Содержание к диссертации
Введение
1 Проблемы управления информационной безопасностью корпораций 13
1.1 Проблемы обеспечения информационной безопасности корпораций 13
1.1.1 Актуальность проблемы обеспечения информационной безопасности 13
1.1.2 Основные цели обеспечения информационной безопасности 18
1.1.3 Угрозы информационной безопасности 21
1.1.4 Виды и взаимосвязь мер обеспечения информационной безопасности 23
1.2 Управление информационной безопасностью корпораций 25
1.2.1 Уровень зрелости компании и управление информационной безопасностью 25
1.2.2 Основные этапы управления информационной безопасностью...28
1.2.3 Модель построения комплексной системы обеспечения информационной безопасности 35
1.3 Организационное управление информационной безопасностью корпораций 38
1.3.1 Организационная структура системы обеспечения информационной безопасности 38
1.3.2 Основные организационные меры по управлению информационной безопасностью 41
1.3.3 Особенности управления информационной безопасностью в зависимости от организационной структуры корпораций 46
1.4 Краткие выводы по первой главе 49
2 Модели и методы организационного управления информационной безопасностью корпораций 50
2.1 Постановка задачи организационного управления информационной безопасностью корпораций 50
2.2 Модель «сильный центр-слабые агенты» 54
2.2.1 Общий анализ задачи 55
2.2.2 Существование и единственность «максимально стимулирующего» решения (МС - решения) 62
2.2.3 МС — решения в некоторых частных случаях 73
2.2.4 Анализ «пропорционального» решения 81
2.3 Модель «средний центр - средние агенты» 84
2.4 Модель «слабый центр - сильные агенты» 98
2.5 Построение эффективной системы информационной безопасности... 102
2.6 Краткие выводы по второй главе 105
3 Внедрение организационных механизмов управления информационной безопасностью корпорации 107
3.1 Методика организации проектных работ в области информационной безопасности и оценки информационных рисков корпораций 107
3.2 Внедрение организационных механизмов управления информационной безопасностью корпорации на примере ООО «Лентрансгаз» 120
3.3 Краткие выводы по третьей главе 141
Заключение 142
Список использованных источников 144
Приложение 158
- Управление информационной безопасностью корпораций
- Особенности управления информационной безопасностью в зависимости от организационной структуры корпораций
- Существование и единственность «максимально стимулирующего» решения (МС - решения)
- Внедрение организационных механизмов управления информационной безопасностью корпорации на примере ООО «Лентрансгаз»
Введение к работе
Эффективное управление в настоящее время является ключевым требованием, предъявляемым к предприятиям и организациям со стороны рынка. Постоянные перемены (прежде всего в экономической среде) ведут к непрерывному поиску и совершенствованию стратегии и тактики ведения бизнеса. С другой стороны, в современных условиях невозможно достичь эффективного ведения бизнеса без использования информационных технологий (ИТ), которые, в свою очередь, бурно и интенсивно развиваются именно под воздействием стоящих перед бизнесом стратегических и тактических задач [14].
За последнее десятилетие в сфере применения ИТ произошли коренные изменения. Эти перемены принесли бизнесу существенную выгоду, однако при этом они потребовали и гораздо более серьезного внимания к сфере безопасности со стороны правительств, коммерческих предприятий, иных организаций и частных пользователей, которые разрабатывают информационные системы и сети, владеют ими, предоставляют их в пользование, управляют ими, обслуживают или используют их. К основным факторам, определяющим необходимость взвешенного подхода к указанной проблеме, можно отнести, в первую очередь, постоянно возрастающее количество информационных угроз и рисков, а также недостаточный уровень обеспечения информационной безопасности (ИБ) в существующих информационных системах (ИС).
Риск и опасность потерь присущи любой экономической деятельности. Из всего разнообразия рисков в настоящее время особо выделяются риски информационные, которые реализуются через уязвимости в современных ИС, поддерживающих различные виды деятельности экономического субъекта (управленческий, производственный, сбытовой, инвестиционный, торговый, кредитный). Существование информационных рисков делает в свою очередь необходимым управление ими. Управление информационными рисками или другими словами, управление информационной безопасностью (под которой в соответствии с международным стандартом ISO|IEC 17799 «Управление информационной безопасностью» будем понимать обеспечение для защищаемой информации таких ее свойств как конфиденциальность, целостность и доступность), определяет возможность обеспечения устойчивости экономического объекта, его способности противостоять неблагоприятным ситуациям. Управление информацион-
ными рисками должно быть неотъемлемым элементом экономической стратегии и тактики организации. Разработка методологии снижения информационных рисков делает возможным повышение общей (в том числе - финансовой) безопасности предприятия.
Однако очень часто возникает ситуация, когда финансовых (или иных ресурсов) для полного решения всех проблем недостаточно и приходится либо решать проблемы снижения информационных рисков поэтапно, либо пытаться бороться с отдельными угрозами. Таким образом, перед руководителем организации возникает задача оптимального распределения ресурсов для снижения информационных рисков.
Ключевым элементом управления информационными рисками, является эффективная методология их снижения за счет реализации определенных контрмер, направленных на ликвидацию уязвимостей и ликвидацию угроз в ИС. Основой указанной методологии должен стать механизм эффективного использования имеющихся в наличии ресурсов (финансовых, организационных, технологических и т.д.), которые, как правило, находятся в дефиците.
