АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

Вестник Академии военных наук, №3/2005, стр.138-144

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

Т.В. ШУТОВА,

кандидат экономических наук

Информация - это та субстанция, которая сопровождает нас всю жизнь. С помощью информации организуется совместный труд людей, образовываются профессиональные союзы, коллективные хозяйства, политические партии и объединения. Без информации не может развиваться экономика. Одним словом, информационная сфера в настоящее время стала системообразующим фактором жизни общества, и чем активней эта сфера общественных отношений развивается, тем больше политическая, экономическая, оборонная и другие составляющие национальной безопасности любого государства будут зависеть от информационной безопасности, и в ходе развития технического процесса эта зависимость будет все более возрастать.

Кроме того, особенно важно подчеркнуть, информационная инфраструктура, информационные ресурсы стали ареной межгосударственной борьбы за мировое лидерство, одним из методов достижения противоборствующими странами определенных стратегических и тактических целей. В то же время роль информационной безопасности также значительно возрастает по мере развития отечественной индустрии средств информатизации, телекоммуникации и связи, ведь только на этой основе в современных условиях можно решить проблему создания наукоемких технологий, технологического перевооружения промышленности, приумножения достижений отечественной науки и техники, выхода российской продукции на мировые рынки. Главной целью системы информационной безопасности, включая деятельность предприятий оборонно-промышленного комплекса, является обеспечение устойчивого функционирования военно-технического экспорта, предотвращение угроз ее безопасности, защита интересов от противоправных посягательств, недопущения хищения финансовых средств, разглашения, утраты, утечки, искажения и уничтожения служебной информации, обеспечение нормальной производственно-торговой деятельности всех подразделений данной сферы. Другой целью системы информационной безопасности является повышение качества предоставляемых услуг и гарантий безопасности имущественных прав и интересов всех лиц (клиентов), задействованных в военно-техническом экспорте. Достижение заданной цели определяется решением следующих основных задач:

отнесение информации к категории ограниченного доступа (служебная тайна);

прогнозирование и своевременное выявление угроз безопасности информационным ресурсам;

создание условий функционирования с малой вероятностью реализации угроз безопасности информационным ресурсам и нанесения различных видов ущерба;

создание механизма и условий оперативного реагирования на угрозы информационной безопасности и проявления негативных тенденций в функционировании, эффективное пресечение посягательств на ресурсы на основе правовых, организационных и технических мер и средств обеспечения безопасности;

ослабление негативного влияния последствий нарушения информационной безопасности на достижение стратегических целей.

Представим модель системы информационной безопасности предприятия, которая является инвариантом для других систем и организаций (рис 1).

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

Итак, при анализе системы информационной безопасности любого предприятия особую роль и значимость приобретает исследование информационных рисков.

Для дальнейшего анализа информационных рисков потребуется понятие аудита. Это понятие «аудит информационной безопасности» вызывает практическую значимость и интерес специалистов в области менеджмента и безопасности корпоративных систем Internet. В настоящее время аудит информационной безопасности корпоративных систем активно развивается.

Его основная задача - объективно оценить текущее состояние информационной безопасности военно-технического экспорта России, а также его адекватность поставленным целям и задачам увеличения эффективности и рентабельности торговли вооружением и военной техникой. Под термином «аудит информационной безопасности» следует понимать системный процесс получения объективных качественных и количественных оценок текущего состояния информационной безопасности в этой сфере в соответствии с определенными критериями и показателями безопасности. Считается, что результаты качественного выполнения аудита информационной безопасности позволяют построить оптимальную по эффективности и затратам корпоративную систему защиты, адекватную ее текущим задачам и целям военно-технического экспорта.

Как показывает анализ корпоративных информационных систем (КИС), их уязвимость зависит в основном от двух причин. Первое - это обоснованное усложнение аппаратно-программных средств этих систем, увеличение структурной и функциональной сложности системного и прикладного программного обеспечения, применение новых технологий обработки, передачи и хранения данных. Второе - расширился спектр угроз корпоративным информационным системам из-за передачи информации по открытым каналам сетей общего назначения, «информационных войн и электронных диверсий», конкурирующих организаций, активного промышленного шпионажа с привлечением профессионалов в области IT-Security и прочее.

