Ефективність захисту інформації

1. Забезпечення захисту інформації на практиці відбувається в умовах випадкового впливу різних чинників....
2. реальна ефективність
3. технічний аспект
4. Основні причини проблем
5. Системність при захисті інформації
6. Якість і його підтвердження
7. Нормативно-методичне забезпечення і оцінка ефективності
8. методичне забезпечення
9. Показники і критерії ефективності
10. Кількісна оцінка гарантій захисту
11. Висновок
12. література

Забезпечення захисту інформації на практиці відбувається в умовах випадкового впливу різних чинників. Деякі з них систематизовані в стандартах, деякі заздалегідь невідомі і здатні знизити ефективність або навіть скомпрометувати передбачені заходи. Оцінка ефективності захисту повинна обов'язково враховувати як об'єктивні обставини, так і ймовірні фактори.

Фактори, що впливають на рівень захисту інформації, систематизовані в ГОСТ Р 51275-99. Однак, незалежно від волі і передбачення розробників виникають і інші, заздалегідь невідомі при проектуванні систем захисту інформації (СЗІ) обставини, здатні знизити ефективність захисту або повністю скомпрометувати передбачені проектом заходи інформаційної безпеки. Оцінка ефективності захисту інформації повинна обов'язково враховувати ці об'єктивні обставини, а її характеристики, як це випливає з ГОСТ Р 50922-96, повинні мати імовірнісний характер. Розвиток подібної методології, включаючи систему нормативних документів, що містять кількісні, вимірні показники ефективності СЗІ, забезпечить інтереси як замовників, так і проектувальників. Особливої ​​важливості набуває обгрунтування оптимальних значень показників ефективності, що враховує цільове призначення інформаційної системи.

Для вирішення даної проблеми пропонується використовувати системний підхід. Як зазначали автори [8], «сама ідея кількісного визначення ефективності з повним правом може розглядатися як поворотний пункт історії науки».

реальна ефективність

економічний аспект

Масове виробництво, впровадження та експлуатація інформаційних систем призвели до виникнення спектра нових проблем у сфері безпеки особистості, суспільства і держави. Увага до цих проблем закономірно. Якщо комерційна організація допускає витік більше 20% важливої ​​внутрішньої інформації, то вона в 60 випадках з 100 банкрутує [17]. Стверджують також [11], 93% компаній, що залишилися доступу до власної інформації на термін більше 10 днів, покинули бізнес, причому половина з них заявила про свою неспроможність негайно.

Потреба в забезпеченні безпеки пов'язана з тим, що існує безліч суб'єктів і структур, вельми зацікавлених в чужій інформації і готових заплатити за це високу ціну. Так, вартість пристроїв підслуховування, що продаються тільки в США, становить в середньому близько 900 млн. Дол. На рік. Сумарний збитки, що завдала організаціям, проти яких здійснювалося прослуховування, становить щорічно в США близько 8 млрд. Дол. Але ж існують і, відповідно, купуються пристрої для несанкціонованого доступу до інформації і для інших цілей: проникнення в інформаційні системи, перехоплення і дешифрування повідомлень і т.д. В результаті, за даними SANS Institute, середній розмір збитку від однієї атаки в США на корпоративну систему для банківського і ІТ-секторів економіки становить близько півмільйона доларів [19]. Орієнтовна структура наслідків неефективного забезпечення інформаційної безпеки в американських організаціях така [18]: крадіжка конфіденційної інформації - 20-25% від загального річного збитку; фальсифікація фінансової інформації - 21-25%; зараження шкідливими програмами - 11-12%; порушення доступу до Web-сайтів - 1-11%; зрив роботи інформаційної системи - 4-10%; незаконний доступ співробітників до інформації - 4-9%; інші види шкоди - 14-33%.

В таких умовах все більш широко поширюється думка, що захист інформації повинна за своїми характеристиками бути сумірною масштабам загроз [1, 2, 16]. Відхилення від цього правила може призвести до додатковим збитком. Скажімо, якщо рівень захищеності інформаційної системи перевищує рівень C2 по «Помаранчевої книзі», то її підсистема захисту споживає значну частину загальних ресурсів (для систем рівня B1 ця частка становить 20-50%, а для рівня B2 вона може перевищувати 90%) [16 ]. Для кожної системи є оптимальний рівень захищеності, який і потрібно підтримувати [2].

