Разработка системы поддержки принятия решений с использованием информации устройства передачи сигналов и команд в противоаварийной автоматике для снижения аварийности в электрических сетях

Информационный риск вызывается внутренними или внешними причинами. Факторы информационных рисков, в меньшей степени связаны с конкретными источниками риска, чем причины рисков. Они в основном отражают состояние информационной системе предприятия в целом, и особенно состояние подсистемы противодействия информационным рискам. Факторы риска близки к понятию уязвимости системы, которые используется специалистами по защите информации. Для наступления рискового события необходимо одновременное наличие причины и фактора риска.

Информационные риски, которые наносят ущерб предприятию, являющийся следствием воздействия рисков на бизнес-процессы предприятия или внешнюю среду называют - косвенными информационными рисками. Так как информационные риски приводят к ущербу предприятия они с полным правом могут быть отнесены к экономическим рискам. При выделении информационных рисков в отдельный вид экономических рисков важно определить соотношение и взаимосвязи информационных и других экономических рисков. Проблема заключаться в том, что не существует единой общепризнанной универсальной классификации, имеющей научное обоснование. Это объясняется, прежде всего, большим количеством видов рисков и возможных признаков их классификации.

Эффективность организации управления риском во многом определяется классификацией риска. Под классификацией риска следует понимать распределение риска на конкретные группы по определенным признакам для достижения поставленных целей. Научно обоснованная классификация риска позволяет четко определить место каждого риска в их общей системе. Она создает возможности для эффективного применения соответствующих методов, приемов управления риском. Каждому риску соответствует своя система приемов управления риском.

Квалификационная система рисков включает группу, категории, виды и разновидности рисков. В зависимости от возможного результата, риски можно поделить на две большие группы: чистые и спекулятивные. Чистые риски означают возможность получения отрицательного или нулевого результата. К этим рискам относятся следующие: природно-естественные, экологические, политические, транспортные и часть коммерческих рисков. Спекулятивные риски выражаются в возможности получения как положительного, так и отрицательного результата. К ним относятся финансовые риски, являющиеся частью коммерческих.

В зависимости от основной причины возникновения риски делятся на следующие категории: природно-естественные риски, экологические, политические, транспортные и коммерческие риски. По структурному признаку коммерческие риски делятся на: имущественные, производственные, торговые и финансовые.

Среди инвестиционных рисков особенно стоит отметить информационные риски. К информационным, относятся риски частичного или полного неполучения запланированного дохода вследствие недостаточной надежности используемой в процессе реализации бизнес-проекта информации. По отношению к бизнес планированию необходимо провести более подробную классификацию рисков с целью нахождению эффективных методов управления ими.

Риски бизнес-планирования, входящие в группу информационных, можно классифицировать по следующим признакам:

функциональные;

структурные;

временные;

риски влияния.

К функциональной разновидности рисков бизнес-планирования относятся риски, определяемые функциональной направленностью информационных комплексов общей информационной системы хозяйствующего субъекта. В результате анализа можно выделить следующие виды таких рисков:

риск сбора информации;

риск обобщения и классификации;

риск обработки информации;

риск представления.

Риски влияния обусловлены человеческим фактором и его воздействием на формирование информации. По этому признаку выделяются: случайные риски и вынужденные.[ Имануал:-URL http://emanual.ru/download/8874.html. Дата обращения 21.01.15.]

Инструментальные средства анализа рисков позволяют автоматизировать работу специалистов в области защиты информации, осуществляющих оценку или переоценку информационных рисков предприятия.

В России в настоящее время чаще всего используются разнообразные «бумажные» методики, достоинствами которых являются гибкость и адаптивность. Как правило, разработкой данных методик занимаются компании - системные и специализированные интеграторы в области защиты информации. По понятным причинам методики обычно не публикуются, поскольку относятся к «know how» компании. В силу закрытости данных методик судить об их качестве, объективности и возможностях достаточно сложно.

Специализированное ПО, реализующее методики анализа рисков, может относиться к категории программных продуктов (имеется на рынке) либо являться собственностью ведомства или организации и не продаваться. Если ПО разрабатывается как программный продукт, оно должно быть в достаточной степени универсальным. Ведомственные варианты ПО адаптированы под особенности постановок задач анализа и управления рисками и позволяют учесть специфику информационных технологий организации.

Предлагаемое на рынке ПО ориентировано в основном на уровень информационной безопасности, несколько превышающий базовый уровень защищенности. Таким образом, инструментарий рассчитан в основном на потребности организаций 3-4 степени зрелости, описанных в первой главе.

В 2000 году принят международный стандарт ISO 17799, за основу которого взят британский стандарт BS 7799. В результате большинство инструментальных средств (ПО анализа риска) было в последнее время модифицировано так, чтобы обеспечить соответствие требованиям именно этого стандарта. Рассмотрим специализированное ПО, условно разделив его на две группы: ПО базового уровня и ПО полного анализа рисков.

Прежде всего обсудим инструментарий, соответствующий ISO 17799:

справочные и методические материалы;

ПО анализа рисков и аудита Cobra

Затем изучим ПО обеспечивающее дополнительные возможности по сравнению с базовым уровнем защищенности, но еще не достаточное для выполнения полного анализа рисков.

Некоторые британские фирмы предлагают следующие продукты:

политику информационной безопасности (Information Security Police)

гипертекстовые справочники по вопросам защиты информации (SOS -INTERACTIVE "ONLINE" SECURITY POLICIES AND SUPPORT);

руководства для сотрудников служб безопасности (Security Professionals Guide).

Эти продукты представляют собой справочники, посвященные практическим аспектам реализации политики безопасности в соответствии с ISO 17799. Их достоинством является гипертекстовая структура, удобная навигация.

Еще один продукт подобного рода - руководство по применению стандарта ISO 17799 (THE ISO 17799 TOOLKIT), текст стандарта ISO 17799 с комплектом методических материалов по его применению и презентацией.