Аудит безопасности в российских условиях имеет ряд специфических особенностей. В настоящее время существует три основных практических подхода к анализу и оценке текущего состояния информационной безопасности (системы) предприятия:

1. На основе анализа требований к корпоративной системе информационной безопасности;

2. На основе инструментальных проверок состояния информационной безопасности предприятия (системы);

3. На основе анализа информационных рисков системы (предприятия).

Проведем анализ указанных подходов. Первый подход используется при определении так называемого базового уровня информационной безопасности системы (предприятия), когда достаточно выработать и проверить их соблюдение на практике некоторых общих требований обеспечения информационной безопасности (ИБ) предприятия или системы. Возможны два основных способа определения названных требований: основанные на жестких априорных (действующие РД Гостехкомиссии) и на гибких адаптивных (международный стандарт ISO/IES 15408) требованиях. Более перспективным следует считать второй способ, что подтверждено практикой выполнения подобных работ.

Второй подход, так называемый «активный аудит», используется, в основном, для выявления возможных уязвимостей технического уровня обеспечения ИБ предприятия (системы). Пример методики «активного аудита», автором которой является Pete Hezzog, можно найти на сайте www.ideahamster.org. Данный подход является, безусловно, необходимым, но явно не достаточным для проверки соответствия текущего уровня ИБ предприятия или системы поставленным целям. Дело в том, что в этом подходе уделяется мало внимания собственно корректности и адекватности организации обработки данных на предприятии, и особенно организационно-режимным средствам и мероприятиям, которые являются преимущественными по отношению к другим мерам и средствам защиты. В результате, например, при неправильном определении степени конфиденциальности защищаемой информации может оказаться неэффективным следование рекомендациям, полученным в ходе выполнения работ по активному аудиту сети предприятия (системы). Это означает, что практика работ показывает, что любая проверка эффективности системы защиты предприятия должна начинаться с проверки технологии обработки данных на предприятии - выявление наиболее критичных зон обработки данных, нарушений действующих инструкций по обеспечению режима, а также определение степени соответствия данных инструкций возложенным на них задачам.

Третий подход, как правило, основывается на международном стандарте ISO 17799 и используется для проведения полного анализа защищенности корпоративной сети и управления информационной безопасности предприятия или системы на основе специальных методов инструментальных средств, построенных с использованием структурных методик системного анализа и проектирования (SSADM - Structured Systems Analysis and Design), например COBRA, CRAMM. Подчеркиваем, что данные методики позволяют:

убедиться, что требования, предъявляемые к организации систем безопасности, полностью проанализированы и документированы;

избежать расходов на принятие излишних мер безопасности, что возможно при субъективной оценке рисков;

оказывать помощь в планировании и осуществлении защиты на всех стадиях жизненного цикла информационных систем;

обеспечить проведение работ в сжатые сроки;

автоматизировать процесс анализа требований безопасности;

представить обоснование для мер противодействия;

оценить эффективность различных вариантов контроля;

генерировать отчеты.

Очевидно, что в зависимости от поставленной задачи аудита безопасности на предприятии может быть использован любой из указанных подходов, а для военно-технического экспорта следует применять комбинацию этих подходов.

Подход на основе анализа информационных рисков военно-технического экспорта России является наиболее значимым для практики аудита безопасности. Это объясняется тем, что анализ риска позволяет эффективно управлять информационной безопасностью. Для этого в начале работ по анализу информационного риска необходимо определить, что именно подлежит защите в указанной сфере и на предприятиях ОПК, воздействию каких угроз это подвержено, и выработать рекомендации по практике защиты. Анализ риска следует производить исходя из непосредственных целей и задач по защите конкретного вида информации конфиденциального характера. Одной из важнейших задач в рамках защиты информации является обеспечение ее целостности и доступности. Следует иметь в виду и не забывать, что нарушение целостности может произойти не только вследствие преднамеренных действий, но и по ряду других причин, а именно:

сбоев оборудования, ведущих к потере или искажению информации;

физических воздействий, в том числе и в результате стихийных бедствий;

ошибок в программном обеспечении (в том числе недокументированных возможностей).

В этом смысле употребляется термин «атака». Необходимо более перспективно понимать не только человеческие воздействия на информационные ресурсы, но и воздействия окружающей среды, в которой функционирует система обработки информации.