Проблемы риска в экономике, изложены в трудах российских ученых [7, 8, 9, 11, 12, 15, 19], а также зарубежных исследователей [10, 13, 17].
В большинстве указанных работ информационный риск, как отдельная категория не рассматривается, или рассматривается крайне узко, как риск, связанный с нарушением конфиденциальности информации [21, 23, 27,28,31,36,38].
Управление ИБ (Information Security Management) является той областью, необходимость теоретического осмысления которой была осознана совсем недавно. Первые исследования в этой области начались в конце 1980-х г.г., а к концу 1990-х г.г. появились первые национальные и международные стандарты (ISO/IEC 17799, BSI). Однако факт появления стандартов не означает, что в области управления ИБ решены все проблемы. Напротив, задачи управления ИБ усложняются с каждым днем по мере все более интенсивного использования ИТ практически во все сферы человеческой деятельности [95].
Проблемам управления ИБ посвящены работы российских [1, 2, 37, 40, 43, 81, 82, 83, 84, 86, 88, 95, 143, 144, 145, 146, 147] и зарубежных авторов [26, 85]. Большинство указанных работ касается конкретных вопросов реализации тех или иных механизмов ИБ.
Вопросам создания эффективных систем ИБ посвящены работы [46, 47, 49, 50, 51, 52, 53, 54, 55, 56, 57, 58, 59, 60, 61, 67] (см. обзор в разделе 1.2.2). В указанных работах рассматриваются вопросы построения эффективных систем ИБ. Как правило, предполагается, что все ресурсы, требуемые для построения системы ИБ, имеются в наличии, а задача снижения потерь от реализации информационных рисков рассматривается как некая задача оптимизации общего количества ресурса необходимого для реализации контрмер направленных на снижение информационных рисков до допустимого уровня [1].
Вопросам оптимального распределения ресурсов посвящено значительное количество работ как российских, так и зарубежных авторов [97, 103, 104, 105, 106, 108, 112, 114, 115, 117, 120, 122, 123] (см. обзор в разделе 2.3). Значительное число исследований посвящено корпоративному управлению {корпорация — от позднелатинского «corporatio» — объединение: 1) объединение, союз, общество; 2) в праве - совокупность лиц, объединившихся для достижения какой-либо цели, является юридическим лицом) [14,89,103,118,137]. Однако в данных работах практически не уделялось внимания ИБ (в отличие от промышленной безопасности [148], экологической безопасности [37, 68], финансовых рисков [101] и т.д.).
Таким образом, можно констатировать, что проблема организационного управления информационными рисками в условиях дефицита корпоративных ресурсов в настоящее время изучена недостаточно полно, что обусловливает актуальность темы настоящей работы, посвященной разработке и исследованию организационных механизмов (процедур принятия управленческих решений в организации) эффективного управления ИБ корпораций.
Цель работы состоит в разработке, исследовании и внедрении организационных механизмов эффективного управления ИБ корпораций.
Достижение поставленной цели требует последовательного решения следующих задач:
Исследование специфики ИБ корпораций как объекта управления. Изучение особенностей системы управления ИБ в зависимости от организационной структуры корпораций. Разработка системы классификаций задач организационного управления ИБ корпораций.
Разработка и исследование моделей и методов анализа и синтеза организационных механизмов управления ИБ в зависимости от организационной структуры корпораций, включая следующие типовые структуры и
соответствующие им модели: бюрократическая («сильный центр-слабые агенты»), переходная («средний центр — средние агенты») и органическая («слабый центр - сильные агенты»).
Разработка методов построения эффективной комплексной системы обеспечения ИБ (КСОИБ) корпорации.
Внедрение предложенных организационных механизмов управления ИБ в деятельность корпораций.
Основным методом исследования является математическое моделирование с использованием подходов и результатов системного анализа, теории принятия решений, имитационного моделировани, теории игр и теории активных систем.
Связь с планом. Исследования по теме диссертационной работы проводились в соответствии с плановой тематикой работ Воронежского государственного архитектурно - строительного университета (в рамках федеральной комплексной программы «Исследования и разработки по приоритетным направлениям науки и техники граждансткого назначения»).
Научная новизна работы заключается в следующем: на основе исследования теоретико-игровых и оптимизационных моделей разработаны организационные механизмы эффективного управления ИБ корпораций. В частности:
Выявлена специфика управления ИБ корпораций, в том числе - зависимость организации управления ИБ от уровня зрелости корпораций; перечислены основные этапы жизненного цикла управления ИБ, и предложена модель построения КСОИБ корпораций.
Исследована роль организационного управления как ключевого элемента управления ИБ корпораций, в том числе - организационной структуры системы обеспечения ИБ; выявлены и классифицированы основные организационные меры по управлению ИБ, а также особенности системы управления ИБ в зависимости от организационной структуры корпораций.