COBRA. Программный продукт для анализа и управления рисками COBRA, производитель - С & A Systems Security Ltd., позволяет формализовать и ускорить процесс проверки на соответствие режима информационной безопасности требованиям Британского стандарта BS 7799 (ISO 17799) и провести простейший анализ рисков. Имеется несколько баз знаний: общие требования BS 7799 (ISO 17799) и специализированные базы, ориентированные на различные области применения. Доступна демонстрационная версия этого ПО.

COBRA позволяет представить требования стандарта в виде тематических «вопросников» по отдельным аспектам деятельности организации.

Анализ рисков, выполняемый данным методом, отвечает базовому уровню безопасности, то есть уровни рисков не определяются. Достоинство методики - в ее простоте. Необходимо ответить на несколько десятков вопросов, затем автоматически формируется отчет.

Этот программный продукт может применяться при проведении аудита ИБ или для работы специалистов служб, ответственных за обеспечение информационной безопасности.

Простота, соответствие международному стандарту, сравнительно небольшое число вопросов позволяют легко адаптировать этот метод для работы в отечественных условиях.

RA Software Tool. Еще один метод, условно относящийся к базовому уровню, - RA Software Tool - базируется на британском стандарте BS 7799, части 1 и 2, на методических материалах Британского института стандартов (BSI) PD 3002 (Руководство по оценке и управлению рисками), PD 3003 (Оценка готовности компании к аудиту в соответствии с BS 7799), PD 3005 (Руководство по выбору системы защиты), а также стандарте ISO 13335, части 3 и 4 (Руководство по управлению режимом информационной безопасности, технологии управления безопасностью и выбор средств защиты).

Этот инструментарий позволяет выполнять оценку рисков в соответствии как с требованиями базового уровня, так и с более детальными спецификациями PD 3002 Британского института стандартов.

Рассмотрим несколько методов, которые можно отнести к инструментарию для нужд организаций четвертого и пятого уровней зрелости.

Как уже отмечалось, четко провести границу между методами базового и полного анализа рисков сложно. Например, упомянутый выше RA Software Tool имеет ряд простейших средств, которые дают возможность формально отнести его к средствам полного анализа рисков. Ниже рассматривается инструментарий с более развитыми средствами анализа рисков и управления ими.

Программные средства, позволяющие провести полный анализ рисков, создаются с использованием структурных методов системного анализа и проектирования (SSADM - Structured Systems Analysis and Design) и относятся к категории средств автоматизации разработки или CASE-средств (Computer Aided System Engineering).

Такие методы представляют собой инструментарий для:

построения модели ИС с позиции ИБ;

оценки ценности ресурсов;

составления списка угроз и оценки их вероятностей;

выбора контрмер и анализа их эффективности;

анализа вариантов построения защиты;

документирования (генерации отчетов).

Метод CRAMM. В 1985 году Центральное агентство по компьютерам и телекоммуникациям (ССТА) Великобритании начало исследования существующих методов анализа ИБ, чтобы рекомендовать методы, пригодные для использования в правительственных учреждениях, занятых обработкой несекретной, но критичной информации. Ни один из рассмотренных методов не подошел. Поэтому был разработан новый метод, соответствующий требованиям ССТА Он получил название CRАММ - метод ССТА анализа и контроля рисков. Затем появилось несколько версий метода, ориентированных на требования Министерства обороны, гражданских государственных учреждений, финансовых структур, частных организаций, Одна из версий, «коммерческий профиль», представляет собой коммерческий продукт.

Целью разработки метода являлось создание формализованной процедуры, позволяющей:

убедиться, что требования, связанные с безопасностью, полностью проанализированы и документированы;

избежать расходов на излишние меры безопасности, возможные при субъективной оценке рисков;

оказывать помощь в планировании и осуществлении защиты на всех стадиях жизненного цикла информационных систем:

обеспечить проведение работ в сжатые сроки;

автоматизировать процесс анализа требований безопасности;

представить обоснование для мер противодействия;

оценивать эффективность контрмер, сравнивать различные их варианты;

генерировать отчеты.

Анализ рисков включает идентификацию и вычисление уровней (мер) рисков на основе оценок, присвоенных ресурсам, угрозам и уязвимостям ресурсов.

Контроль рисков состоит в идентификации и выборе контрмер, благодаря которым удается снизить риски до приемлемого уровня.

Формальный метод, основанный на этой концепции, позволяет убедиться, что защита охватывает всю систему и существует уверенность в том, что:

все возможные риски идентифицированы;

уязвимости ресурсов идентифицированы и их уровни оценены;

угрозы идентифицированы и их уровни оценены;

контрмеры эффективны;

расходы, связанные с ИБ, оправданы.

Исследование ИБ системы с помощью CRAMM проводится в несколько этапов.

На первой стадии Initiation, производится формализованное описание границ информационной системы, ее основных функций, категорий пользователей, а также персонала, принимающего участие в обследовании.

На стадии идентификации и оценки ресурсов, Identification and Valuation of Assets, описывается и анализируется все, что касается идентификации и определения ценности ресурсов системы. В конце этой стадии заказчик исследования будет знать, удовлетворит ли его существующая традиционная практика или он нуждается в проведении полного анализа рисков. В последнем случае будет построена модель информационной системы с позиции информационной безопасности.

Стадия оценивания угроз и уязвимостей, Threat and Vulnerability Assessment, не является обязательной, если заказчика удовлетворит базовый уровень информационной безопасности. Эта стадия выполняется при проведении полного анализа рисков. Принимается во внимание все, что относится к идентификации и оценке уровней угроз для групп ресурсов и их уязвимостей. В конце стадии заказчик получает идентифицированные и оцененные уровни угроз и уязвимостей для своей системы.

Стадия анализа рисков, Risk Analysis, позволяет оценить риски либо на основе сделанных оценок угроз и уязвимостей при проведении полного анализа рисков, либо путем использования упрощенных методик для базового уровня безопасности.

