИР Академии криптографии РФ.
По теме диссертации опубликовано 8 печатных работ общим объемом 1,5 печатных листа.
Основные итоги исследований были доложены и одобрены на многих научно-технических конференциях и семинарах ФАПСИ, РАГС, Академии криптографии РФ, Ассоциации документальной электросвязи.
Объем и структура диссертации. Работа состоит из введения, четырех глав, заключения, списка литературы. Полный объем включает 148 страниц, 20 рисунков, 11 таблиц. Список используемой литературы содержит 59 названий.
Анализ процесса обработки служебной информации в выбранном классе корпоративных систем
Правовую основу создания и функционирования СОИ органов государственной власти составляют: Конституция Российской Федерации; Доктрина информационной безопасности Российской Федерации; Концепция национальной безопасности; Гражданский и Уголовный кодексы Российской Федерации; Законы, указы, постановления, другие нормативные документы действующего законодательства Российской Федерации; Документы Гостехкомиссии России; Документы ФСБ; Документы ряда Федеральных ведомств. В соответствии с Федеральным законом "Об информации, информатизации и защите информации" информационные ресурсы могут быть: открытыми, т.е. общедоступными (публикации, сообщения в СМИ, выступления на конференциях и выставках, интервью и т.п.); ограниченного доступа, т.е. охраняемыми, требующими защиты. В свою очередь, информационные ресурсы ограниченного доступа подразделяются на ресурсы: составляющие государственную тайну (секретные); конфиденциальные (от лат. confidentia - доверие). Информационные ресурсы, составляющие государственную тайну, регламентируются Законом Российской Федерации "О государственной тайне". Закон регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их засекречиванием или рассекречиванием и защитой в интересах обеспечения безопасности Российской Федерации. Правила отнесения сведений, составляющих.государственную тайну, к различным степеням секретности утверждены постановлением Правительства РФ от 4 сентября 1995 г. N 870. К конфиденциальной информации в соответствии с Указом Президента РФ № 188 от 06.03.97 относятся: сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях; сведения, составляющие тайну следствия и судопроизводства; служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом РФ и федеральными законами. Эти сведения составляют служебную тайну; сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией РФ и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных сообщений и т.д.); сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом РФ и федеральными законами. Эти сведения составляют коммерческую тайну; сведения о существе изобретения (идеи, конструкторской разработки или промышленного образца) до официальной публикации информации о нем. Под служебной тайной следует понимать несекретные сведения ограниченного доступа, связанные с владением и распоряжением интеллектуальной собственностью на информационные ресурсы в сфере управленческих или производственных отношений в государственных учреждениях, неправомерное оглашение (разглашение, утечка или несанкционированный доступ) которых может нанести ущерб интересам конкретного ведомства или учреждения.
Основные факторы воздействия на информацию в процессе ее обработки, которые могут способствовать нанесению ущерба интересам конкретного ведомства или учреждения, были определены в ГОСТ Р 51275-99 «Объект информатизации. Факторы, воздействующие на информацию. Общие положения». Этот стандарт распространяется на требования к механизмам по обеспечению целостности, доступности и конфиденциальности информации при создании и эксплуатации объектов информатизации, используемых в различных областях деятельности (обороны, экономики, науки и других областях). Положения стандарта подлежат применению на территории Российской Федерации органами государственной власти, местного самоуправления, предприятиями и учреждениями независимо от их организационно-правовой формы и формы собственности, должностными лицами и гражданами Российской Федерации, взявшими на себя обязательства либо обязанными по статусу исполнять требования правовых документов Российской Федерации по защите информации.
Основными методами классификации факторов, воздействующих на информацию, являются иерархический и фасетный методы. В рамках стандарта определены следующие понятия: - информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления; - фактор, воздействующий на информацию - явление, действие или процесс, результатом которых могут быть утечка, искажение, уничтожение информации, блокирование доступа к ней; - объект информатизации - совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для ведения конфиденциальных переговоров; - информационные ресурсы - отдельные документы и отдельные массивы документов, документы и массивы документов, содержащиеся в информационных системах (библиотеках, архивах, фондах, банках данных, информационных системах других видов); - информационная технология - приемы, способы и методы применения технических и программных средств при выполнении функций обработки информации; - обработка информации - совокупность операций сбора, накопления, ввода, вывода, приема, передачи, записи, хранения, регистрации, уничтожения, преобразования, отображения информации; - система обработки информаг ии - совокупность технических средств и программного обеспечения, а также методов обработки информации и действий персонала, обеспечивающая выполнение автоматизированной обработки информации; - средства обеспечения объекта информатизации - технические средства и системы, их коммуникации, не предназначенные для обработки информации, но устанавливаемые вместе со средствами обработки информации на объекте информатизации.