Сформулированы и решены задачи анализа и синтеза организационных механизмов управления ИБ, используемых для различных типов структур управления корпорациями. В том числе:
- для модели «сильный центр — слабые агенты» сформулированы и обоснованы аксиоматические требования, которым должно удовлетворять решение задачи распределения ресурса, и доказано, что класс таких реше-
ний не пуст. Предложена общая арбитражняа схема, основанная на принципах «стимуляции» и «неподавления», и доказано существование, единственность и Парето-эффективность «максимально стимулирующего» решения (МС - решения). Рассмотрен ряд практически важных частных случаев в рамках модели общей арбитражной схемы, для которых удалось получить МС-решение в конкретной аналитической форме. Проведен анализ широко распространенного «пропорционального» решения, найдены условия, при которых оно является монотонным МС - решением;
для модели «средний центр - средние агенты» получено решение обратной задачи распределения корпоративного ресурса на мероприятия по обеспечению ИБ, заключающейся в нахождении минимального суммарного количества распределяемого ресурса, при котором диктаторами (получающими абсолютно оптимальное для себя количество ресурса) является заданное множество агентов, при условии, что предпочтения каждого агента зависят от того суммарного количества ресурса, которое подлежит распределению;
для модели «слабый центр - сильные агенты» сформулирована и решена задача рефлексивного управления в ситуации, когда агенты имеют иерархию взаимных представлений о требуемых количествах ресурса. Найдены оптимальные информационные воздействия - представления о типах оппонентов, которые центру следует сформировать у агентов, чтобы агенты сообщили заявки (являющиеся стабильным информационным равновесием их игры), приводящие к требуемому центру распределению ресурса.
4. Сформулирована и решена задача реализации эффективных контрмер в рамках выделенных агентам ресурсов, на основании которой предложены методы построения эффективной КСОИБ корпорации.
На защиту выносится:
Организационные механизмы эффективного управления ИБ корпораций.
Модель построения КСОИБ корпораций.
Классификация основных организационные меры по управлению ИБ.
Задачи анализа и синтеза организационных механизмов управления ИБ, используемых для различных типов структур управления корпорациями.
5. Задача выбора эффективных контрмер в рамках выделенных агентам ресурсов, на основании которой предложены методы построения эффективной КСОИБ корпорации.
Практическая значимость. Результаты диссертационной работы позволяют разрабатывать и обосновывать механизмы эффективного управления ИБ корпораций. Предложенные модели и методы имеют особую актуальность при их использовании для повышения эффективности управления ИБ в крупных добывающих, перерабатывающих, финансовых и наукоемких корпоративных структурах.
Реализация результатов работы. Результаты диссертационного исследования внедрены в деятельность ООО «Информационные бизнес системы» (ООО «ИБС») в виде корпоративного стандарта «Методика организации проектных работ в области информационной безопасности и оценки информационных рисков», а также внедрены в системе управления ИБ ООО «Лентрансгаз». Эффективность реализации результатов работы подтверждена актами о внедрении.
Личный вклад автора в работах, опубликованных в соавторстве, заключается в том, что в [7, 10] автором предложена методика организации проектных работ в области аудита информационной безопасности и оценки информационных рисков; в [2-4] - доказана теорема существования и единственности «максимально-стимулирующего» решения для случая игры трех и более лиц; в [5, 6] - предложены алгоритмы выбора наиболее эффективных решений с учетом результатов стохастического имитационного моделирования; в [1] построен пример, показывающий, как разрешается парадокс Аллэ в рамках модели предпочтения, порождаемой квадратичным функционалом; в [12-14] - механизмы распределения ресурса на мероприятия по обеспечению информационной безопасности корпораций..
Апробация результатов работы. Основные результаты, полученные в диссертационной работе, докладывались на семинарах ИПУ РАН и МФТИ, а также на следующих научных конференциях: всесоюзном симпозиуме «Современные проблемы математической экономики» (Вильнюс, 1984), всероссийской научно-практической конференции «Методы и средства технической защиты информации» (Обнинск, 2004), международной конференции и Российской научной школе «Системные проблемы надежности, качества информационных и электронных технологий. Информационные бизнес системы» (Сочи 2004), международных научных конференциях «Современные сложные системы управления» (Воронеж, 2005;
Краснодар, 2005), международной научно-практической конференции «Теория активных систем» (Москва, 2005).
Публикации. По теме диссертационного исследования опубликовано 15 печатных работ общим объемом 5,6 п.л.
Объем и структура работы. Диссертация состоит из введения, трех глав, заключения, списка литературы, включающего 153 наименования. Она изложена на 161 страницах, включая 19 рисунков, 7 таблиц и приложения содержащее акты, подтверждающие практическую реализацию и внедрение результатов диссертационной работы.
Краткое содержание работы.
В первой главе, результаты которой опубликованы в [3, 41, 42, 44, 151, 152] рассматриваются проблемы:
обеспечения ИБ корпорации (раздел 1.1), в том числе - вопросы актуальности проблемы обеспечения ИБ для современных корпораций (раздел 1.1.1), основные цели обеспечения ИБ (раздел 1.1.2) и угрозы ИБ (раздел 1.1.3), а также виды и взаимосвязь мер обеспечения ИБ (контрмер) (раздел 1.1.4);
управления ИБ корпораций в целом (раздел 1.2), в том числе-вопросы зависимости организации управления ИБ от уровня зрелости корпораций (раздел 1.2.1), основные этапы жизненного цикла управления ИБ (раздел 1.2.2) и модель построения КСОИБ корпораций (раздел 1.2.3);
организационного управления ИБ корпораций, как ключевого элемента управления ИБ корпораций (раздел 1.3), в том числе-
организационная структура системы обеспечения ИБ (раздел 1.3.1), основные организационные меры по управлению ИБ (раздел 1.3.2) и особенности системы управления ИБ в зависимости от организационной структуры корпораций (раздел 1.3.3),
а также формулируются теоретические задачи диссертационного исследования.