На стадии управления рисками, Risk Management, производится поиск адекватных контрмер. По существу речь идет о нахождении варианта системы безопасности, наилучшим образом удовлетворяющей требованиям заказчика. В конце стадии он будет знать, как модифицировать систему в терминах мер уклонения от риска, а также путем выбора специальных мер противодействия, ведущих к снижению или минимизации оставшихся рисков.

Каждая стадия объявляется законченной после детального обсуждения и согласования результатов с заказчиком.[ Панасенко:-URL http://www.panasenko.ru/Articles/77/77.html. Дата обращения 22.01.15.]

Средства компании MethodWare. Компания MethodWare выпускает ряд продуктов, которые могут быть полезными для аналитиков в области информационной безопасности при проведении анализа рисков, управлении рисками, аудите информационной безопасности. Речь идет о:

ПО анализа и управления рисками Operational Risk Builder и Risk Advisor. Методология отвечает австралийскому стандарту Australian/New Zealand Risk Management Standard (AS/NZS 4360:1999). Имеется версия, соответствующая ISO 17799;

ПО управления жизненным циклом информационной технологии в соответствии с открытым стандартом в области информационных технологий CobiT Advisor 3rd Edition (Audit) и CobiT 3rd Edition Management Advisor. В руководствах CobiT существенное место уделяется анализу и управлению рисками;

ПО для автоматизации построения разнообразных опросных листов Questionnaire Builder.

Рассмотрим ПО Risk Advisor. Оно позиционируется как инструментарий аналитика или менеджера в области информационной безопасности. Реализована методика, позволяющая задать модель информационной системы с позиции информационной безопасности, идентифицировать риски, угрозы, потери в результате инцидентов.

Основные этапы работы:

описание контекста;

описание рисков;

описание угроз;

оценка потерь;

анализ управляющих воздействий;

предложение контрмер и плана действий.

Описание контекста. На этом этапе рассматривается несколько аспектов модели взаимодействия организации с внешним миром: стратегический, организационный, бизнес-цели, управление рисками, а также критерии оценивания рисков.

В стратегическом аспекте анализируются сильные и слабые стороны организации с внешних позиций, варианты развития, классы угроз и отношения с партнерами. Организационный контекст отражает отношения внутри организации: стратегию, цели на организационном уровне, внутреннюю политику. Контекст управления рисками представляет собой концепцию информационной безопасности. Контекст бизнес-целей - основные бизнес-цели. Критерии оценивания рисков - имеются в виду критерии, принятые при управлении рисками.

Описание рисков. Задается матрица рисков, поэтому риски описываются в соответствии с определенным шаблоном и устанавливаются связи этих рисков с другими элементами модели.

Риски оцениваются по качественной шкале и разделяются на приемлемые и неприемлемые на основе простейшей модели.

Затем выбираются управляющие воздействия (контрмеры) с учетом зафиксированной ранее системы критериев, эффективности контрмер и их стоимости. Стоимость и эффективность также оцениваются в качественных шкалах.

Описание угроз. Прежде всего формируется список угроз. Угрозы определенным образом классифицируются, затем рассматривается связь между рисками и угрозами. Описание также делается на качественном уровне и позволяет зафиксировать эти взаимосвязи.

Описание потерь. Перечисляются события (последствия), связанные с нарушением режима информационной безопасности. Потери оцениваются в выбранной системе критериев.

Анализ результатов. В результате построения модели можно сформировать подробный отчет (около 100 разделов), посмотреть на экране агрегированные описания в виде графика рисков.

Оценка возможностей метода Risk Advisor. Данный инструмент позволяет документировать всевозможные аспекты, связанные с управлением риском, на верхних уровнях - административном и организационном. А программно-технические аспекты фиксировать в этой модели не очень удобно. Оценки даются в качественных шкалах, подробного анализа факторов рисков не предусмотрено.

Сильной стороной данного метода является возможность представления разноплановых взаимосвязей, адекватного учета многих факторов риска и существенно меньшая трудоемкость по сравнению с CRAMM.

Экспертная система «АванГард». В настоящее время на российском рынке продается отечественное ПО «АванГард», разработка Института системного анализа РАН, подробное описание которого можно найти в «АванГард» позиционируется как экспертная система управления информационной безопасностью.

Типовой пакет программных средств КЭС «АванГард» включает два программных комплекса - «АванГард-Анализ» и «АванГард-Контроль». Каждый из этих комплексов базируется на своей методике оценки рисков.

В первом предполагается оценка рисков на основе расчета рискообразующих потенциалов компонентов оцениваемой системы. При этом под рискообразующим потенциалом понимается та часть совокупного риска, связанного с системой, которая может быть отнесена на счет этого компонента. Расчет рискообразующих потенциалов выполняется следующим образом.

Сначала строятся модели событий рисков, содержащие по возможности подробное неформальное описание этих событий и перечень угроз, которые могут привести к ним. Далее по каждой модели события риска рассчитывается оценка риска -как произведение оценки вероятности события риска и оценки степени опасности события риска. При этом оценки, как вероятностей событий риска, так и степени опасности этих событий, предлагается получать с помощью ранговых шкал. Шкала вероятности имеет фиксированный размер от 0 до 100 (от нулевой до 100-процентной вероятности возникновения события риска в течение года). Нижняя граница шкалы опасности - 0, верхняя граница отсутствует, поэтому шкала строится по следующему принципу. Сначала на нее наносятся те риски, вся опасность которых сводится к материальному ущербу и может быть выражена в денежных единицах. В результате получается базовая шкала опасности событий рисков. Далее пользователям предлагается абстрагироваться от «денежной» метрики и воспринимать шкалу как выражающую лишь относительную степень опасности отдельных событий и указывать на ней события рисков путем сравнения степени их нежелательности или недопустимости. При этом верхняя граница шкалы может по мере надобности подниматься. Предусмотрен мощный механизм верификации даваемых оценок путем попарного сравнения вероятностей и степеней опасности каждого вновь указываемого события риска с теми, которые уже определены. Если для какой-либо пары соотношение в оценках не соответствует взглядам экспертов, то ранее выставленные оценки должны быть пересмотрены. Кроме того, предусматривается возможность распечатки выставленных оценок и их обсуждения и корректировки множеством экспертов (метод Дельфийских групп).