технічний аспект

За статистичними даними Національного відділення ФБР по комп'ютерним злочинам, від 85 до 97% нападів на корпоративні мережі не тільки не припиняються, але навіть і не виявляються. Спеціальна група експертів провела аналіз захищеності 8932 військових інформаційних систем; в 7860 (88%) випадках несанкціоноване проникнення сторонніх в ці системи було успішним. Адміністратори тільки 390 з них виявили атаки і всього лише 19 повідомили про них.

Відомостей про аналогічні за масштабом перевірках ефективності СЗІ, проведених в Росії, немає, але можна припустити, що реальний рівень забезпечення інформаційної безпеки у нас навряд чи вище. При цьому статистична оцінка реального рівня технічної ефективності СЗІ виявляється воістину гнітючою.

Основні причини проблем

Немає сумнівів, що захист критично важливих для власників інформаційних систем відповідає численним міжнародним, національним, корпоративним, нормативним і методичним документам. Застосовуються досить дорогі технічні засоби і впроваджуються строго регламентовані організаційні заходи. Однак немає відповіді на найважливіше питання - наскільки пропоноване або вже реалізоване рішення добре, яка його планована або реальна ефективність. Такому стану, що склався зараз в інформатиці, але неможливого в області забезпечення інтегрованої безпеки об'єктів традиційної інженерії (наприклад, таких, як авіація, транспорт або енергетика) є ряд причин:

• ігнорування системного підходу як методології аналізу і синтезу СЗІ;
• відсутність механізмів повного і достовірного підтвердження якості СЗІ;
• недоліки нормативно-методичного забезпечення інформаційної безпеки, перш за все в області показників і критеріїв.

Системність при захисті інформації

Уже в перших роботах по захисту інформації були викладені основні постулати, які не втратили своєї актуальності і до цього дня [9]: абсолютний захист створити не можна; система захисту інформації повинна бути комплексною; СЗІ повинна бути адаптується до умов, що змінюються.

До цих аксіом потрібно додати й інші думки. По-перше, СЗІ повинна бути саме системою, а не простим, багато в чому випадковим і хаотичним набором деяких технічних засобів і організаційних заходів, як це часто спостерігається на практиці. По-друге, системний підхід до захисту інформації повинен застосовуватися, починаючи з підготовки технічного завдання і закінчуючи оцінкою ефективності і якості СЗІ в процесі її експлуатації.

Перш за все, СЗІ повинна мати цільове призначення. Причому, чим більше конкретно сформульована мета захисту інформації, детально з'ясовані наявні для цього ресурси та визначено комплекс обмежень, тим більшою мірою можна очікувати отримання бажаного результату. Якщо мета забезпечення інформаційної безпеки проста (формулюється скалярним показником) і принципово досяжна, то виявляється досить порівняно нескладних за складом і структурі СЗІ. Однак при розширенні кола проблем, які потрібно вирішувати для забезпечення інтегральної інформаційної безпеки, зміст цільового призначення системи на формалізованому рівні набуває багатовимірний, векторний характер. При цьому значимість властивостей окремих елементів СЗІ знижується, а на перший план висуваються загальносистемні завдання - визначення оптимальної структури та режимів функціонування системи, організація взаємодії між її елементами, облік впливу зовнішнього середовища та ін. При цілеспрямованому об'єднанні елементів в систему остання набуває специфічні властивості, спочатку непритаманні жодної з її складових частин. При системному підході мають першорядне значення тільки ті властивості елементів, які визначають взаємодію один з одним і впливають на систему в цілому, а також на досягнення поставленої мети.

Результативне рішення задач аналізу і синтезу СЗІ не може бути забезпечено одними лише способами умоглядного опису їх поведінки в різних умовах - системотехніка висуває проблеми, що вимагають кількісної оцінки характеристик. Такі дані, отримані експериментально або шляхом математичного моделювання, повинні розкривати властивості СЗІ. Основним з них є ефективність, під якою, згідно [7], розуміється ступінь відповідності результатів захисту інформації поставленої мети. Остання, в залежності від наявних ресурсів, знань розробників та інших факторів, може бути досягнута в тій чи іншій мірі, при цьому можливі альтернативні шляхи її реалізації. Ефективність має безпосередній зв'язок з іншими системними властивостями, в тому числі якістю, надійністю, керованістю, помехозащищенностью, стійкістю. Тому кількісна оцінка ефективності дозволяє вимірювати і об'єктивно аналізувати основні властивості систем на всіх стадіях їх життєвого циклу, починаючи з етапу формування вимог і ескізного проектування.