Во второй главе, результаты которой опубликованы в [5, 6, 41, 42, 62, 63, 64, 96, 149, 150, 151, 153] рассматриваются общая постановка задачи организационного управления ИБ корпораций.
В разделе 2.1 приводится формальная постановка задачи организационного управления ИБ корпорации: определяется жизненный цикл основных организационных мер по управлению ИБ корпорации, основные свойства неизвестных функций риска, формулируются цели решения и
критерии выбора решения. Далее изучаются конкретные организационные механизмы управления ИБ, используемые для различных типов структур управления корпорациями: бюрократическая («сильный центр-слабые агенты») (раздел 2.2), переходная («средний центр — средние агенты») (раздел 2.3) и органическая («слабый центр - сильные агенты») (раздел 2.4).
В разделе 2.2 проводится общий анализ задачи организационного управления ИБ корпорации в рамках модели «сильный центр-слабые агенты», формулируется и обосновывается ряд естественных требований аксиоматического характера, которым должно удовлетворять «хорошее» решение и доказывается, что класс таких решений не пуст (раздел 2.2.1). Рассматривается математическая модель общей арбитражной схемы, основанной на принципах «стимуляции« и «неподавления«, обосновывается ее соответствие модели «сильный центр —слабые агенты» и доказывается существование и единственность решения специального вида: «максимально стимулирующего» решения (МС — решения), являющегося эффективным решением задачи распределения ресурса в рамках модели «сильный центр-слабые агенты» (раздел 2.2.2). Рассматривается ряд практически важных частных случаев в рамках модели общей арбитражной схемы, для которых удается получить МС-решение в конкретной аналитической форме (раздел 2.2.3). Проводится анализ популярного «пропорционального» решения с целью определения условий его монотонности, а так же условий когда «пропорциональное» решение оказывается одновременно МС - решением (раздел 2.2.4).
В разделе 2.3 проводится обзор результатов исследования механизмов распределения ресурса в условиях асимметричной информированности (неполной информированности центра и принятии им решений на основании информации, сообщаемой агентами). Получено решение обратной задачи распределения ресурса на мероприятия по обеспечению ИБ - задачи нахождения минимального суммарного количества распределяемого ресурса, при котором диктаторами (получающими абсолютно оптимальное для себя количество ресурса) является заданное множество агентов, при условии, что предпочтения каждого агента зависят от того суммарного количества ресурса, которое подлежит распределению.
В разделе 2.4 рассматривается задача рефлексивного управления при распределении корпоративных ресурсов на мероприятия по повышению ИБ в ситуации, когда подразделения корпорации (агенты) имеют иерархию
взаимных представлений о том, кому из них какое количество ресурса необходимо. Сформулирована и решена задача рефлексивного управления - какие представления о типах оппонентов следует центру сформировать у агентов, чтобы агенты сообщили такие заявки (являющиеся стабильным информационным равновесием их игры), которые привели бы к требуемому центру распределению ресурса.
В разделе 2.5 с использованием методов стохастического имитационного моделирования рассматривается проблема реализации эффективных контрмер в рамках выделенных агентам ресурсов.
В третьей главе, результаты которой опубликованы в [3, 44, 152] рассматриваются:
-разработанная на основании результатов теоретических исследований, представленных в первой и второй главах, «Методика организации проектных работ в области информационной безопасности и оценки информационных рисков», принятая в ООО «ИБС» в качестве корпоративного стандарта (раздел 3.1);
- вопросы практического внедрения организационных механизмов управления ИБ корпорации на примере ООО «Лентрансгаз» (раздел 3.2).
Заключение содержит основные результаты работы, акты о внедрении вынесены в Приложения.
Управление информационной безопасностью корпораций
Основным фактором, определяющим отношение организации к вопросам ИБ, является степень ее зрелости.
В соответствии с моделью предложенной Carnegie Mellon University [138], выделяется пять уровней зрелости, которым соответствует различное понимание проблем ИБ организации (рисунок 4). Рисунок 4 - Соответствие уровня зрелости организации и ее потребностей в области ИБ
Задача обеспечения ИБ будет ставиться и решаться для организаций, находящихся на разных уровнях зрелости, по-разному.
На первом уровне данная задача формально не ставится, поскольку с точки зрения руководства организации, находящейся на первом уровне зрелости, задачи обеспечения ИБ, как правило, не актуальны. Но это не значит, что она не решается сотрудниками по собственной инициативе, и возможно эффективно, поэтому организации могут быть вполне жизнеспособными.
На втором уровне проблема обеспечения ИБ решается неформально, на основе постепенно сложившейся практики. Комплекс контрмер (организационных и программно-технических) позволяет защититься от наиболее вероятных угроз, как потенциально возможных, так и имевших место ранее. Вопрос относительно эффективности защиты не ставится.
