1. Основні аспекти побудови системи інформаційної безпеки
2. Програма інформаційної безпеки
3. Моделі ІБ, вимоги та основні етапи реалізації інформаційної безпеки

Анотація: Питання відповідальності в інформаційній сфері як інструменти реалізації бізнес-цілей підприємства.

Основні аспекти побудови системи інформаційної безпеки

Питання відповідальності в інформаційній сфері є надзвичайно важливими в реалізації бізнес-цілей підприємства. Оскільки ці питання в такій постановці є частиною стратегії розвитку компанії, то вони, поза всяким сумнівом, належать до компетенції вищого керівництва. Розглядаючи питання відповідальності, слід розділити їх реалізацію в двох ключових областях - у зовнішньому середовищі підприємства і в середовищі внутрішньої. Точно також можна ввести два види питань - відповідальність за порушення ІБ і відповідальність за реалізацію ІБ в різних областях інформаційної діяльності підприємства.

Регулювання відповідальності порушень інформаційної безпеки у зовнішньому середовищі з метою завдати шкоди власнику інформації, а також питання взаємовідносин між різними суб'єктами - власниками інформації - регулюється федеральними законами РФ, регіональними, муніципальними та ін. Нормативними актами (відповідальність першого виду).

Відповідальність за заподіяння шкоди і відповідальність за реалізацію заходів з розробки, впровадження та використання систем ІБ у внутрішньому середовищі встановлюється, як правило, на базі чинного законодавства РФ і країни, з якими здійснюється бізнес, і внутрішніх корпоративних ( "локальних правовстановлюючих") документів. Перший вид відповідальності розглянуто вище.

Відповідальність другого виду (формування та реалізація ІБ в різних областях інформаційної діяльності підприємства) встановлюється зазвичай на рівні вищого керівництва підприємства і включає в себе наступне коло питань.

• формування єдиної концепції та програми робіт в області інформаційної безпеки (ІБ);
• розробка багаторівневої політики ІБ і системи структурної та персональної відповідальності за її реалізацію;
• забезпечення виконання положень політики і програми реалізації ІБ;
• планування та виділення необхідних ресурсів для системної реалізації ІБ;
• формування структурних підрозділів і служб ІБ;
• контроль і аудит поточного стану системи ІБ.

Програма інформаційної безпеки

Управлінські аспекти розробки та реалізації інформаційної безпеки припускають наявність сукупності організаційних заходів у вигляді розгорнутої програми, яку доцільно структурувати за рівнями, зазвичай відповідно до структури організації. У більшості випадків достатньо двох рівнів - верхнього (організаційно-управлінського), який охоплює всю організацію і корпоративну ІС, і нижнього (або сервісного), який відноситься до окремих підсистем ІС і сервісів.

Програму верхнього рівня формує і очолює особа, яка відповідає за інформаційну безпеку організації. Ці обов'язки, як правило, входять в обов'язки керівника ІТ-підрозділу (Chief Information Officer - CIO). Програма повинна містити наступні головні цілі:

• стратегічне планування в області розвитку інформаційної безпеки;
• розробку і виконання політики в області ІБ;
• оцінка ризиків та управління ризиками;
• координація діяльності в області інформаційної безпеки: вибір ефективних засобів захисту, їх придбання або розробка, впровадження, експлуатація, поповнення і розподіл ресурсів, навчання персоналу;
• контроль діяльності в області ІБ.

В рамках програми верхнього рівня приймаються стратегічні рішення з безпеки, оцінюються технологічні новинки. Інформаційні технології розвиваються дуже швидко, і необхідно мати чітку політику відстеження і впровадження нових програмних і технічних засобів захисту.

Контроль діяльності в області безпеки має двояку спрямованість. По-перше, необхідно гарантувати, що дії організації не суперечать федеральним і регіональним законам і нормативним актам. Необхідно постійно стежити за змінами у зовнішньому середовищі, що призводять до можливості виникнення загроз. По-друге, потрібно постійно відстежувати стан безпеки всередині організації, реагувати на всі випадки порушень, виробляти стратегію розвитку захисних заходів з урахуванням зміни обстановки в зовнішньому і внутрішньому середовищах.

Мета програми нижнього рівня - забезпечити надійну і економну захист інформаційних підсистем, конкретних сервісів або груп однорідних сервісів. На цьому рівні вирішується, які механізми захисту використовувати, закуповуються і встановлюються технічні засоби, виконується повсякденне адміністрування, відстежується стан слабких місць, проводиться первинне навчання персоналу і т.п. Зазвичай за програму нижнього рівня відповідають відповідальні менеджери по забезпеченню ІБ, системні адміністратори і адміністратори сервісів. У плані безпеки найважливішим дією на цьому етапі є оцінка критичності як самого сервісу, так і інформації, яка з його допомогою буде оброблятися. Необхідно сформулювати відповіді на наступні питання:

• Які дані та інформацію буде обслуговувати даний сервіс?
• Які можливі наслідки порушення конфіденційності, цілісності та доступності цієї інформації?
• Які загрози, по відношенню до яких дані, інформація, сервіс і користувач будуть найбільш уразливі?
• Чи існують які-небудь особливості сервісу, що вимагають прийняття спеціальних заходів - наприклад, територіальна розподіленість компонентів ІС?
• Якими мають бути характеристики персоналу, що мають відношення до безпеки: комп'ютерна кваліфікація, дисциплінованість, благонадійність?
• Які законодавчі положення і корпоративні правила, яким повинен задовольняти сервіс?