Якість і його підтвердження

Найчастіше замовник СЗІ погано уявляє собі значення того чи іншого засобу і його внесок в загальний рівень безпеки і в результаті відбувається збільшення витрат при практичній невизначеності досягнутого ефекту. Як наслідок, далеко не завжди замовник СЗІ отримує те, що йому реально потрібно, і не може об'єктивно перевірити і оцінити якість і ефективність запропонованого рішення [13].

Засоби захисту інформації відповідно до чинних норм і правил підлягають обов'язковій або добровільній сертифікації. Однак сертифікація не є досконалим інструментом і не дає необхідних гарантій. У кращому випадку перевіряється тільки 85% всіх можливих станів, а зазвичай - 60-70% [14].

В [20] вказується, що сертифікація продукції на відповідність вимогам державних стандартів з безпеки інформації чи інших нормативних документів, затверджених Гостехкомиссией РФ, підтверджується з певним ступенем вірогідності. Однак чому конкретно повинна бути дорівнює ця достовірність, чи є цей термін еквівалентним ймовірносно-статистичному розуміння, ані слова. Тим часом, на випробувальні центри (лабораторії), які проводять випробування зразків продукції, що сертифікується і беруть участь в попередній перевірці її виробництва, прямо покладено відповідальність за достовірність результатів. При такому положенні справ нормативною вимогою забезпечення достовірності результатів випробувань окремих засобів і, тим більше всієї СЗІ, залишається порожньою декларацією. Таким чином, навіть якщо елементи СЗІ формально успішно пройшли всі сертифікаційні випробування і мають повний комплект засвідчують документів, це аж ніяк не означає того, що реально буде забезпечений необхідний рівень якості.

Нормативно-методичне забезпечення і оцінка ефективності

Нормативна база

Створення та експлуатація ІС повинні проводитися відповідно до існуючого законодавства та вимог нормативно-технічних документів. Дане положення, зрозуміло, може бути застосовано до будь-якого виду організованої діяльності, проте ІТ розвиваються виключно швидкими темпами, і майже завжди нормативна база відстає від потреб практики. Тут подібне відставання законів, нормативних актів, національних та галузевих стандартів, а також методичного забезпечення, виявляється особливо критичним [5].

Труднощі об'єктивного підтвердження ефективності СЗІ кореняться в недосконалості існуючої нормативної бази, а також в сформованих в ІТ підходах, принципово відрізняються від розроблених в традиційній інженерії. Фахівцями, наприклад, вказує на недостатню опрацьованість такого аспекту нормативного забезпечення, як система показників інформаційної безпеки [12]. У незадовільному стані знаходиться система критеріїв безпеки, в тому числі, таких, як ефективність СЗІ. До серйозних проблем відноситься і ігнорування стохастичную природи подій і явищ, які виникають в процесі захисту інформації, абстрагування від їх економічного змісту в нормативному, методичному та прикладному аспектах.

Ці ж зауваження можна віднести і до міжнародної нормативної бази з інформаційної безпеки, що включає близько 50 міжнародних стандартів ISO / IEC на критерії оцінки безпеки ІТ і методи захисту коштів і систем ІТ. Застосування методів функціональної стандартизації в області інформаційної безпеки викладені в міжнародному стандарті ISO / IEC 15408-99 «Критерії оцінки безпеки інформаційних технологій». Фактично, Загальні критерії пропонують набір історично сформованих і, найголовніше, звичних в галузі підходів до безпеки, які використовуються, щоб створювати вироби або системи, що відображають не стільки потреби замовника, скільки можливості розробника. Важливо відзначити, що за своєю суттю вони є не критеріями в повному розумінні цього терміна, а якоюсь подобою загальних технічних вимог, що визначають обличчя систем в залежності від їх призначення і умов функціонування.