На третьем уровне в организации считается целесообразным следовать в той или иной мере (возможно частично) стандартам и рекомендациям, обеспечивающим базовый уровень ИБ (например, ISO/IEC 17799), вопросам документирования уделяется должное внимание. Анализ рисков рассматривается как один из элементов технологии управления режимом ИБ на всех стадиях жизненного цикла. Понятие риска включает несколько аспектов: вероятность, угроза, уязвимость, иногда стоимость. Технология управления режимом ИБ в полном варианте включает следующие элементы: документирование КИС с позиции ИБ; категорирование информационных ресурсов с позиции руководства организации; определение возможного воздействия различного рода происшествий в области ИБ на ИТ и бизнес-процессы; анализ рисков; технология управление рисками на всех этапах жизненного цикла КИС; аудит в области ИБ. На четвертом уровне для руководства организации актуальны вопросы измерения параметров, характеризующих режим ИБ. На этом уровне руководство осознанно принимает на себя ответственность за выбор определенных величин остаточных рисков (которые остаются всегда). Риски, как правило, оцениваются по нескольким критериям (не только стоимостным). Технология управления ИБ остается прежней, но на этапе анализа рисков применяются количественные методы, позволяющие оценить параметры остаточных рисков, эффективность различных вариантов контрмер при управлении рисками. На пятом уровне ставятся и решаются различные варианты оптимизационных задач в области обеспечения ИБ. Примеры постановок задач [1, 38,81,83]: выбрать вариант КСОИБ, оптимизированной по критерию стоимость/эффективность при заданном уровне остаточных рисков; выбрать вариант КСОИБ, при котором минимизируются остаточные риски при фиксированной стоимости КСОИБ; выбрать архитектуру КСОИБ с минимальной стоимостью владения на протяжении жизненного цикла при определенном уровне остаточных рисков. Результаты исследования, проведенного компанией «Ernst&Young» в 2002 г. [1] показывают, что в настоящее время более половины организаций относятся к первому или второму уровню зрелости. Организаций третьего уровня зрелости около 40% от общего числа и только порядка 7% от общего числа организации, относятся к четвертому и пятому уровням зрелости. Близкая модель была разработана Gartner Group [138]. В рамках модели выделяется четыре (начиная с нулевого) уровня зрелости организации и она носит более «технологический« характер. В целом, третий уровень зрелости модели разработанной Gartner Group соответствует четвертому -пятому уровню модели Carnegie Mellon University. По данным Gartner Group, на начало 2002 г. компаний третьего уровня было около 5%. На 2005 г., прогнозировался рост числа таких компаний до 15%. К настоящему времени сложилась общепринятая международная практика (best practice) обеспечения ИБ, применяемая как в России, так и в других странах. Вне зависимости от размеров организации и специфики ее КИС работы по обеспечению ИБ, в соответствии с ISO/IEC 17799 состоят, как правило, из стандартных этапов [1, 43] среди которых можно выделить следующие ключевые задачи управления ИБ [1, 3, 43, 44, 83]: определение политики ИБ корпорации; аудит и оценка рисков ИБ корпорации; выбор контрмер, обеспечивающих режим ИБ; построение эффективной КСОИБ. Взаимосвязь ключевых задач управления ИБ отражена на рисунке 5.
Особенности управления информационной безопасностью в зависимости от организационной структуры корпораций
Функции управления деятельностью корпорации реализуются подразделениями аппарата управления и отдельными работниками, которые при этом вступают в экономические, организационные, социальные, психологические и другие отношение друг с другом. Организационные отношения, складывающиеся между подразделениями и работниками аппарата управления предприятия, определяют структуру его организационного управления [69, 70, 71, 72, 89, 90, 91, 92, 93, 94]. Структура управления, существующая в корпорации, оказывает существенное влияние на структуру организационного управления ИБ, что, в свою очередь, влияет на выбор конкретных организационных механизмов управления ИБ. Рассмотрим особенности организационных механизмов управления ИБ для разных структур управления организациями. В разделе 1.3.2 были выделены ключевые факторы, оказывающие существенное влияние на выбор организационных механизмов управления ИБ: порядок проведения аудита и анализа рисков ИБ корпорации; порядок формирования заявки агента; порядок формирования бюджета на мероприятия в области ИБ; порядок распределения бюджета на мероприятия в области ИБ между агентами. Рассмотрим, как могут быть реализованы данные порядки для разных типов структур управления (бюрократической, переходной и органической [69,70,71,89,92]). Для бюрократической структуры управления проведение аудита и анализа рисков будет осуществляться, скорее всего, централизовано, в соответствии с утвержденными в корпорации стандартами и регламентами. Как правило, осуществляться данные мероприятия будут либо силами головной компании, либо силами специально привлеченной подрядной организации.