Разработка системы классификации воздействий на процесс обработки служебной информации
Повышение качества информационного обслуживания органов государственной власти за счет снижения информационных рисков при обработке служебной информации связано с наблюдаемостью, идентифицируемостью и управляемостью информационными рисками, рассматриваемыми здесь в кибернетическим смысле [45,46]. В общем случае под процессом идентификации воздействия на процесс обработки информации в СОИ понимается возможность описания реализации этого процесса. Одним из важных результатов процесса идентификации воздействия является возможность предсказания его поведения в будущем. В зависимости от имеющейся априорной информации о воздействии задача идентификации может ставиться в узком или в широком смысле. В первой постановке считается, что известен план развития воздействия (его модель). При решении задачи идентификации в широком смысле априорная информация о воздействии либо недостаточна, либо вообще отсутствует. Свойство идентифицируемости воздействия в СОИ тесно связано с наблюдаемостью и управляемостью этим процессом со стороны средств управляющей подсистемы СОИ. Воздействие обладает свойством наблюдаемости, если состояние этого процесса можно определить прямо или косвенно по вектору выходных параметров его проявления по отношению к информации СОИ. Воздействие обладает свойством управляемости, если этот процесс в некоторый момент времени может быть переведен управляющей подсистемой СОИ из текущего состояния в другое желаемое состояние за конечный интервал времени. При этом переход процесса воздействия на информацию СОИ в желаемое состояние является результатом некоторого детерминированного управляющего действия либо на сам этот процесс, либо на его целевой объект из состава СОИ. Такая постановка проблемы снижения информационных рисков требует четкой классификации возможных видов воздействий по уровням архитектуры СОИ. Каждый уровень должен отвечать за обеспечение снижения рисков на отдельно взятом «участке» процесса обработки информации. При этом каждый из уровней подвержен определенным угрозам, и каждому из указанных уровней соответствуют определенные способы противодействия этим угрозам. В связи с этим и из-за многообразия архитектур СОИ ОГВ требуется построение обобщенной многоуровневой (типовой) модели системы обработки информации, позволяющей осуществлять классификацию угроз по уровням СОИ. Построение такой типовой модели осуществлялось в соответствии со следующими требованиями. Во-первых, необходимо в основу декомпозиции СОИ на уровни положить объектно-ориентированный подход, который предполагает рассмотрение не отдельных частных элементов системы, а функционально замкнутых ее типовых объектов. Эти функциональные объекты потенциально являются и объектами возможных воздействий, кроме этого, территориальная распределенность и глобальная связанность современных СОИ усложняет проблемы управления функционированием таких систем [36, 38, 40, 50, 51]. Во-вторых, необходимо рассматривать не только саму СОИ, но и внешнюю по отношению к ней среду, так как существует множество воздействий, которые могут быть локализованы только за пределами СОИ в рамках всего объекта информатизации. В-третьих, необходимо учитывать, что практика создания СОИ на основе базовых зарубежных средствах изначально делает ее потенциально неидентифици-руемой, ненаблюдаемой и неуправляемой. При таком положении дел возможен только один эффективный способ снижения информационных рисков - инкапсуляция потенциально ненадежных элементов. Это хорошо коррелируется с объектно-ориентированным подходом при декомпозиции СОИ на функциональные уровни.
В основу типовой модели системы обработки информации, позво ляющей осуществить классификацию угроз по уровням СОИ, положены три функциональных уровня СОИ, приведенные в первом разделе. Для каждого уровня определен перечень собственных и редуцированных уг роз информации. Таким образом типовая модель СОИ состоит из трех уровней: информационно-аналитического, информационно технологического и информационно-технического. Дополнительно информационно-технический уровень типовой модели СОИ представлен в виде совокупности семи подуровней [38]: подуровень внешней среды. подуровень линий связи. подуровень элементов сети. подуровень сетевого и межсетевого взаимодействия. подуровень вычислительных ресурсов. подуровень программных ресурсов. подуровень информационных ресурсов. Каждый из подуровней подвержен определенным угрозам, которые могут привести к нарушению параметров качества функционирования элементов этого уровня. На подуровне внешней среды решаются вопросы, связанные с обеспечением функционирования составляющих СОИ в рамках конкретных физических объектов (здание, прилегающая территория, этаж, помещения и т.д.).
На подуровне линий связи решаются вопросы, связанные с обеспечение функционирования линий связи. Учитывая, что СОИ имеет распределенный характер, ее обязательным элементом являются линии связи, которые подвержены определенным угрозам. Определяющим фактором всех угроз данного подуровня является то, что линии связи могут проходить по неконтролируемой территории, даже в том случае, если какая-либо линия выделенная и является собственностью владельца СОИ. В большинстве же случаев используются либо арендованные линии связи, либо обычные коммутируемые линии связи общего пользования.