При створенні і розвитку складних, розподілених, тиражованих інформаційних систем потрібно, як відомо, гнучке формування і застосування гармонізованих сукупностей базових стандартів і нормативних документів різного рівня, виділення в них вимог і рекомендацій, необхідних для реалізації заданих функцій інформаційних систем. Такі сукупності базових стандартів повинні адаптуватися і конкретизуватися стосовно певних класів проектів, функцій, процесів і компонентів інформаційних систем. У зв'язку з цією потребою виділилося і сформувалося поняття «профілів», як основного інструменту функціональної стандартизації [4]. Зрозуміло, що число можливих профілів захисту у багато разів перевищує вихідне кількість документів, на яких вони можуть базуватися, тому провести апріорну оцінку ефективності всіх можливих профілів неможливо. З іншого боку, профіль захисту повинен створюватися або вибиратися виходячи з вимог до показників інформаційної безпеки, встановлених замовником заздалегідь. Прийняті підходи, включаючи ті з них, які вказані в існуючих стандартах, не дозволяють зробити такий вибір, надзвичайно важливий для практики. Оцінку ж ефективності профілів захисту можна здійснити тільки з використанням комплексних показників, які мають імовірнісний або вартісної характер. При цьому слід звернути увагу, що, на відміну від офіційних нормативних документів, в аналітичних матеріалах, опублікованих співробітниками Гостехкомиссии, прямо вказується на необхідність використання в якості основного критерію ефективності СЗІ відповідної ймовірності [3].

Таким чином, існуючі стандарти і документи на їх основі не дають відповідей на ряд ключових питань.

1. Як створити інформаційну систему, щоб вона була безпечною на необхідному вимірному, об'єктивно перевіряється рівні?
2. Як практично сформувати режим безпеки і підтримувати його в умовах постійно мінливого зовнішнього оточення і структури самої системи?
3. Який реальний рівень безпеки і наскільки ефективна система захисту інформації?

методичне забезпечення

Нормативні документи з оцінки безпеки ІТ практично не містять конкретних методик, в результаті чого величина розриву між загальними деклараціями і конкретним інструментарієм з реалізації та контролю їх положень є неприпустимою. Виходячи ж з свого призначення, методична база повинна охоплювати всі критично важливі аспекти забезпечення і перевірки виконання вимог, що пред'являються до інформаційної безпеки. Об'єктивним видом оцінки ефективності СЗІ є функціональне тестування, призначене для перевірки фактичної працездатності реалізованих механізмів безпеки і їх відповідності пред'явленим вимогам, а також забезпечує отримання статистичних даних. В силу того, що засоби безпеки мають обмеженими можливостями з протидії загрозам, завжди існує ймовірність порушення захисту, навіть якщо під час тестування механізми безпеки не були обійдені або блоковані. Для оцінки цієї ймовірності повинні проводитися додаткові дослідження. У методичному плані визначення ефективності СЗІ має полягати у виробленні судження щодо придатності способу дій персоналу або пристосованості технічних засобів до досягнення мети захисту інформації на основі вимірювання відповідних показників, наприклад, при функціональному тестуванні. Ефективність оцінюється для вирішення наступних завдань:

• Прийняття решение про допустімість практичного использование СЗІ в конкретній ситуации;
• виявлення вкладів різних факторів в досягнення мети;
• встановлення шляхів підвищення ефективності СЗІ;
• порівняння альтернативних варіантів систем.

Таким чином, при використанні сучасної методичної бази, оцінка ефективності СЗІ носить в основному нечіткий, суб'єктивний характер [19]; практично повністю відсутні нормовані кількісні показники, що враховують можливі випадкові або навмисні дії. В результаті досить складно, а часто і неможливо, оцінити якість функціонування інформаційної системи при наявності несанкціонованих впливів на її елементи, а, відповідно, і визначити, чим один варіант проектованої системи кращий за інший. Звісно ж, рішенням проблеми комплексної оцінки ефективності СЗІ є використання системного підходу, що дозволяє ще на стадії проектування кількісно оцінити рівень безпеки і створити механізм управління ризиками. Однак цей шлях реалізуємо при наявності відповідної системи показників і критеріїв.