В этом случае, агенты практически лишены возможности оказывать влияния на процесс формирования заявки и ее размер. Форми \ рование бюджета на проведение мероприятий по ИБ и его последующее распределение, с учетом заявок агентов, так же является исключительно прерогативой Центра. Иными словами, в рамках бюрократической системы управления корпорацией Центр выступает в роли своего рода арбитра, распределяющего ресурс в соответствии с некоторыми разумными правилами. Данную модель организационного управления ИБ корпорации можно условно назвать: «сильный центр - слабые агентьш. Для переходной структуры управления характерна значительно большая самостоятельность подразделений и можно предположить, что вопросы проведения аудита и анализа рисков ИБ, а также формирования заявки будут решаться ими самостоятельно. Однако вопросы формирования бюджета на проведение мероприятий по ИБ и его последующего распределе i ния, по-прежнему, будут является исключительно прерогативой Центра. Данное обстоятельство дает возможность агенту попытаться, путем изменения объема заявки, добиться от Центра большего количества ресурсов. Иными словами, попытаться манипулировать Центром. Таким образом, между интересами и возможностями Центра и агентов возникает своеобразный баланс и данную модель организационного управления ИБ корпорации можно условно назвать: «.средний центр - средние агенты«. Для органической же структуры управления будут характерны не только самостоятельность агентов в части формирования своих заявок, но и их активное участие, как в формирования бюджета, так и его последующем распределении. В этой связи для конкретного агента, в свете дости жения им своих целей, большое значение приобретает его информироеан ность о целях и интересах других подразделений, в том числе, их предположения относительно его собственных интересов и стратегий поведения. Возникающая иерархия представлений агентов друг о друге носит название рефлексии и требует применения соответствующих механизмов управления. Данную модель организационного управления ИБ корпорации условно можно назвать: «слабый центр - сильные агенты». Связь ключевых функций системы управления ИБ с организационной структурой корпорации представлена на рисунке 11. Здесь, на пересечении строк, соотвествующих типу организационной структуры, и столбцов, соответствующих ключевым функциям, указаны основные субъекты, реализующие данную ключевую функцию системы управления ИБ. Таким образом, основными теоретическими задачами данного диссертационного исследования являются анализ и синтез организационных механизмов эффективного управления ИБ, используемых для каждого из выделенных трех типов структур управления корпорациями. В первой главе рассмотрены проблемы обеспечения ИБ корпорации, в том числе - вопросы актуальности проблемы обеспечения ИБ для современных корпораций, основные цели обеспечения ИБ и угрозы ИБ, а также виды и взаимосвязь мер обеспечения ИБ (контрмер). Выявлена специфика управления ИБ корпораций в целом, в том числе - зависимость организации управления ИБ от уровня зрелости корпораций, перечислены основные этапы жизненного цикла управления ИБ и предложена модель построения КСОИБ корпораций. Исследована роль организационного управления ИБ корпораций, как ключевого элемента управления ИБ корпораций, в том числе - организационной структуры системы обеспечения ИБ, выявлены основные организационные меры по управлению ИБ, а также особенности системы управления ИБ в зависимости от организационной структуры корпораций. Проведенный в первой главе анализ позволил обосновать теоретические задачи диссертационного исследования (см. Введение).
Существование и единственность «максимально стимулирующего» решения (МС - решения)
Заметим, что с учетом того, что в рамках рассматриваемой модели общий ресурс, выделяемый Центром, представляет собой функцию от заявок агентов: Х = X{bh ..., bN) множество Я(Ь) совпадает с определенным ранее множеством допустимых дележей ресурса , между агентами: Для применения общей арбитражной схемы основанной на принципах «стимуляции и неподавления» необходимо выполнение следующих условий [4]: Пусть: Я- замыкание множества Я и Ь(Я) - граница множества Я-Обозначим: 3. Для любого b є (В множество %b) «охватывает» точку 0 в V + , то есть любая исходящая из начала координат, содержащаяся в V +, не прерывная и стремящаяся к бесконечности кривая (кривая / уходит в бесконечность, если для любого с существует v є /, для которого най дется некоторое " є {1,..., N} такое, что v,- с) пересекает l&b). Обозначим: П(6) - множество всех оптимальных по Парето точек Я(Ь). 4. Для любого Ъ є Ф граничные точки Я(Ь), лежащие в V + 0, эффективны, точнее T&b) d П(Ь). 5. Для любой пары bj bj имеем: Я(Ьі) Я{ЬІ), то есть каково бы ни было решение при &2, если хотя бы один из игроков увеличивает свой «вклад», то возможем выбор нового решения, которое для всех игроков не хуже, чем ранее выбранное. Покажем, что в рамках рассматриваемой нами модели свойства 1-5 выполнены. Действительно: 1. По свойству 1 функции бюджета Центра ДО, ..., 0) = 0 ив силу (7): /=i 2. Множество Я(Ь) с: V = 9І ограничено, поскольку, для любого b є (В в силу (7) v, X{b), и, следовательно, компактно. 3. Пусть 6 = (0, ..., 0), тогда ДО) = {(0, ..., 0)}, ДО) = {(0, ..., 0)} и та ким образом любая исходящая из начала координат, содержащаяся в V + , непрерывная и стремящаяся к бесконечности кривая / пересекает %(0). Пусть b 0 = (0, ..., 0), тогда по свойствам 1 и 2 функции бюджета Центра Х{Ь) 0. В силу (7) имеем: Поскольку кривая / исходит из начала координат, содержится вК+, непрерывна и стремится к бесконечности, найдутся такие у и z , принадлежа щие кривой /, что: у z, причем X (Ь) 2_j Уt и X (Ь) 2 z
Зададим на кривой / две последовательности {у0, у1, у2, ...} и {z, z1, z2, ...} такие, что для любого у є {0, 1, 2, ...}: у1 z/, у + у?, z/ + z1 , N торой точке и, принадлежащей кривой /, такой, что X (Ъ) = 2 и tг и та ким образом условие 3 выполнено. 4. Предположим, что ЩЬ) П(Ь), тогда найдутся по крайней мере две точки у и z, принадлежащие Т Ь) такие, что для /= 1, ..., N, у І zt и при этом существует некоторое у є {1, ..., N} такое, что y j Zj. Но тогда, воречие доказывает выполнение условия 4. 5. Пусть заданы вектора b/ Ь2, тогда по свойству 2 функции бюджета Центра X(bj) X{b2). Возьмем произвольную точку v = Я(Ь2), тогда по (7) v = (v/, ..., v ) є V, v, 0 (/= 1, ..., N), и X(b,) X(b2) v. и, следова /=i тельно, ve Я(Ьі). Таким образом, Я(Ь2) Яфі) и условие 5 выполнено. Поскольку свойства 1 — 5 выполнены, то применима общая арбитражная схема, основанная на принципах «стимуляции и неподавления» [4, 5, 6]. Целью применения указанной схемы является нахождение единого правила, определяющего для каждого вектора b = (bi, ..., bN) є (В решение игры 1{b), представленной множеством Яф). Данное правило должно задаваться селектором точечно-множественного отображения Я, то есть некоторым отображением ж(?- У, таким, что для любого вектора Ъ є (В значение вектора ж(Ь) = х(Ъ\, ..., Ь ) є Я{Ь). Обозначим С - класс всех отображений ж. (В F, являющихся селектором Д6) и удовлетворяющих Аксиомам 1-3. Покажем, что класс С не пуст. Заметим, что приведенное ниже доказательство фактически повторяет доказательство аналогичного утверждения в [4, 5], и приводится исключительно с целью использования отдельных его элементов при доказательстве последующих утверждений.