На подуровне элементов сети решаются вопросы, связанные с функционированием узлов сетевой инфраструктуры СОИ. Любая СОИ, как минимум является локальной вычислительной сетью, а в самом сложном виде представляет территориально распределенную разнородную сеть. Обязательными ее элементами, кроме линий связи, являются рабочие станции, серверы, коммутационное оборудование, дополнительные средства вычислительной техники, которые и образуют множество элементов сети.
Исследование существующих подходов к анализу и оценке информационных рисков
В настоящем разделе дается обзор стандартов, методик и конкретных инструментов, в той или иной степени используемых в процессе анализа и оценки информационных рисков.
Основными стандартами, которые имеют отношение к рассматриваемой проблеме являются: международные стандарты ISO 15408 (для России это ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий») и ISO 17799 [17,29, 35] (британский стандарт BS 7799 [5, 6]); немецкий стандарт «BSIUT Baseline Protection Manual» [3, 7]; национальный стандарт США NIST 800-30 [9,54]; концепция CobiT [20, 21]; практические стандарты SCORE и программа сертификации SANS/GIAC Site Certification [11]; английский стандарт CRAMM [13, 54]; практический стандарт SysTrust [12]; концепция MITRE [1, 10, 54]; Стандарты ISO 17799 и ISO 15408 служат основой для проведения любых работ в области информационной безопасности, в том числе и управления рисками. ISO 17799 сосредоточен на вопросах организации и управления безопасностью, в то время как ISO15408 определяет детальные требования, предъявляемые к программно-техническим механизмам защиты информации. Десять средств контроля, предлагаемых в ISO 17799 (они обозначены как ключевые), считаются особенно важными. Под средствами контроля в данном контексте понимаются механизмы управления информационной безопасностью организации. Десять ключевых средств контроля, перечисленные ниже, представляют собой либо обязательные требования, либо считаются основными структурными элементами информационной безопасности. Эти средства контроля актуальны для всех организаций и сред функционирования СОИ и составляют основу системы управления информационной безопасностью. Ключевыми являются следующие средства контроля: документ о политике информационной безопасности; распределение обязанностей по обеспечению информационной безопасности; обучение и подготовка персонала к поддержанию режима информационной безопасности; уведомление о случаях нарушения защиты; средства защиты от вирусов; планирование бесперебойной работы организации; контроль над копированием программного обеспечения, защищенного законом об авторском праве; защита документации организации; защита данных; контроль соответствия политике безопасности. Процедура аудита безопасности СОИ включает в себя проверку наличия перечисленных ключевых средств контроля, оценку полноты и правильности их реализации, а также анализ их адекватности рискам, существующим в данной среде функционирования. Составной частью работ по аудиту безопасности СОИ также является анализ и управление рисками. Наиболее полно критерии для оценки механизмов безопасности программно-технического уровня представлены в международном стандарте ISO 15408: Common Criteria for Information Technology Security Evaluation (Общие критерии оценки безопасности информационных технологий), принятом в 1999 году. Первая часть ISO 15408 содержит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности информационных технологий. В ней вводится понятийный аппарат, и определяются принципы формализации предметной области. Требования к функциональности средств защиты приводятся во второй части и могут быть непосредственно использованы при анализе защищенности для оценки полноты реализованных в СОИ функций безопасности. Стандарт ISO 15408, наряду с другими требованиями к адекватности реализации функций безопасности, содержит класс требований по анализу уязвимостей средств и механизмов защиты. Данный класс требований определяет методы, которые должны использоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей: наличие побочных каналов утечки информации; ошибки в конфигурации, либо неправильное использование системы, приводящее к переходу системы в небезопасное состояние; недостаточная надежность (стойкость) механизмов безопасности, реализующих соответствующие функции безопасности; наличие уязвимостей («дыр») в средствах защиты информации, позволяющих пользователям получать несанкционированный доступ к информации в обход существующих механизмов защиты. Немецкий стандарт «BSIUT Baseline Protection Manual» содержит руководство по обеспечению безопасности информационных технологий. Немецкий стандарт разрабатывался Агентством Информационной Безопасность Германии (BSI - Bundesamt Шг Sicherheit in der Informationstechnik). Стандарт постоянно совершенствуется с целью обеспечения его соответствия текущему состоянию дел в области безопасности информационных технологий. К настоящему времени накоплена значительная база знаний, содержащая информацию по угрозам и контрмерам.