Показники і критерії ефективності

Кількісна оцінка ефективності

Відповідно до сучасної теорії оцінки ефективності систем [15], якість будь-якого об'єкта, в тому числі і СЗІ, проявляється лише в процесі його використання за призначенням (цільове функціонування), тому найбільш об'єктивним є оцінювання з ефективності застосування.

Проектування, організація і застосування СЗІ фактично пов'язані з невідомими подіями в майбутньому і тому завжди містять елементи невизначеності. Крім того, присутні й інші причини неоднозначності, такі як недостатньо повна інформація для прийняття управлінських рішень або соціально-психологічні чинники. Тому, наприклад, етапу проектування СЗІ природним чином супроводжує значна невизначеність. У міру реалізації проекту її рівень знижується, але ніколи ефективність СЗІ не може бути адекватно виражена і описана детермінованими показниками. Процедури випробувань, сертифікації або ліцензування не усувають повністю невизначеність властивостей СЗІ або її окремих елементів і не враховують випадковий характер атак. Тому об'єктивною характеристикою якості СЗІ - ступенем її пристосованості до досягнення необхідного рівня безпеки в умовах реального впливу випадкових чинників, може служити тільки ймовірність, що характеризує ступінь можливостей конкретної СЗІ при заданому комплексі умов. У загальній теорії систем така характеристика називається ймовірністю досягнення мети операції або ймовірністю виконання завдання системою. Дана ймовірність повинна бути покладена в основу комплексу показників і критеріїв оцінки ефективності СЗІ. При цьому критеріями оцінки є поняття придатності і оптимальності. Придатність означає виконання всіх встановлених до СЗІ вимог, а оптимальність - досягнення однієї з характеристик екстремального значення при дотриманні обмежень і умов на інші властивості системи. При виборі конкретного критерію необхідно його узгодження з метою, яка покладалася на СЗІ.

Зазвичай при синтезі системи виникає проблема вирішення завдання з багатокритеріальним показником. Деякі автори розглядають показники ефективності, які призначені при вирішенні завдання порівняння різних структур СЗІ. Пропонується також використовувати показники ефективності вероятностно-тимчасового характеру, що мають сенс функцій розподілу. Зокрема, до них відносяться ймовірність подолання системи захисту інформації за деякий час [6].

Кількісна оцінка гарантій захисту

У сучасних нормативних документах з інформаційної безпеки, використовується, як відомо, класифікаційний підхід. Набагато більш конструктивними є імовірнісні методи, що знайшли широке поширення в практиці забезпечення безпеки в інших прикладних областях. Відповідно до цих методами рівні гарантій безпеки СЗІ трансформуються в довірчі ймовірності відповідних оцінок показників. Для вирішення даного завдання можна рекомендувати теорію статистичних рішень [8, 16], що дозволяє знаходити оптимальні рівні гарантій безпеки.

По-перше, оцінка оптимального рівня гарантій безпеки у визначальній мірі залежить від збитку, пов'язаного з помилкою у виборі конкретного значення показника ефективності. По-друге, для отримання чисельних оцінок ризику необхідно знати розподілу ряду випадкових величин. Це, звичайно, певною мірою обмежує кількісне дослідження рівнів гарантій безпеки, наданих СЗІ, але, тим не менш, у багатьох практичних випадках такі оцінки можна отримати, наприклад, за допомогою імітаційного моделювання або за результатами активного аудиту СЗІ.

Узагальнені дані про можливі показниках ефективності наведені в табліці 1 , А критеріїв - в таблиці 2 .

Висновок

Для відповіді на питання, якою мірою система захисту інформації забезпечує необхідний рівень безпеки, необхідно оцінювати ефективність СЗІ показниками, що носять імовірнісний характер. Удосконалення нормативної бази, методичного забезпечення в області інформаційної безпеки повинно відбуватися, перш за все, в цьому напрямку. Змістовні результати по оцінці ефективності систем захисту інформації можуть бути отримані при системному підході, більш того, його обов'язковість прямо випливає з ГОСТ Р50922-96 [6]. Зрозуміло, кількісна оцінка ефективності СЗІ вимагає більше зусиль, ніж використовувані якісні методи [4]. Однак і віддача, перш за все економічна, буде набагато вагомішим, а інтереси, як замовника, так і розробника СЗІ, будуть захищені надійніше.

