Методика формирования рационального состава комплекса средств защиты информации на основе априорной оценки риска

В современных условиях информатизации общества не вызывает сомнения необходимость защиты информационных ресурсов. Одной из наиболее важных особенностей информации является возможность её существования в разнообразных формах и её способность распространяться по различным каналам. Кроме того, негативные последствия может повлечь не только факт утраты защищаемой информацией конфиденциальности, но и нарушение её целостности и доступности. В этой связи наиболее целесообразной представляется комплексная защита информации на объекте информатизации в целом.

На сегодняшний день разработано достаточно большое количество ГОСТов и руководящих документов, определяющих требования к защищенным системам и порядок их создания. Вместе с тем, подавляющее большинство из них предлагают реализацию индивидуального проектирования систем защиты информации, выражающегося в построении инфокоммуникационных систем в защищенном исполнении с использованием концепции нисходящего проектирования. Несмотря на очевидные достоинства, такой подход требует значительных временных и материальных затрат, и, зачастую, недоступен ряду организаций с небольшим бюджетом.

Вместе с тем, в настоящее время наблюдается рост объема рынка средств защиты информации, что предопределило возможность реализации концепции восходящего проектирования с использованием типовых решений по средствам защиты, которая является более доступной для большинства негосударственных учреждений, не оперирующих информацией содержащей государственные секреты и обладающих невысоким бюджетом.

При этом одной из важнейших задач оптимального построения комплексной системы защиты информации (СЗИ) является выбор из множества имеющихся средств такого их набора, который позволит обеспечить нейтрализацию всех потенциально возможных информационных угроз с наилучшим качеством и минимально возможными затраченными на это ресурсами.

Известно, что наиболее эффективно задачи защиты информации решаются в рамках упреждающей стратегии защиты, когда на этапе проектирования оцениваются потенциально возможные угрозы и реализуются механизмы защиты от них. При этом, на этапе проектирования системы защиты информации разработчик, не имея статистических данных о результатах функционирования создаваемой системы, вынужден принимать решение о составе комплекса средств защиты информации, находясь в условиях значительной неопределенности. Тем не менее, методология проектирования систем защиты информации должна предоставлять возможность реализации упреждающей стратегии защиты.

На сегодняшний день методическое обеспечение формирования системы защиты информации для объектов информатизации сформировано недостаточно полно. Выбор необходимого комплекса средств защиты (КСЗ) для обеспечения функционирования данной системы возложен на пользователя и отличается значительной долей субъективизма. А предложения по обеспечению информационной безопасности ограничены общими рекомендациями и не носят комплексного характера.

Таким образом, построение системы защиты на основе использования нормативного подхода и практического опыта построения систем защиты не позволяют говорить об оптимальности предложенного варианта КСЗ.

Таким образом, задача развития и разработки методического обеспечения оптимального выбора состава КСЗ на этапе проектирования объекта информатизации при реализации упреждающей стратегии защиты информации является весьма актуальной.

Данная работа выполнена в соответствии с одним из основных научных направлений Академии Федеральной службы охраны Российской Федерации.

Целью работы является совершенствование методического обеспечения формирования рациональной структуры и оптимального состава комплекса средств защиты информации и оценки его показателей эффективности при построении комплексной системы защиты информации. При этом в качестве объекта исследования в работе рассматривается процесс проектирования комплексных систем защиты информации в организации, а предметом исследования является методическое обеспечение формирования оптимального состава комплекса средств защиты информации.

Для достижения указанной цели были решены следующие задачи:

• проведён анализ подходов к проектированию комплексных систем защиты информации, и методов оценки их эффективности;

• разработан подход к формированию множества потенциально возможных угроз информации циркулирующей в организации в рамках упреждающей стратегии защиты информации;

• разработана математическая модель процесса реализации информационных угроз, позволяющая получить априорную оценку эффективности функционирования комплексной системы защиты информации в условиях реализации упреждающей стратегии защиты информации;

• разработана методика формирования рационального состава комплекса средств защиты информации;

• разработаны научно-практические предложения по использованию разработанной методики для построения комплексных систем защиты информации.

Методы исследования. Для получения результатов использовались положения теории защиты информации, теории информационной войны, системного анализа, а также математические методы теории вероятностей, случайных процессов, эволюционных вычислений.