Методика предполагает, что любое событие риска происходит в результате реализации некоторого множества угроз, причем каждая из них может быть определена как угроза безопасности какого-либо компонента оцениваемой системы. Таким образом удается определить рискообразующий потенциал каждой из угроз в зависимости от ее «вклада» в события риска, а также рискообразующие потенциалы тех компонентов, к которым эти угрозы относятся, и рассчитать риски по всём структурным составляющим оцениваемой системы и по системе в целом.

В то же время предлагаемый разработчиками программный комплекс «Аван-Гард-Анализ» призван выполнять вспомогательную роль в решении задач управления ИБ, а именно: обеспечивать полноценный всесторонний анализ, позволяющий аргументированно сформулировать набор целей безопасности, обосновать политику безопасности, гарантировать полноту требований безопасности, контроль выполнения которых нужно осуществлять. Соответственно оценка рисков в нем проводится с целью разрешения указанных проблем.

Методика оценки рисков комплекса «АванГард-Контроль» подчинена задаче контроля уровня защищенности АИС и потому отличается от методики комплекса «АванГард-Анализ». Если методика комплекса «АванГард-Анализ» относится к рискам возможных нарушений безопасности оцениваемой системы, то методика комплекса «АванГард-Контроль» посвящена рискам, являющимся результатом невыполнения требований обеспечения безопасности оцениваемой системы и ее компонентов.

Следовательно, для применения комплекса «АванГард-Контроль» необходимо для каждого компонента оцениваемой системы иметь полный набор требований, выполнение которых означает нулевой риск нарушения безопасности системы. В то же время подразумевается, что при невыполнении всех требований риск нарушения безопасности системы будет 100-процентным.

Значительно облегчить работу по составлению полных наборов требований позволяет использование профилей защиты для отдельных компонентов оцениваемой системы, построенных на основе принятого в конце 2002 г. ГОСТ Р ИСО/МЭК 15408-2002 по критериям оценки безопасности информационных технологий. В связи с тем, что в 2004 г. планируется введение этого ГОСТа в действие, рассмотрим подробнее возможности оценить риски невыполнения его требований с помощью системы «АванГард-Контроль».

Предварительно поясним, что программный комплекс «АванГард-Контроль», в свою очередь, состоит из двух частей - программного комплекса (ПК) «АванГард-Центр» и ПК «АванГард-Регион». Первый предназначен для нескольких целей, таких как разработка профилей защиты (ПЗ); подготовка и рассылка ПЗ посредством электронной почты по подконтрольным частям АИС; автоматизированный сбор отчетности о выполнении требований безопасности в частях АИС; оценка рисков невыполнения требований безопасности в АИС; идентификация узких мест в защите. Второй - для получения профилей защиты в отдельных частях АИС, автоматизации ведения отчетности о выполнении ПЗ и отсылки этой отчетности для ее обработки ПК «АванГард-Центр».

Разработка профилей защиты в ПК «АванГард-Центр» проводится в разделе ведения каталогов программного комплекса. Изначально в КЭС «АванГард» было определено несколько ключевых понятий, таких как метакласс, класс, мера, требование. Метаклассы предназначены для группировки классов объектов АИС по каким-либо конкретным признакам. Классы определяют классы объектов, для которых формируются типовые наборы требований (профили защиты). Меры устанавливают функциональные классы и классы гарантий требований в терминологии ГОСТ Р ИСО/МЭК 15408-2002. Требования включают функциональные семейства, семейства гарантий, функциональные компоненты, компоненты гарантий, функциональные элементы и элементы гарантий в соответствии с ГОСТ Р ИСО/ МЭК 15408-2002.

Для профилей защиты, создаваемых на основе ГОСТ Р ИСО/МЭК 15408-2002, в каталогах ПК «АванГард-Центр» выделен метакласс «Требования и профили защиты по ГОСТ Р ИСО/МЭК 15408-2002». В этом метаклассе создан один «базовый» класс, в который входят все требования, содержащиеся в ГОСТ Р ИСО/МЭК 15408-2002, как функциональные, так и касающиеся гарантий безопасности.

Профили защиты по ГОСТ Р ИСО/МЭК 15408-2002 строятся следующим образом. Средствами ПК «АванГард-Центр» делается копия класса «Требования ГОСТ Р ИСО/МЭК 15408-2002». Далее выполняется операция «Вставить как шаблон профиля защиты» в метакласс «Требования и профили защиты по ГОСТ Р ИСО/МЭК 15408-2002». При этом предлагается поменять название класса. Предположим, что оно было заменено на следующее: «Система с разграничением доступа - Профиль защиты». В результате создается шаблон, который путем последовательного анализа требований корректируется так, что в нем остаются только меры и требования, необходимые для поддержания безопасности объектов того типа, для которого строится этот профиль защиты. Все ненужные в данном профиле меры и требования удаляются, а в оставшихся содержимое приводится в соответствие задачам обеспечения безопасности заданного типа объектов.

Созданные профили защиты могут быть либо распечатаны на бумаге, либо экспортированы в файл формата редактора WinWord.

С помощью разрабатываемых в системе ПК «АванГард-Центр» профилей защиты в структурную модель анализируемой системы заносятся объекты, оцениваемые по заданному ПЗ. Для создания таких объектов оценки (ОО) выполняется операция перетаскивания (drug and drop) нужного профиля защиты на ту составляющую структурной модели, в качестве элемента которой должен быть показан объект, отвечающий требованиям безопасности и соответствующий выбранному ПЗ.