література

1. А. бауту. Стандарти та оцінка ефективності захисту інформації. Доповідь на Третій Всеросійській практичної конференції "Стандарти в проектах сучасних інформаційних систем". Москва, 23-24 квітня 2003 р
2. А. бауту, Економічний погляд на проблеми інформаційної безпеки. Відкриті системи, 2002 № 2.
3. С. Вихорев, А. Єфімов, Практичні рекомендації з інформаційної безпеки. Jet Info, № 10-11, 1996..
4. С. Вихорев, Р. Кобцев, Як визначити джерела загроз . Відкриті системи, 2002 № 7-8.
5. В. Галатенко, Інформаційна безпека - основи. Системи управління базами даних, 1996, № 1.
6. А. Горбунов, В. Чуменко, Вибір раціональної структури засобів захисту інформації в АСУ. http://kiev-security.org.ua/box/2/26.shtml
7. ГОСТ Р 50922-96. Захист інформації. Основні терміни та визначення.
8. Г. Гуд, Р. Маколей. Системотехніка (Введення в проектування великих систем). М., Рад. радіо, 1962.
9. М. Де Гроот. Оптимальні статистичні рішення. М .: Мир, 1974.
10. Е. Зиндер, Революційні зміни базових стандартів в області системного проектування. Директор інформаційної служби, 2001 № 5.
11. А. Ездаков, О. Макарова, Як захистити інформацію. Мережі, 1997, № 8.
12. ISO / IEC 15408-99 "Критерії оцінки безпеки інформаційних технологій".
13. В. Козлов. Критерії інформаційної безпеки і підтримують їх стандарти: стан і тенденції. "Стандарти в проектах сучасних інформаційних систем". Збірник праць II-ої Всеросійської практичної конференції. Москва, 27-28 березня 2002 року.
14. В. Липа, Є. Філіна, Формування і застосування профілів відкритих інформаційних систем. Відкриті системи, 1997, № 5.
15. Г. Пєтухов, Основи теорії ефективності цілеспрямованих процесів. Частина 1. Методологія, методи, моделі. МО СРСР, 1989.
16. В. Пугачов. Теорія ймовірностей і математична статистика. М .: Наука, 1979.
17. В. Сабиніна, Фахівці, давайте говорити на одній мові і розуміти один одного. Інформ - Засоби зв'язку, № 6.
18. П. Сейер, Lloyd страхує від хакерів. Computerworld Росія, 2000, № 30.
19. Л. Хмельов. Оцінка ефективності заходів безпеки, які закладаються при проектуванні електронно-інформаційних систем. Праці науково-технічної конференції "Безпека інформаційних технологій", Пенза, червень 2001.
20. Положення про сертифікацію засобів і систем обчислювальної техніки і зв'язку за вимогами безпеки інформації. М., 1994.

Андрій бауту ( [email protected] ) - незалежний експерт.

Відповідно до визначення, наведеного в ДСТУ ISO / IEC 12207: 99, «система - це комплекс, що складається з процесів, технічних і програмних засобів, пристроїв і персоналу, що володіє можливістю задовольняти до законодавчих вимог або цілям». У зв'язку з подібним визначенням корисно розглядати і визначення системного проектування, яке, згідно з INCOSE (International Council on Systems Engineering), являє собою «міждисциплінарний підхід і засоби, які роблять можливим створення успішних систем». Системне проектування - дисципліна розробки продуктів або процесів на основі концепції систем. Воно фокусується на визначенні потреб замовника і необхідних функцій системи, встановлення вимог, виконання конструкторського синтезу і атестації з узгодженням як бізнес-аспектів, так і технічних аспектів даної задачі, інтегруючи необхідні дисципліни і групи фахівців в одну команду протягом всього життєвого циклу розвитку системи [ 11].

Системний підхід - методологія дослідження складних об'єктів як об'єднань елементів, пов'язаних комплексом відносин один з одним і виступають єдиним цілим по відношенню до зовнішнього середовища. Основним завданням системного підходу є синтез, що включає проектування систем і організацію процесів, призначених для досягнення певних цілей і оптимальних за обраним критерієм.