Результати оцінки критичності є відправною точкою в складанні специфікацій на придбання або розробку сервісів. Крім того, вони визначають ту міру уваги, яку служба безпеки організації повинна приділяти сервісу або групі сервісів на всіх етапах його життєвого циклу.

Зробимо суттєве застереження. Програма безпеки не є втіленням простого набору технічних засобів, вбудованих в інформаційну систему - у системи ІБ є найважливіші "політичний" і управлінський аспекти. Програма повинна офіційно прийматися і підтримуватися вищим керівництвом, у неї повинні бути певні штати і виділений бюджет. Без такої підтримки накази, розпорядження та "заклики" до виконання програми залишаться порожнім звуком.

Моделі ІБ, вимоги та основні етапи реалізації інформаційної безпеки

Головна мета заходів, що вживаються на управлінському рівні - сформувати єдину концепцію і програму робіт в області інформаційної безпеки (ІБ) і забезпечити її виконання, виділяючи необхідні ресурси і контролюючи поточний стан системи ІБ.

Практично це можна здійснити, розробивши концептуальну, математичну і функціональну моделі представлення інформаційного захисту, яка дозволяє вирішувати завдання створення, використання, супроводу, розвитку та оцінки ефективності загальної системи ІБ ( Мал. 4.1 ).

Математична модель являє собою формалізований опис сценаріїв у вигляді логіко-алгоритмічної послідовності дій порушників і заходів у відповідь. Розрахункові кількісні значення параметрів моделі характеризують функціональні (аналітичні, алгоритмічні або чисельні) залежності, що описують процеси взаємодії порушників з системою захисту і можливі результати дій. Саме такий вид моделі найчастіше використовується для кількісних оцінок вразливості об'єкта, побудови алгоритму захисту оцінки ризиків та ефективності вжитих заходів ( Мал. 4.2 ).

Мал.4.1.

Зміст моделі інформаційної безпеки

При побудові теоретичних моделей систем захисту інформації (СЗІ) та інформаційних ресурсів необхідно спиратися на такі найважливіші обставини:

• вибір математично строгих критеріїв для оцінки оптимальності системи захисту інформації для даної архітектури ІС;
• чітка математична формулювання завдання побудови моделі СЗІ, що враховує задані вимоги до системи захисту і дозволяє побудувати СЗІ відповідно до цих критеріїв.

Такі моделі для різних компаній можуть бути різноманітними, але будь-яка з них повинна мати наступні властивості: універсальність, комплексність, наочність, простота використання, практична реалізація, вимірність за допомогою наборів метрик, "самообучаемость" (можливість нарощування знань), надійне функціонування в умовах високої невизначеності вихідної інформації.

Мал.4.2.

Місце математичної моделі в реалізації концепції і програми ІБ

Нижче зазначені основні етапи побудови моделі:

• аналіз структури інформаційно-обчислювальної системи і рівня необхідного захисту даних і самої ІС;
• аналіз змінюються характеристик СЗІ, що визначаються динамікою впливу загроз (адаптивні СЗІ);
• аналіз кореляційних залежностей між різними параметрами СЗІ, які є результатом вирішення конкретних завдань щодо захисту інформації;
• аналіз можливого зниження загального рівня захищеності через наявність кореляцій;
• визначення сукупностей завдань захисту для визначення параметрів, що контролюються СЗІ;
• формування вимог і рекомендацій щодо раціональної організації структури ІБ.

Для контролю параметрів реалізованих моделей СЗІ необхідно формувати системи кількісних показників (метрик), за допомогою яких оцінюється:

• складність структури, поведінка і діагностування нормальної роботи СЗІ з урахуванням забезпечення її стійкості в умовах швидко мінливих обставин зовнішнього і внутрішнього середовища;
• нормальне функціонування контрольованих зон СЗІ; визначення та оцінка спрямованих загроз, виявлення вразливостей, управління ризиками і т.д.
• працездатність і можливість діагностування порушень нормальної роботи СЗІ на базі адаптивних моделей.

В даний час адаптивні моделі з використанням нейро-нечітких класифікаторів найчастіше будуються в термінах теорії нечітких множин (Fuzzy Sets) і нечіткої логіки (Fuzzy Logic) за наступною схемою ( Мал. 4.3 ).

Мал.4.3.