Для проведения анализа риска необходимо определить или адаптировать для военно-технического экспорта следующие практические задачи:

общую стратегию и тактику проведения потенциальным нарушителем «наступательных операций и боевых действий»;

возможные способы проведения атак на систему обработки и защиты информации;

сценарий осуществления противоправных действий;

характеристики каналов утечки информации и НСД;

вероятность установления информационного контакта (реализации угроз);

перечень возможных информационных инфекций;

способы применения и тактико-технические возможности средств ведения технической разведки;

модель нарушителя;

методику оценки информационной безопасности.

Анализ риска следует проводить по сценарию, изображенному на рис.2.

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

На данном рисунке отражены этапы (6) анализа риска. Все они детализируются в каждом конкретном случае. Здесь на первом и втором этапах определяются сведения, составляющие экспорта ВВТ коммерческую тайну, которые предстоит защитить. Третий этап анализа риска - построение каналов доступа, утечки или воздействия на информационные ресурсы основных узлов КИС. Каждый канал доступа характеризуется множеством точек, с которых можно «снять» информацию. Именно они и представляют уязвимости и требуют применения средств недопущения нежелательных воздействий на информацию. Анализ способов защиты всех возможных точек атак соответствует целям зашиты и его результатом должна быть характеристика возможных брешей в обороне, в том числе за счет неблагоприятного стечения обстоятельств. Это четвертый этап. На пятом этапе исходя из известных на данный момент способов и средств преодоления оборонительных рубежей определяются вероятности реализации угроз по каждой из возможных точек атак. На заключительном этапе производится оценка ущерба организации в случае реализации каждой из атак, который вместе с оценками уязвимости позволяет получить ранжированный список угроз информационным ресурсам.

Величина информационного риска по каждому ресурсу определяется как произведение вероятности нападения на ресурс, вероятности реализации угрозы и ущерба от информационного вторжения. В этом произведении могут использоваться различные способы взвешивания составляющих. Сложение рисков по всем ресурсам дает величину суммарного риска при принятой архитектуре КИС и внедрение в нее системы защиты.

Таким образом, варьируя варианты построения системы защиты информации и архитектуры КИС, становится возможным представить и рассмотреть различные значения суммарного риска за счет изменения вероятности реализации угроз. Здесь важным шагом является выбор критерия принятия решений.

Анализ рисков является отправной точкой для установления и поддержания эффективного управления системой защиты. Ключевыми моментами анализа рисков являются:

1. Подробное документирование компьютерной сети экспорта. При этом, особое внимание необходимо уделить критически важным приложениям

2. Определение степени зависимости организации от нормального функционирования фрагментов компьютерной сети, конкретных узлов, от безопасности хранимых и обрабатываемых данных.

3. Определение уязвимых мест компьютерной сети.

4. Определение угроз, которые могут быть реализованы в отношении выявленных уязвимых мест

5. Определение и оценка всех рисков, связанных с эксплуатацией компьютерной сети.

Следует особо подчеркнуть связь анализа рисков с другими компонентами модели. С одной стороны, наличие метрики* защищенности и определения значений, характеризующих состояние системы до и после мероприятий по защите информации, накладывает определенные требования на процедуру анализа рисков. Ведь на базе полученных результатов и оценивается состояние системы. С другой стороны, результаты анализа рисков дают те начальные условия, исходя из которых, разрабатывается план построения системы защиты военно-технического экспорта.

В настоящее время используются инструментальные средства анализа рисков. Ценность этого определяется в первую очередь той методикой, которая положена в ее основу.

Сейчас на рынке имеются такие программные продукты как Risk Watch (США), GRAMM, COBRA (Великобритания), Авангард (Россия). Можно выделить следующие подходы разработчиков программных средств анализа рисков к решению поставленной перед ними задачи:

получение оценок рисков только на качественном уровне;

вывод количественных оценок рисков на базе качественных, полученных от экспертов;

получение точных количественных оценок для каждого из рисков.

Представляется необходимым рассмотреть некоторые методики, реализующие эти программы.

1. Методика использования матрицы рисков.