«АванГард-Центр» позволяет по результатам анализа выполнения требований ПЗ по отдельным ОО оценить риски невыполнения требований в информационной системе. Чем больше требований не выполняется, тем больше риски и тем выше столбики гистограммы. В рассмотренном примере значимости отдельных требований приняты одинаковыми, но в принципе можно задавать различные значения, отражающие реальную важность отдельных требований для обеспечения безопасности ОО.

Таким образом, КЭС «АванГард» позволяет не только автоматизировать процесс разработки профилей защиты в соответствии с ГОСТ Р ИСО/МЭК 15408-2002, но и использовать ПЗ для оценки выполнения этих требований в информационных системах организации.

В заключение следует отметить, что экспертная система «АванГард» хорошо подходит для построения ведомственных и корпоративных методик анализа рисков и управления ими. Ее можно рассматривать как полноценный универсальный инструментарий и для анализа и оценки рисков, и для решения задач всеобъемлющего систематического контроля безопасности АИС (в том числе в таких аспектах, как выполнение политик безопасности, ГОСТов и требований Гостехкомиссии, законодательства, внутренних приказов и распоряжений, касающихся безопасности, а также должностных инструкций) во всех подразделениях, использующих АИС.

RiskWatch. Компания RiskWatch предлагает два продукта: один относится к информационной, второй - к физической безопасности. ПО предназначено для идентификации и оценки защищаемых ресурсов, угроз, уязвимостей и мер защиты в области компьютерной и физической безопасности предприятия.

В продукте, предназначенном для управления рисками в информационных системах, учитываются требования стандартов США (можно выбирать требуемый уровень защищенности). Кроме того, выпущена версия продукта RiskWatch RW17799®, соответствующая стандарту ISO 17799. RiskWatch помогает провести анализ рисков и сделать обоснованный выбор мер и средств защиты. Используемая в программе методика состоит из четырех этапов.

Первый этап - определение предмета исследования. На данном этапе описываются параметры организации: ее тип, состав исследуемой системы, базовые требования в области безопасности. Описание формализуется в ряде подпунктов, которые можно отметить для подробной детализации или пропустить.

Далее каждый из указанных пунктов описывается подробно.

Для облегчения работы аналитика в шаблонах даются списки категорий защищаемых ресурсов, потерь, угроз, уязвимостей и мер защиты. Из них нужно отобрать те, которые реально присутствуют в организации.

Допускается модификация названий и описаний, а также добавление новых категорий, что позволяет достаточно просто русифицировать данный метод.

Второй этап - внесение данных, касающихся конкретных характеристик системы. Данные могут вводиться вручную или импортироваться из отчетов, созданных инструментальными средствами исследования уязвимости компьютерных сетей.

На этом этапе:

подробно описываются ресурсы, потери и классы инцидентов. Классы инцидентов получаются путем сопоставления категории потерь и категории ресурсов;

с помощью опросника, база которого содержит более 600 вопросов, выявляются возможные уязвимости. Вопросы связаны с категориями ресурсов. Допускается корректировка и исключение вопросов или добавление новых;

задается частота возникновения каждой из выделенных угроз, степень уязвимости и ценность ресурсов. Все это служит в дальнейшем для расчета эффективности внедрения средств защиты.

Третий этап - оценка рисков. Сначала устанавливаются связи между ресурсами, потерями, угрозами и уязвимостями, выделенными на предыдущих этапах.

Для рисков рассчитываются математические ожидания потерь за год по формуле:

(4.1)

где р - частота возникновения угрозы в течение года;

v - стоимость ресурса, который подвергается угрозе.

Например, если стоимость сервера составляет 150 000 долл., а вероятность его уничтожения пожаром в течение года - 0,01, то ожидаемые потери будут равны 1500 долл.

Дополнительно рассматриваются сценарии «что если...», которые позволяют описать аналогичные ситуации при условии внедрения средств защиты. Сравнивая ожидаемые потери при наличии защитных мер и без них, можно оценить эффект от таких мероприятий.

Четвертый этап - генерация отчетов. Типы отчетов:

краткие итоги;

полные и краткие отчеты об элементах, описанных на стадиях 1 и 2;

отчет о стоимости защищаемых ресурсов и ожидаемых потерь от реализации угроз;

отчет об угрозах и мерах противодействия;

отчет о результатах аудита безопасности.

Возможности RiskWatch. В RiskWatch упрощенный подход используется как к описанию модели информационной системы, так и оценке рисков.

Трудоемкость работ по анализу рисков этим методом сравнительно невелика. Такой метод удобен, если требуется провести анализ рисков на программно-техническом уровне защиты без учета организационных и административных факторов. Однако следует иметь в виду, что полученные оценки рисков (математическое ожидание потерь) далеко не исчерпывают понимание риска с системных позиций.

Существенным достоинством RiskWatch с точки зрения отечественного потребителя является его сравнительная простота, малая трудоемкость русификации и большая гибкость метода, обеспечиваемая возможностью введения новых категорий, описаний, вопросов и т.д. На основе этого метода отечественные разработчики могут создавать свои профили, отражающие отечественные требования в области безопасности, разрабатывать ведомственные методики анализа и управления рисками.[ Панасенко:-URL http://www.panasenko.ru/Articles/6/6.html. Дата обращения 25.01.15.]

4.2 Информационная безопасность

Последнее время сообщения об атаках на информацию, о хакерах и компьютерных взломах наполнили все средства массовой информации. Что же такое "атака на информацию"? Дать определение этому действию на самом деле очень сложно, поскольку информация, особенно в электронном виде, представлена сотнями различных видов. Информацией можно считать и отдельный файл, и базу данных, и одну запись в ней, и целиком программный комплекс. И все эти объекты могут подвергнуться и подвергаются атакам со стороны некоторой социальной группы лиц.

При хранении, поддержании и предоставлении доступа к любому информационному объекту его владелец, либо уполномоченное им лицо, накладывает явно либо самоочевидно набор правил по работе с ней. Умышленное их нарушение классифицируется как атака на информацию.