Утверждение 3. Класс С - не пуст. Доказательство. 1. Положим c(b) = D П Ь{Я(ЬУ). В силу определения, кривая D является биссектрисой пространства V ( и удовлетворяет следующим свойствам: 0 є D и кривая D - строго монотонна, непрерывна и уходит в бесконечность. В силу указанных свойств кривой D и свойств 1 - 3 отображения Я множество D П Ь{Я{Ь)) Ф 0 и в силу свойств 3, 4 отображения Я cc(b) = D П 11(b). Следовательно, Аксиома 1 выполнена. 2. Положим b b , тогда по свойству строгой монотонности кривой D выполнено либо а(Ь) а(Ь ), либо а(Ь ) а(Ь), но последнее невозможно, поскольку в силу свойств 2, 5 отображения Я о(Ь) є Я{Ь ), что противоре-чит Mjb ) = D С\ U(b ). Следовательно, Аксиома 2 выполнена. 3. Справедливость Аксиомы 3 очевидна. Доказательство закончено. Заметим, что приведенные в текущем разделе Аксиомы 1-3, определяющие класс С, по сути, совпадают с Требованиями 1-3, предъявляемыми к «хорошим» решениям и определяющими класс jf(X) (раздел 2.2.1.), совпадающий с С. Доказательства непустоты классов jf{X) и С, так же совпадают с точностью до определений. Таким образом, для поиска «хорошего» правила дележа возможно использование математического аппарата арбитражных схем, основанных на принципах «стимуляции и неподавления». Утверждение 1, доказанное в разделе 2.1, показывает, что сформулированная ранее цель управления ИБ с точки зрения Центра может быть сведена к задаче поиска распределения ресурса, приводящего к выравниванию уровней текущих информационных рисков всех агентов на текущем цикле организационного управления. Фактически, это означает, что Центру необходимо выделить максимально возможный объем ресурса для снижения самого опасного риска («стимуляция»), не нарушающий права остальных агентов («неподавление»), затем выделить максимально возможный объем оставшегося ресурса для снижения следующего по опасности риска и так далее. Очевидно, что возникает вопрос о существовании и единственности такого решения. В [4], где впервые были рассмотрены арбитражные схемы, основанные на принципах «стимуляции и неподавления», было введено понятие так называемого «максимально стимулирующего» решения (МС-решения) и доказано его существование для случая N = 2 (случай игры двух лиц). В [5, 6] «двухмерный» результат был обобщен и доказана теорема существования МС - решения для многомерного случая при некоторых дополнительных ограничениях на переговорное множество, которые в случае N= 2 выполняются автоматически.
Внедрение организационных механизмов управления информационной безопасностью корпорации на примере ООО «Лентрансгаз»
Работы по аудиту состояния ИБ корпорации ООО «Лентрансгаз» (далее - ЛТГ) выполнялись ООО «ИБС» в 2004 г. Предприятие ЛТГ было создано в 1948 году. Входит в ОАО «Газпром» и обеспечивает работу Единой системы газоснабжения России. В настоящее время ЛТГ обслуживает газотранспортную систему протяженностью более 8 тысяч километров магистральных газопроводов с 214 газораспределительными станциями. Для обеспечения работы магистрального газопровода функционируют 23 компрессорных цеха с 164 газоперекачивающими агрегатами суммарной мощностью более 800 МВт. Предприятие обеспечивыает транспорт свыше 85 млрд. кубометров газа ежегодно, поставляемого в такие крупные промышленные центры, как Санкт-Петербург, Великий Новгород, Псков, Тверь, Смоленск, Калининград, Петрозаводск. ЛТГ осуществляет транзит газа в Западную Европу, Финляндию, Прибалтику, страны СНГ. В составе ЛТГ входят: 12 линейных производственных управлений магистральных газопроводов (ЛПУ): Торжокское, Ржевское, Смоленское, Холм-Жирковское, Новгородское, Псковское, Калининградское,
Колпинское, Северное, Волховское, Пикалевское, Валдайское; 2 станции подземного хранения газа (СПХГ) - Ленинградская и Невская; производственно-техническое управление (ПТУ) по ремонту и наладке технологического оборудования «Ленгазэнергоремонт»; управление материально-технического снабжения и комплектации (УМТСиК) «Лентрансгазснабкомплект»; управление технологического транспорта и спецтехники (УТТиСТ). К основным видам деятельности ЛТГ относятся: транспортировка природного газа по магистральным газопрово дам, его хранение в подземных хранилищах, поставка газа потре бителям в России и за рубежом через распределительные станции по газопроводам-отводам; производство, хранение, транспортировка и реализация сжиженного газа; развитие и эксплуатация газотранспортных систем и подземных хранилищ газа. Основные поставки газа в газотранспортную систему ЛТГ осуществляются из северных районов Тюменской области и Вуктыльской группы месторождений. В перспективе планируется развитие газовых месторождений Ямала и шельфа Баренцева моря, за счет которых должен осуществляться основной прирост поставок газа на рынки Западной Европы, в Финляндию, расширяться газоснабжение российских регионов. В настоящее время продолжается сооружение газопровода Ямал-Европа. Двухниточная система газопроводов по основным техническим параметрам, рабочему давлению, рабочей мощности компрессорных станций и годовой производительности превосходит все существующие системы газопроводов в России. Она берет начало на Бованенковском газоконденсатном месторождении. Протяженность участка газопровода в границах ЛТГ - около 400 км.