Схема побудови моделі СЗІ

Адаптивність моделі на базі нейронних мереж (НС) дозволяє при обмежених витратах на організацію системи ІБ забезпечити заданий рівень безпеки ІТ-системи за рахунок швидкої реакції системи на зміну поля загроз. При цьому дуже важливою якістю є можливість накопичення і передачі досвіду системою ЗІ.

Розподілені поля нейро-чітких і нейро-нечітких мереж акумулюють знання в процесі розвитку захищається ІТ-системи, адаптують до зміни поля загроз і ці знання можуть передаватися в наступні версії ІТ-системи. Так формується процес успадкування.

Мал.4.4.

Схема нейро-нечіткого класифікатора

на Мал. 4.4 показана одна з можливих схем такого класифікатора. Позначення тут такі: - вектор загроз, - вектор висновків про захищеність системи, - сукупність формальних нейронів класифікатора для виконання операцій композиції над нечіткими висновками, і - нижня і верхня межі рівня загроз, - сукупність вагових коефіцієнтів, що описують ваги зв'язків між різними взаємодіючими нейронами класифікатора.

Навчання нейро-нечіткого класифікатора на наборі векторів відомих загроз (навчальна вибірка) виявляє і дозволяє усунути зі структури нейронної мережі незначні зв'язку (слабкі неточні висновки в системи нечітких правил, що мають мінімальні ваги). Навчання такої НС у вигляді багатошарової структури з нечіткими зв'язками не вимагає виконання складних математичних розрахунків, що дозволяє знизити трудомісткість рішення задачі навчання адаптивної СЗІ ( Мал. 4.5 ).

Мал.4.5.

Адаптивна модель СЗІ на базі нейронних мереж
Мал. 4.6. Схема роботи генетичного алгоритму

Мінімізацію помилки в такій адаптивної системи, побудованої на базі нейронних мереж, можна ефективно здійснювати з використанням генетичних алгоритмів, де в якості генів хромосоми використовуються вектори ітераційно переобчислюють ваг зв'язків, асоційованих з вхідними значеннями ( Мал. 4.6 ).

Основне призначення функціональної моделі СЗІ - практичне забезпечення процесу створення системи ІБ за рахунок оптимізації прийнятих рішень і вибору оптимального варіанта технічної реалізації ( Мал. 4.7 ).

Мал.4.7.

Формування вимог до системи інформаційної безпеки

на Мал. 4.8 в загальному вигляді представлена ​​модель вимог, на підставі яких формуються специфікації і організаційні заходи для придбання готових рішень або розробки програмно-апаратних засобів, що реалізують систему інформаційного захисту [Симонов С., 1999].

Незалежно від розмірів організації і специфіки її інформаційної системи, роботи по забезпеченню режиму ІБ в тому чи іншому вигляді повинні містити етапи, представлені на Мал. 4.8 . При цьому важливо не упустити будь-яких суттєвих аспектів. Це буде гарантувати певний мінімальний (базовий) рівень ІБ, обов'язковий для будь-якої інформаційної технології або інформаційної системи.

Мал.4.8.

Основні етапи забезпечення інформаційної безпеки

Для забезпечення базового рівня ІБ використовується спрощений підхід до аналізу ризиків, при якому розглядається стандартний набір найбільш поширених загроз безпеки без детальної оцінки їх ймовірностей. Для нейтралізації загроз застосовується типовий набір контрзаходів, а питання ефективності захисту розглядаються в окремих важливих випадках.

Подібний підхід прийнятний, якщо цінність захищаються ресурсів з точки зору організації не є надмірно високою.

Відзначимо об'єктивні труднощі, з якими можна зіткнутися при моделюванні системи інформаційного захисту:

1. Труднощі побудови формальних моделей СЗІ визначається, в цілому, невизначеністю умов функціонування ІС.
2. Постановка завдання забезпечення захисту інформації, часто виявляється некоректною, оскільки формулюється в умовах непередбачуваності поведінки системи захисту в нестандартних і, особливо, екстремальних ситуаціях.
3. У зв'язку з цим, завдання забезпечення безпеки обчислювальних і інформаційних систем, як правило, не володіють властивістю єдиності рішення.
4. Ефективність і оптимальність визначаються ступенем врахування обмежень, що накладаються СЗІ для конкретних ситуацій - в загальному випадку важко сформувати модель, придатну для всіх можливих ситуацій, пов'язаних з погрозами.
5. Швидкий розвиток інформаційних технологій змушує переглядати концепції і програми інформаційного захисту, що однозначно призводить до необхідності переглядати поточні моделі СЗІ.

Однак математичний і функціональне моделювання надзвичайно важливо і необхідно. В результаті моделювання отримуємо: оцінку можливості реалізації різних засобів захисту інформації в сучасних системах обробки даних; архітектуру системи захисту, узгоджену з архітектурою ІС і інформаційною інфраструктурою підприємства; кількісну оцінку якості функціонування СЗІ; оцінку економічної і практичної ефективності реалізованої моделі СЗІ.