С массовым внедрением компьютеров во все сферы деятельности человека объем информации, хранимой в электронном виде вырос в тысячи раз. И теперь скопировать за полминуты и унести дискету с файлом, содержащим план выпуска продукции, намного проще, чем копировать или переписывать кипу бумаг. А с появлением компьютерных сетей даже отсутствие физического доступа к компьютеру перестало быть гарантией сохранности информации.

Каковы возможные последствия атак на информацию? В первую очередь, конечно, нас будут интересовать экономические потери:

Раскрытие коммерческой информации может привести к серьезным прямым убыткам на рынке;

Известие о краже большого объема информации обычно серьезно влияет на репутацию фирмы, приводя косвенно к потерям в объемах торговых операций;

Фирмы-конкуренты могут воспользоваться кражей информации, если та осталась незамеченной, для того чтобы полностью разорить фирму, навязывая ей фиктивные либо заведомо убыточные сделки;

Подмена информации как на этапе передачи, так и на этапе хранения в фирме может привести к огромным убыткам;

Многократные успешные атаки на фирму, предоставляющую какой-либо вид информационных услуг, снижают доверие к фирме у клиентов, что сказывается на объеме доходов.

Естественно, компьютерные атаки могут принести и огромный моральный ущерб. Понятие конфиденциального общения давно уже стало "притчей во языцех". Само собой разумеется, что никакому пользователю компьютерной сети не хочется, чтобы его письма кроме адресата получали еще 5-10 человек, или, например, весь текст, набираемый на клавиатуре ЭВМ, копировался в буфер, а затем при подключении к Интернету отправлялся на определенный сервер. А именно так и происходит в тысячах и десятках тысяч случаев.

Несколько интересных цифр об атаках на информацию. Они были получены исследовательским центром DataPro Research в 1998 году. Основные причины повреждений электронной информации распределились следующим образом: неумышленная ошибка человека - 52% случаев, умышленные действия человека - 10% случаев, отказ техники - 10% случаев, повреждения в результате пожара -15% случаев, повреждения водой - 10% случаев. Как видим, каждый десятый случай повреждения электронных данных связан с компьютерными атаками.

Кто был исполнителем этих действий: в 81% случаев - текущий кадровый состав учреждений, только в 13% случаев - совершенно посторонние люди, и в 6% случаев - бывшие работники этих же учреждений. Доля атак, производимых сотрудниками фирм и предприятий, просто ошеломляет и заставляет вспомнить не только о технических, но и о психологических методах профилактики подобных действий.

И, наконец, что же именно предпринимают злоумышленники, добравшись до информации: в 44% случаев взлома были произведены непосредственные кражи денег с электронных счетов, в 16% случаев выводилось из строя программное обеспечение, столь же часто - в 16% случаев - производилась кража информации с различными последствиями, в 12% случаев информация была cфальсифицирована, в 10% случаев злоумышленники с помощью компьютера воспользовались либо заказали услуги, к которым в принципе не должны были иметь доступа.

Информация с точки зрения информационной безопасности обладает следующими категориями:

конфиденциальность - гарантия того, что конкретная информация доступна только тому кругу лиц, для кого она предназначена; нарушение этой категории называется хищением либо раскрытием информации;

целостность - гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений; нарушение этой категории называется фальсификацией сообщения;

аутентичность - гарантия того, что источником информации является именно то лицо, которое заявлено как ее автор; нарушение этой категории также называется фальсификацией, но уже автора сообщения;

апеллируемость - довольно сложная категория, но часто применяемая в электронной коммерции - гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный человек, и не может являться никто другой; отличие этой категории от предыдущей в том, что при подмене автора, кто-то другой пытается заявить, что он автор сообщения, а при нарушении апеллируемости - сам автор пытается "откреститься" от своих слов, подписанных им однажды.

В отношении информационных систем применяются иные категории:

надежность - гарантия того, что система ведет себя в нормальном и внештатном режимах так, как запланировано;

точность - гарантия точного и полного выполнения всех команд;

контроль доступа - гарантия того, что различные группы лиц имеют различный доступ к информационным объектам, и эти ограничения доступа постоянно выполняются;

контролируемость - гарантия того, что в любой момент может быть произведена полноценная проверка любого компонента программного комплекса;

контроль идентификации - гарантия того, что клиент, подключенный в данный момент к системе, является именно тем, за кого себя выдает;

устойчивость к умышленным сбоям - гарантия того, что при умышленном внесении ошибок в пределах заранее оговоренных норм система будет вести себя так, как оговорено заранее.

Одной из первых моделей была опубликованная в 1977 модель Биба (Biba). Согласно ей все субъекты и объекты предварительно разделяются по нескольким уровням доступа, а затем на их взаимодействия накладываются следующие ограничения: 1) субъект не может вызывать на исполнение субъекты с более низким уровнем доступа; 2) субъект не может модифицировать объекты с более высоким уровнем доступа. Как видим, эта модель очень напоминает ограничения, введенные в защищенном режиме микропроцессоров Intel 80386+ относительно уровней привилегий.

Модель Гогена-Мезигера (Goguen-Meseguer), представленная ими в 1982 году, основана на теории автоматов. Согласно ей система может при каждом действии переходить из одного разрешенного состояния только в несколько других. Субъекты и объекты в данной модели защиты разбиваются на группы - домены, и переход системы из одного состояния в другое выполняется только в соответствии с так называемой таблицей разрешений, в которой указано какие операции может выполнять субъект, скажем, из домена C над объектом из домена D. В данной модели при переходе системы из одного разрешенного состояния в другое используются транзакции, что обеспечивает общую целостность системы.

Сазерлендская (от англ. Sutherland) модель защиты, опубликованная в 1986 году, делает акцент на взаимодействии субъектов и потоков информации. Так же как и в предыдущей модели, здесь используется машина состояний со множеством разрешенных комбинаций состояний и некоторым набором начальных позиций. В данной модели исследуется поведение множественных композиций функций перехода из одного состояния в другое.