Обоснованность и достоверность теоретических исследований, результатов математического моделирования и экспериментальной проверки предлагаемых решений подтверждается строгой постановкой общей и частных задач исследований и корректным применением апробированного математического аппарата.

Научная новизна диссертационной работы заключается в разработке процедуры оценки эффективности комплекса средств защиты информации на основе вычисления прогнозного значения рисков с учетом возможностей злоумышленника по преодолению системы защиты информации, параметров комплекса средств защиты и информационных угроз, а также в применении известного метода эволюционных вычислений в новой предметной области выбора оптимального варианта средств защиты информации.

Практическая значимость полученных результатов заключается в разработке конструктивной методики формирования комплекса средств защиты при проектировании комплексной системы защиты информации и возможности её внедрения в практику деятельности системных интеграторов и служб защиты информации. Совокупность полученных результатов исследования является решением актуальной научной задачи, направленной на обеспечение качества проектирования комплексных систем защиты в условиях упреждающей стратегии, что обеспечивает возможность практического применения разработанной методики в ОАО «МегаФон», ЗАО «Навигатор-технолоджи» .

Научные результаты работы используются в Академии Федеральной службы охраны Российской Федерации в ходе учебного процесса на кафедре «Систем документальной связи» курсантами специальности 90 106 «Информационная безопасность телекоммуникационных систем» по дисциплинам «Организационно-правовое обеспечение информационной безопасности», «Основы проектирования защищенных телекоммуникационных систем», что подтверждено актом внедрения в учебный процесс.

Основные положения, выносимые на защиту:

1. Математическая модель процесса реализации информационных угроз потенциальным злоумышленником, позволяющая получить априорную оценку рисков информационной безопасности организации в условиях реализации упреждающей стратегии защиты информации, учитывающая количественные показатели модели злоумышленника и логику его деятельности.

2. Методика формирования рационального комплекса средств защиты информации, позволяющая найти решение при наличии непереборного числа проектных вариантов в условиях дискретной, многоэкстремальной, неявно заданной целевой функции.

3. Предложения по практической реализации методики формирования рационального состава комплекса средств защиты информации, заключающиеся в формализации и алгоритмизации процесса формирования комплекса средств защиты информации.

Апробация работы. Результаты исследований апробировались и обсуждались на научно-технических конференциях различного уровня:

— II межвузовской научно-практической конференции «Перспективы развития средств связи в силовых структурах, обеспечение информационной безопасности в системах связи» (Голицино, 2006);

— III межвузовской научно-практической конференции «Перспективы развития средств связи в силовых структурах, обеспечение информационной безопасности в системах связи» (Голицино, 2007);

— XVI Международной научной конференции «Информатизация и информационная безопасность правоохранительных органов» (Москва, 2007);

— 33 Всероссийской научно-технической конференции «Сети, системы связи и телекоммуникации. Деятельность ВУЗа при переходе на ФГОС 3-го поколения» (Рязань, 2008).

Публикации. По теме диссертации опубликовано 12 научных работ, в том числе 2 — в изданиях, рекомендованных ВАК Минобрнауки РФ.

Структура и объем работы. Диссертационная работа состоит из введения, трёх глав, заключения и списка литературы из 104 наименований. Основная часть работы изложена на 140 страницах, содержит 37 рисунков, 5 таблиц.

Выводы по третьей главе.

1. В результате проведенных исследований разработана методика формирования комплекса средств защиты информации при реализации упреждающей стратегии защиты. Методика основана на генетическом алгоритме оптимизации многоэкстремальной, недифференцируемой, дискретной целевой функции заданной в виде процедуры. Разработанная методика основана не на субъективных мнениях проектировщика системы безопасности как при использовании лучших практик, а на научно обоснованной оценке вероятности успешной реализации деструктивных воздействий при наличии конкретного набора механизмов защиты. Конечно, предложенный подход в полной мере не лишен субъективизма поскольку использует экспертную информацию для определения отдельных характеристик злоумышленника и средств защиты информации, однако разработка такой методики несомненно окажет практическую помощь интеграторам систем защиты информации. Методика позволяет формировать обоснованный оптимальный в смысле максимума эффективности функционирования вариант комплекса средств защиты информации на объекте информатизации.

2. Разработанное программное обеспечение позволяет в полной мере реализовать разработанную методику выбора оптимального состава комплекса средств защиты информации при реализации упреждающей стратегии защиты информации циркулирующей на объекте информатизации. Совершенствование разработанного программного обеспечения и интеграция его в состав системы автоматизированного проектирования позволит существенно сократить трудозатраты и время необходимое для проектирования комплексных систем защиты информации.