В процессе оценки экспертами для каждого риска определяется вероятность его возникновения и размер связанных с ним потерь (стоимость риска). Причем оценивание надо производить по шкале с тремя градациями - «высокая», «средняя» и «низкая». Далее используем матрицу следующего вида:

Таблица 1

Оценка

Стоимость

Вероятность

высокая

средняя

низкая

низкая

средняя

высокая

В зависимости от полученных оценок, риск относится к одной из следующих групп:

высокий риск - необходимы срочные меры по снижению риска;

существенный риск;

умеренный риск;

незначительный риск - усилие по управлению рисками в данном случае не будут играть важной роли.

На базе оценок для отдельных рисков назначается оценка системе в целом, а сами риски ранжируются.

Данная методика позволяет достаточно оперативно и корректно произвести оценку. Методики инструментальных средств GRAMM, RiskWatch активно используются в практике, и не останавливаясь на их содержательной части отметим только, что эффект от их внедрения описывается с помощью показателя ROI (Return on Invested - отдача от инвестиций), который показывает отдачу от сделанных инвестиций за определенный период времени. Расчет производится по формуле:

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

где costs - затраты на внедрение и поддержание i-й меры защиты;

benefitsi - оценка той пользы (т.е. ожидаемого снижения потерь), которую приносит внедрение данной меры защиты;

NPV (Net Present Value) - поправка на инфляцию.

Следует иметь в виду, что конкретную методику проведения анализа рисков и инструментальные средства конкретно для предприятия или системы торговли России оружием с зарубежными странами, нужно выбирать, учитывая следующие факторы:

наличие экспертов, способных дать достоверные оценки объема потерь от угроз информационной безопасности;

наличие на предприятии (в организации) достоверной статистики по инцидентам в сфере информационной безопасности;

нужна ли точная количественная оценка последствий реализации угроз или достаточно оценки на качественном уровне.

Смысл всех мероприятий в сфере анализа рисков в конечном итоге заключается в том, чтобы предоставить исходные данные для выбора оптимальной стратегии защиты компьютерной сети объекта. Решение может быть принято и обосновано или с помощью формальных методик, или методик, базирующихся на использовании знаний и профессиональной интуиции специалистов-экспертов. Первый подход позволяет строго обосновать сделанный выбор, но, как правило, требует большего количества точных исходных данных. Второй подход менее требователен к формализации задачи, но более зависим от «человеческого фактора».

В качестве примера формального подхода рассмотрим использование классических критериев теории принятия решений. Пусть необходимо выбрать один из нескольких возможных проектов защиты компьютерной системы. В системе был проведен анализ рисков, позволивший выявить обобщенные угрозы безопасности и оценить потери от их реализации. Данные реализации угроз сведем в таблицу 2 следующего вида:

Таблица

Угроза

Угроза М

Проект

Проект N

Ячейки таблицы отражают исход каждой ситуации. Тот способ, которым получается эта оценка, должен быть определен в самом начале исследования системы. Есть два проекта стоимостью 200 и 250 единиц соответственно. Выделено три обобщенных угрозы. Сделаем допущение.

Полное принятие рисков, т.е. система не защищена, а угроза - полное бездействие нарушителя. По результатам анализа рисков составляется следующая таблица (т.к. для владельцев защищаемой компьютерной системы это все потери, то приводимые значения взяты со знаком минус):

Таблица

Проекты

Угроза

Угроза

Угроза

Бездействие

Проект

-200-200=-400

-200-150=-350

-200-70=-270

-200-0=-200

Проект

-250-20=-300

-250-70=-320

-250-30=-280

-250-0=-250

Бездействие

-0-500=-500

-0-400=-400

-0-400=-400

-0-0=-0

Теперь надо выбрать наилучшую стратегию поведения: внедрить проект 1, проект 2 или вообще воздержаться от действий по защите информации. Для выбора решения построим матрицу выбора решений (системных оценок) для конкретного нашего примера.

-250 0

М3х4=

-400

-350

-270

-200

-300

-320

-280

-500

-400

-400

В итоге надо выбрать ту строку, которой будет соответствовать максимальное значение критерия.

Критерий Вальда (принцип максимина) использует в качестве оценки для строки минимальное значение элемента. Если через n*i обозначить значение критерия для i-й строки, то получим

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

а оптимальное решение обеспечит выбор r-й строки, которая удовлетворяет условию

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

где nij - элемент матрицы решений.