Важную роль в теории защиты информации играет модель защиты Кларка-Вильсона (Clark-Wilson), опубликованная в 1987 году и модифицированная в 1989. Основана данная модель на повсеместном использовании транзакций и тщательном оформлении прав доступа субъектов к объектам. Но в данной модели впервые исследована защищенность третьей стороны в данной проблеме - стороны, поддерживающей всю систему безопасности. Эту роль в информационных системах обычно играет программа-супервизор. Кроме того, в модели Кларка-Вильсона транзакции впервые были построены по методу верификации, то есть идентификация субъекта производилась не только перед выполнением команды от него, но и повторно после выполнения. Это позволило снять проблему подмены автора в момент между его идентификацией и собственно командой. Модель Кларка-Вильсона считается одной из самых совершенных в отношении поддержания целостности информационных систем.[ Андрианов В.В., Зефиров С.Л., Голованов В.Б., Голдуев Н.А. «Обеспечение информационной безопасности бизнеса», Альпина Паблишерз, 2011 - 338 с.]

4.3 Перечень контрмер и расчет их эффективности

Информационные риски - это опасность возникновения убытков или ущерба в результате применения компанией информационных технологий. Иными словами, IT-риски связаны с созданием, передачей, хранением и использованием информации с помощью электронных носителей и иных средств связи. IT-риски можно разделить на две категории:

риски, вызванные утечкой информации и использованием ее конкурентами или сотрудниками в целях, которые могут повредить бизнесу;

риски технических сбоев работы каналов передачи информации, которые могут привести к убыткам.

Работа по минимизации IT-рисков заключается в предупреждении несанкционированного доступа к данным, а также аварий и сбоев оборудования. Процесс минимизации IT-рисков следует рассматривать комплексно: сначала выявляются возможные проблемы, а затем определяется, какими способами их можно решить.

В настоящее время используются различные методы оценки информационных рисков отечественных компаний и управления ими. Оценка информационных рисков компании может быть выполнена в соответствии со следующим планом:

идентификация и количественная оценка информационных ресурсов компании, значимых для бизнеса;

оценивание возможных угроз;

оценивание существующих уязвимостей;

оценивание эффективности средств обеспечения информационной безопасности.

Предполагается, что значимые для бизнеса уязвимые информационные ресурсы компании подвергаются риску, если по отношению к ним существуют какие-либо угрозы. Другими словами, риски характеризуют опасность, которая может угрожать компонентам корпоративной информационной системы. При этом информационные риски компании зависят от:

показателей ценности информационных ресурсов;

вероятности реализации угроз для ресурсов;

эффективности существующих или планируемых средств обеспечения информационной безопасности.

Цель оценивания рисков состоит в определении характеристик рисков корпоративной информационной системы и ее ресурсов.

После оценки рисков можно выбрать средства, обеспечивающие желаемый уровень информационной безопасности компании. При оценивании рисков учитываются такие факторы, как ценность ресурсов, значимость угроз и уязвимостей, эффективность имеющихся и планируемых средств защиты.

Сами показатели ресурсов, значимости угроз и уязвимостей, эффективность средств защиты могут быть установлены как количественными методами (например, при нахождении стоимостных характеристик), так и качественными, скажем, с учетом штатных или чрезвычайно опасных нештатных воздействий внешней среды.

Возможность реализации угрозы для некоторого ресурса компании оценивается вероятностью ее реализации в течение заданного отрезка времени. При этом вероятность того, что угроза реализуется, определяется следующими основными факторами:

привлекательностью ресурса (учитывается при рассмотрении угрозы от умышленного воздействия со стороны человека);

возможностью использования ресурса для получения дохода (также в случае угрозы от умышленного воздействия со стороны человека);

техническими возможностями реализации угрозы при умышленном воздействии со стороны человека;

степенью легкости, с которой уязвимость может быть использована.

Для анализа защищенности информационных ресурсов предлагаемой системы, расчета затрат на поддержание ее безопасности была использована комплексная система управления рисками «ГРИФ», разработанная компанией «Digital Security», которая позволяет выбрать оптимальную стратегию защиты информации в рамках отдельных бизнес-процессов или всей компании в целом. Система предоставляет возможность проводить анализ рисков при помощи анализа модели информационных потоков или модели угроз и уязвимостей.

При работе с моделью информационных потоков, на первом этапе в систему была внесена полная информация обо всех ресурсах с ценной информацией, о пользователях, имеющих доступ к этим ресурсам, о видах и правах доступа. Были занесены данные обо всех средствах защиты каждого ресурса, сетевые взаимосвязи ресурсов, а также характеристики политики безопасности компании.[ Малюк А.А. «Информационная безопасность- концептуальные и методологические основы защиты информации», Горячая линия -Телеком, 2004 - 280 с.]

В первую очередь были определены ресурсы имеющие доступ к системе, предполагаемые угрозы и уровень риска данных угроз (таблица 4.1).

Таблица 4.1 - Риск ресурсов по угрозам и уязвимостям

Ресурс	Угроза	Уязвимость	Уровень риска, ур. %
Сервер хранения данных	Аппаратные отказы	Подверженность колебаниям напряжения	21
	Доступ к БД несанкционированных пользователей	Незащищенные таблицы паролей	1
		Незащищенные потоки конфиденциальной информации	7
	Использование программных модулей несанкционированными пользователями	Незащищенные таблицы паролей	1
		Незащищенные потоки конфиденциальной информации	10
	Технические неисправности сетевых компонент	Подверженность колебаниям напряжения	38
	Искажение информации	Отсутствие эффективного контроля внесения изменений	2
		Отсутствие резервных копий	22
		Незащищенные потоки конфиденциальной информации	36
	Потеря информации	Отсутствие резервных копий	54
	Ввод в систему заранее ложных данных	Отсутствие эффективного контроля внесения изменений	40
	Ввод в систему ошибочных данных	Отсутствие резервных копий	50
Рабочая станция администратора системы управления	Аппаратные отказы	Подверженность колебаниям напряжения	5
	Вредоносное программное обеспечение	Изменение структуры данных	17
	Использование программных модулей несанкционированными пользователями	Незащищенные таблицы паролей	2
		Незащищенные потоки конфиденциальной информации	11
Рабочая станция специалиста отдела	Аппаратные отказы	Подверженность колебаниям напряжения	18
	Вредоносное программное обеспечение	Изменение структуры данных	12
	Технические неисправности сетевых компонент	Подверженность колебаниям напряжения	13

Далее был определен уровень безопасности данных, хранящихся на сервере (таблица 4.2).