В отличие от ISO 17799 германское "Руководство по защите информационных технологий для базового уровня защищенности" посвящено детальному рассмотрению частных вопросов управления информационной безопасности компании. Это руководство представляет собой гипертекстовый электронный учебник.
Определение основных направлений по минимизации информационных рисков
Основной проблемой по использованию средств управления информационными рисками является правильное позиционирование функционала каждого конкретного средства при их совместном использовании. При решении задачи оптимизации консолидированного информационного риска происходит масштабирование функциональных возможностей средств управления информационными рисками по уровням архитектуры СОИ. Предложенный метод оценки информационных рисков напрямую не учитывает место позиционирования тех или иных способов противодействия в СОИ, хотя задача управления информационными рисками требует решения проблемы наблюдаемости, идентифицируемости и управляемости рисками. Достичь этого можно путем выбора определенного класса архитектуры СОИ, в которой потенциально заложена возможность эффективного управления информационными рисками. В соответствии с основными направлениями по минимизации информационных рисков предлагается такая типовая конфигурация ПТС рассматриваемого класса СОИ (рис. 4.2.1.), которая по своей структуре оптимизирована под решение задачи идентификации и расчета информационных рисков при обработке служебной информации.
Каждый из указанных сегментов этой типовой конфигурации ПТС имеет только ему присущую структуру и перечень решаемых задач. Сегмент демилитаризованной зоны включает в себя сервера, информационные ресурсы которые должны быть доступны любым удалённым или локальным пользователям СОИ и СОП.
Сегмент серверов содержит серверы, информационные ресурсы которых должны быть доступны только локальным или авторизуемым удаленным пользователям.
Сегмент АРМ локальных пользователей может иметь в своем составе два типа рабочих мест: рабочие места пользователей СОИ, для которых работа с ресурсами СОИ осуществляется по защищенным протоколам, и рабочие места пользователей СОИ, использующих для информационного обмена в рамках СОИ незащищенные протоколы.
Сегмент АРМ удаленных пользователей предполагает наличие в своем составе двух групп пользователей: удаленных авторизированных пользователей СОИ и удаленных неавторизированных пользователей СОП.
Сегмент средств администрирования предназначен для управления функционированием СОИ путем наблюдения за этим процессом, выработки и реализации управляющих воздействий. Средства управления различными составляющими системы осуществляют накопление, анализ информации и выработку управляющих воздействий. Сбор информации о функционировании системы и реализация подавляющей части управляющих воздействий осуществляется посредством различных датчиков и агентов подсистемы администрирования. При этом масштабирование функций датчиков может осуществляться как на уровне отдельных элементов системы (конкретных серверов и рабочих станций), так и на уровне целых сегментов. Например, контроль физического доступа к ресурсам серверов может быть реализован либо для каждого сервера отдельно, либо для группы серверов, либо и так и так.
Для выполнения основных функций по управлению информационными рисками подсистема администрирования должна включать в свой состав: средства обработки проблем, обеспечивающие: - обслуживание проблемных ситуаций; - определение категорий и приоритетов проблемных ситуаций; - автоматическое «порождение проблемы» при наступлении определенных событий. средства управления событиями, обеспечивающие; - определение сообщений, обрабатываемых автоматически; - задание действий, выполняемых при наступлении определенных событий; - реализацию системной консоли. средства управления приложениями, обеспечивающие: - контроль функционирования прикладных систем; - управление прикладными системами. средства упраелен ия заданиями, обеспечивающие: - управление потоками заданий; - определение ситуаций, вызывающих прерывание стандартного выполнения заданий; - определение действий, выполняемых при наступлении особых ситуаций; - инициализация и отслеживание статуса заданий и групп заданий; средства управления загрузкой сети, обеспечивающие: - мониторинг и управление загруженностью гетерогенных сетей; - идентификацию и локализацию проблем, связанных с временем ответа в сетях. средства аналитической обработки, обеспечивающие: - доступ к технологической информации; - взаимодействие с общесистемными средствами информационно-аналитической обработки и поддержки принятия решений; - формирование отчетов. средства управления отчетами, обеспечивающие: - определение маршрутов распределения отчетов; - определение пользователей и вида получаемого документа; - определение частей отчетов, получаемых пользователями. средства управления памятью, обеспечивающие: - управление файловыми системами; - управление резервным копированием и архивированием данных; - управление восстановлением данных:. средства управления буферизацией, обеспечивающие: - -расширенное управление спулом. - управление очередями печати. - назначение и распределение устройств печати. средства оценки стоимости ресурсов, обеспечивающие; - задание стоимости параметров использования ресурсов; - учет стоимостных параметров использования ресурсов. средства оценки загрузки ресурсов, обеспечивающие: - сбор и анализ информации о загруженности устройств; - сбор и анализ информации об использовании памяти и процессоров.