Данный критерий соответствует наиболее пессимистической стратегии выбора, так как в расчет принимается наиболее неблагоприятная ситуация.

С другой стороны, при использовании данного критерия в наибольшей степени исключается риск - выбирается стратегия, которая даст наилучший результат при наихудшем развитии событий.

Критерий Лапласа (критерий недостаточного основания). Значение данного критерия рассчитывается по формуле

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

Оптимальная стратегия выбирается также и в предыдущем случае - по максимальному значению критерия. Наиболее предпочтительной стратегией здесь будет (тот проект), которая даст наилучший средний результат, т.е. при выборе проекта защиты следует исходить из предположения, что все угрозы равновероятны. В тех случаях, когда можно оценить вероятность, с которой появляется каждая ситуация (вероятность возникновения j-й угрозы), вместо критерия недостаточного основания используют критерий Байеса-Лапласа, который определяется по формуле

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

где Рj - вероятность возникновения j-й угрозы.

Если сравнить с максимальным критерием, то критерий Лапласа соответствует менее пессимистичному настроению ЛПР.

Критерий Гурвица (критерий пессимизма-оптимизма) используется для определения числа «а» (0 < а < 1) , характеризующее степень оптимизма - ожидания получить max(hij). Тогда (1-а) рассматривается как степень пессимизма, т.е. ожидания получить min(hij). Значение оценки рассчитывается по формуле

АНАЛИЗ РИСКОВ В СИСТЕМЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА МИРОВОМ РЫНКЕ ОРУЖИЯ

При нулевом оптимизме критерий Гурвица превращается в критерий Вальда. С точки зрения задачи обеспечения ИБ легче всего интерпретируются результаты по критериям Вальда и Лапласа. Применение критерия Лапласа можно интерпретировать как выбор проекта, обеспечивающего наилучший показатель суммы затрат на проект и среднего значения ожидаемых потерь.

Для рассмотренного ранее примера как по критерию Вальда, так и по критерию Лапласа оптимальным будет выбор проекта 2:

Таблица

Проекты

Угроза

Угроза

Угроза

Бездействие

Критерий Вальда

Критерий Лапласа

Проект

-400

-350

-270

-200

-400

-305

Проект 2

-300

-320

-280

-250

-320

-287,5

Бездействие

-500

-400

-400

-0

-500

-325

Итак, создание эффективной системы информационной безопасности особенно важно для деятельности предприятия, тем более предприятий оборонно-промышленного комплекса, в сложившихся условиях развития информационных технологий. При анализе системы безопасности любого предприятия особую роль играет исследование информационных рисков, поскольку их анализ позволит эффективно управлять информационной безопасностью и деятельностью предприятия в целом.

Проведенный в рамках настоящего исследования анализ складывающейся структуры на мировом рынке оружия показывает резкое обострение ситуации с реализацией вооружений в другие страны, ужесточение конкурентной борьбы между организациями и государствами - производителями ВВТ с использованием новых форм информационной поддержки борьбы с конкурентами.

Предлагаемая методика позволяет повысить обосновательный уровень подходов к организации, подготовке и реализации информационной составляющей процесса торговли вооружениями.

Примечание

* Метрика определяет, в чем и как измеряется защищенность системы, и позволяет соотнести сделанные затраты и полученный эффект

ЛИТЕРАТУРА:

1. Лященко В.П. Торговля оружием в России: некоторые вопросы организации и экономики. -М.: Новый век, 2001. -128 с.

2. Северцев Н.А., Шутова Т.В. Моделирование управлением системой военно-экономической торговли России. - М.: Изд-во РУДН, 2004. -205 с.

3. Шутова Т.В. Управление системой военно-экономической торговли с учетом ее безопасности// Материалы Международного конгресса «Надежность и качество 2004». -Пенза. - С. 587-589.


Для комментирования необходимо зарегистрироваться на сайте

  • &amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;lt;a href="http://www.instaforex.com/ru/?x=NKX" data-mce-href="http://www.instaforex.com/ru/?x=NKX"&amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;gt;InstaForex&amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;lt;/a&amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;gt;
  • share4you сервис для новичков и профессионалов
  • Animation
  • На развитие сайта

    нам необходимо оплачивать отдельные сервера для хранения такого объема информации