Таблица 4.2 - Уровень безопасности хранящихся данных и потоков информации

№	Вид информации	Конфиденциальность, ур. %	Целостность, ур. %	Доступность, ур. %
1	Показатели надежности	32	12	48
2	Протоколы передачи и приема сигналов	31	15	45
3	Обработка информации	46	16	47
4	База сигналов	33	6	40
5	История приема и передачи сигналов	31	10	46

В итоге был рассчитан комплексный риск проблемно-ориентированной системы распределенный по классу угроз потери данных.

Таблица 4.3 - Комплексный уровень безопасности данных внедряемой системы

Конфиденциальность, ур. %	Целостность, ур. %	Доступность, ур. %
35	12	45

В целом уровень риска разработанной системы составил 69 %. Данный показатель говорит о том, что система имеет высокий коэффициент уязвимости и требует проведения работ по повышению уровня информационной безопасности.

Оценка возможного ущерба, который понесет компания в результате реализации угроз информационной безопасности.

Был рассчитан ущерб от реализации угроз по каждому из ресурсов (таблица 4.4).



Таблица 4.4 - Ущерб от возможной реализации угроз по каждому ресурсу

Ресурс	Ущерб, ур. %
Сервер хранения данных	45
Рабочая станция администратора системы управления	32
Рабочая станция специалиста отдела	13

Общее значение уровня ущерба разработанной системы в случае реализации вышеуказанных угроз составляет 90%. Данный показатель говорит о том, что в случае реализации угроз качество аналитического аппарата системы практически полностью сводится к нулю.

Управление уровнем информационных рисков при помощи выбора контрмер, наиболее оптимальных по соотношению цена/качество.

На данном этапе бы определен перечень контрмер для повышения уровня информационной безопасности и снижения вероятности реализации угроз (таблица 4.5).

Таблица 4.5 - Перечень предлагаемых контрмер

№	Контрмера	Стоимость контрмеры, руб.	Эффективность по системе, ур. %
1	Установка средств защиты таблицы паролей	20 000,00 руб.	89
2	Внедрение процедур и регламентов контроля изменений	Не требует затрат	95
3	Установка RAID-контроллера (RAID 5)	30 000,00 руб.	100
4	Установка брандмауэра	70 000,00 руб.	98
5	Использование ИБП	16 000,00 руб.	100
	ИТОГО:	136 000,00 руб.	96,4

Также была рассчитана эффективность от применения каждой контрмеры (таблица 4.6).



Таблица 4.6 - Рассчитанная эффективность контрмер по каждому ресурсу

№	Ресурс	Значение риска до всех контрмер, %	Значение риска после всех контрмер, %	Эффективность комплекса контрмер, %
1	Сервер хранения данных	30	0	100
2	Рабочая станция администратора системы управления	8,2	0	100
3	Рабочая станция специалиста отдела	17,6	4,9	72,2
Проблемно-ориентированная система	55,8	4,9	90,7

Учитывая полученные значения контрмер затраты на управление всеми значимыми информационными рисками, связанными с внедрением проблемно-ориентированной системы представим следующим образом:

(4.2)

где N - общее количество значимых рисков, pi - вероятность i- го риска, ui- ожидаемая величина ущерба в денежном исчислении при наступлении i- го риска, J - количество информационных рисков, для которых используются механизмы предотвращения рисковых событий путем финансовых затрат на приобретение требуемых механизмов, нj- затраты на предотвращение j- го информационного риска, K - количество информационных рисков, для минимизации ущерба от которых применяются нефинансовые механизмы,щk - затраты на нефинансовые механизмы (трудовые затраты, затраты аппаратной и программной частей).

Таким образом, обозначенные контрмеры обеспечивают увеличение показателя защищенности системы до 94%.



4.4 Выводы по главе

Таким образом, можно сделать следующие выводы:

Информационная безопасность, как и защита информации, задача комплексная, направленная на обеспечение безопасности, реализуемая внедрением системы безопасности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач.

Как и другими процессами, информационной безопасностью необходимо управлять. Безопасность информации определяется отсутствием недопустимого риска, связанного с утечкой информации по техническим каналам, несанкционированными и непреднамеренными воздействиями на данные и на другие ресурсы автоматизированной информационной системы, используемые в автоматизированной системе.

Размещено на http://www.allbest.ru

5. Экономическое обоснование разработки системы

5.1 Расчёт расходов на разработку проекта

Рассмотрим расходы на разработку проекта, которые включают в себя:

Расходы на программное обеспечение (таблица 5.1).

Расходы на техническое обеспечение (таблица 5.2).

Расходы на оплату интеллектуального труда (таблица 5.3).

Таблица 5.1 - Расходы на программное обеспечение

№ п/п	Наименование программного обеспечения	Стоимость, руб.
1	MSWindows	9990
2	MS Office 2010	3499
3	Delphi XE7 Professional ESD	74150
Итого:	87639

Расходы на техническое обеспечение составляют покупка персонального компьютера и МФУ, а также амортизация указанного оборудования. Амортизация оборудования в год составляет 16%, тогда за 3 месяца, которые необходимы для разработки системы управления, она составила 4%.