3. Проведенный расчет на основе исходных данных, близких к фактическим для системы защиты информации офиса ОАО «Мегафон» в городе Орле, показал, что разработанная методика не противоречит существующей стратегии формирования комплексной системы защиты информации на объектах информатизации. Варианты КСЗ, полученные на основе применения методики, учитывают формальный профиль злоумышленника, изменение защищенности информации и стоимости проекта с течением времени, логику деятельности злоумышленника по реализации деструктивных воздействий. Расчетный пример показал, что при применении методики позволяет обосновать выбор того или иного варианта КСЗ, при этом полученный на выходе методики вариант является наилучшим в смысле выбранного критерия. Что позволяет уменьшить риск успешной реализации деструктивного воздействия на защищаемую информацию.

4. Адекватность разработанной методики обеспечивается полнотой учета факторов, оказывающих влияние на результативность успешной реализации деструктивных воздействий. Это привязка искомой вероятности к числовым характеристикам злоумышленника, учет логики деятельности злоумышленника при реализации информационных угроз, учет изменения защищенности и стоимости со временем, учет использования вычислительного, телекоммуникационного и организационного ресурса комплексом средств защиты. Вместе с тем адекватность методики определяется уменьшением влияния экспертных методов на формирование варианта КСЗ.

ЗАКЛЮЧЕНИЕ

.

В работе получил дальнейшее развитие методический аппарат обоснования и выбора рационального варианта комплекса средств защиты информации при построении защищенного объекта информатизации в условиях реализации упреждающей стратегии защиты.

В работе решена важная научная задача разработки методического аппарата, модели и алгоритма, позволяющих сформировать оптимальный вариант состава комплекса средств защиты информации в условиях недостатка количественных данных о функционировании информационной системы организации.

Актуальность разработки данного методического аппарата определяется недостаточностью учета существующими методиками факторов, существенно влияющих на формирование КСЗ.

В работе получены новые научные результаты:

1. Математическая модель процесса реализации информационных угроз потенциальным злоумышленником, позволяющая получить априорную оценку рисков информационной безопасности организации в условиях реализации упреждающей стратегии защиты информации, учитывающая количественные показатели модели злоумышленника и логику его деятельности.

2. Методика формирования рационального комплекса средств защиты информации, позволяющая найти решение при наличии непереборного числа проектных вариантов в условиях дискретной, многоэкстремальной, неявно заданной целевой функции.

3. Предложения по практической реализации методики формирования рационального состава комплекса средств защиты информации, заключающиеся в формализации и алгоритмизации процесса формирования комплекса средств защиты информации.

Достоверность и обоснованность научных положений и выводов обеспечивается достаточной полнотой учета основных факторов, влияющих на эффективность функционирования комплекса средств защиты информации, и подтверждается апробацией методики и сравнимостью полученных в ней результатов с результатами, полученными с использованием других методик.

Практическая значимость результатов работы состоит в использовании разработанного научно-методического обеспечения в практике формирования состава комплексов средств защиты при построении защищенных объектов информатизации. В перспективе, при создании системы автоматизированного проектирования КСЗ, разработанная методика может составить её основу. Кроме того, разработанная методика может быть использована на одном из начальных этапов функционирования системы анализа и управления рисками.

Основное содержание работы изложено в, 5 статьях (из них 2 в источниках, рекомендованных ВАК), 6 тезисах докладов на научно-технических конференциях.

Автор отдает себе отчет в том, что полученные результаты не исчерпывают всего содержания проблемы обоснования и выбора варианта КСЗ при построении защищенного объекта информатизации. По мнению автора, работа должна получить развитие в следующих основных направлениях: дальнейшее теоретическое обоснование оценки значений коэффициентов, отражающих возможности потенциального злоумышленника, с использованием количественных методов;

— построение более полных моделей, позволяющих учитывать использование средств защиты информации организационных, вычислительных и телекоммуникационных ресурсов объекта информатизацииформализация процесса формирования исходных множеств потенциально возможных угроз и средств защиты информации.

Решение этих вопросов обеспечит проведение более полных исследований в области выбора и обоснования оптимального варианта состава комплекса средств защиты информации при реализации упреждающей стратегии защиты информации.