В районе Торжка (Тверская область) трасса подключается к Единой системе газоснабжения России. Затем проходит транзитом по территории Белоруссии и Польши до границы с Германией. В составе «ямальского» газопровода в границах деятельности ООО ЛТГ -4 компрессорные станции - Смоленская (сдана в 2003г.), Торжокская (ввод в эксплуатацию - 2004 г.), Ржевская, Холм-Жирковская. В качестве объектов аудита ИБ были представлены: 1. Центральный офис (два объекта, Броневая и Варшавская - г. Санкт-Петербург). 2. ЛПУ магистральных газопроводов (двенадцать объектов): Пикалев-ское, Волховское, Северное, Колпинское, Новгородское, Псковское ((1) администрация в г. Псков; (2) Изборская компрессорная станция и диспетчерская в Псковской области), Торжокское, Ржевское, Холм-Жирковское, Смоленское ЛПУ ((1) администрация в г. Смоленск; (2) Смоленская компрессорная станция и диспетчерская в Смоленской области), Валдайское, Калининградское. 3. СПХГ (два объекта): Ленинградская, Невская. Структурная схема газопроводов ООО «Лентрансгаз» представлена на рисунке 15. Целями работы являлись: 1. Проведение обследования защищенности объектов аудита ИБ. 2. Проведение анализа рисков нарушения ИБ для объектов аудита ИБ. 3. Разработка рекомендаций по совершенствованию системы защиты на объектах аудита ИБ и плана внедрения рекомендаций. Все работы выполнялись в соответствии с «Методикой организации проектных работ в области информационной безопасности и оценки информационных рисков» (раздел 3.1) Определение «уровня зрелости» корпорации ООО «Лентрапсгаз» В соответствии с моделью предложенной Carnegie Mellon University (раздел 1.2.1), исходя из приведенных выше целей аудита ИБ и наличия в организационной структуре управляющей компании ЛТГ Управления безопасности (УБ ЛТГ), в состав которого входит отдел по защите информации (далее - отдел ИБ) (рисунок 16), корпорацию ЛТГ по уровню зрелости понимания проблем ИБ можно отнести к «третьему» уровню. По отдельным показателям ЛТГ по уровню зрелости можно отнести даже к «четвертому» уровню указанной модели.
Соответственно в рамках модели, разработанной Gartner Group (раздел 1.2.1) корпорация ЛТГ по уровню зрелости может быть отнесена ко «второму» - «третьему» уровням. Таким образом, можно констатировать, что на момент проведения работ по аудиту ИБ корпорация ЛТГ, с точки зрения организации управления ИБ, являлась достаточно «продвинутой» компанией, соответствующей среднему уровню, характерному для крупных корпораций нефте-газовой отрасли и не уступающей таким организациям, как ООО «Тюменьтранс-газ», ОАО «Транснефть», ОАО «Лукойл» и ряду других. С точки зрения построения организационной структуры управления (рисунок 16) корпорацию ЛТГ можно отнести к организациям с бюрократическим типом управления. Тем не менее, для корректного определения эффективных организационных механизмов управления ИБ представлялось целесообразным провести дополнительный анализ. В разделе 1.3.2 были выделены ключевые факторы, оказывающие существенное влияние на выбор организационных механизмов управления ИБ: порядок проведения аудита и анализа рисков ИБ корпорации; порядок формирования заявки подразделениями корпорации; порядок формирования бюджета на мероприятия в области ИБ; порядок распределения бюджета на мероприятия в области ИБ между подразделениями корпорации. Аудит и анализ рисков ИБ в головной компании (головной офис) и подразделениях (ЛПУ и СПХГ) проводился внешней организацией (в данном случае - ООО «ИБС»), выбираемой УБ ЛТГ и осуществлялся в соответствии с требованиями международных стандартов и регламентирующих документов ЛТГ и ОАО «Газпром». Результаты аудита и анализа рисков ИБ согласовывались с подразделениями и утверждались УБ ЛТГ. Формирование предложений по снижению уровня информационных рисков подразделений (формирование заявки), на основании результатов, полученных на этапе анализа рисков, готовились внешней организацией (000 «ИБС»), согласовывались с подразделениями и утверждлись УБ ЛТГ. Формирование предложений по бюджету на мероприятия в области ИБ осуществлялось директором УБ ЛТГ с учетом предложений подразделений и утверждалось Генеральным директором ЛТГ.
