Full Text

Введение. Коммерческие компании в непростой мировой обстановке всё больше подвергаются угрозам безопасности информации. Согласно отчётам компаний Eset и Anti-Malware [1], этот факт обоснован неграмотным построением системы информационной безопасности на предприятии. Ввиду того, что её недостатки можно оценить только в ходе аудита информационной безопасности, возникает проблема достаточности оценки эффективности системы защиты информации (далее - СЗИ), корректное проведение которой даёт предприятию подробные знания о недостатках. С точки зрения бизнеса именно экономический параметр эффективности актуален для возможности переоценки качества СЗИ. На законодательном уровне и на уровне подзаконных нормативно-правовых актов не определяется, насколько эффективной должна быть система защиты информации. Помимо того действующие решения представлены в виде экспертных методов, зависящих от качества оценивающего, знаний информационной системы, а также умений внедрять алгоритмы информационной безопасности (далее - ИБ). В таком случае трудность задачи качественной оценки экономической эффективности в моделях и методах представляется необходимостью при решении. Подход к моделированию экономической оценки представлен в труде Е.В. Бережной и В.И. Бережного [2], а конкретные методы эффективности были представлены в работе Д.А. Полянского [3]. Кроме того, при моделировании экономической эффективности было принято ссылаться на баесовские модели А. Мотцека [4] и Парето-эффективные модели [5-6]. Эти источники содержат частные подходы, но не предполагают систематизации знаний об оценке эффективности, как и не несут общего подхода к оценке в ходе аудита безопасности. Рассматриваемая проблема актуальна для обширной сферы бизнеса предприятий и организаций в Российской Федерации, а необходимость решения определила тематику работы. Понятие экономической эффективности СЗИ. Эффективность системы защиты информации - степень соответствия достигнутых результатов поставленным целям по защите информации. Методики расчёта показателя различны и зависят от того, с какой целью и на каком этапе функционирования СЗИ проводится оценка. Оценка эффективности может осуществляться в процессе создания, приемки и эксплуатации СЗИ. Ключевым понятием является критерий оценки - признак, основание принятия решения по оценке эффективности на соответствие предъявленным требованиям. Критериев эффективности системы защиты информации может быть много, однако выбор конкретных зависит от специфики проводимой оценки. На практике выделяют следующие типы критериев оценки эффективности работоспособной СЗИ [7]: 1) критерий «эффект-затраты», позволяющий оценивать достижение СЗИ целей функционирования при заданных затратах; 2) критерии качества СЗИ по определённым показателям, исключая варианты, не удовлетворяющие заданным ограничениям. Используются методы многокритериальной оптимизации (задается одна или несколько целевых функций - таким образом, решается задача оптимизации); 3) искусственные критерии, позволяющие оценивать интегральный эффект («линейная свертка» частных показателей, нечеткие множества). Всего существует несколько основных подходов к оцениванию эффективности защиты информации, каждый из которых предполагает требования по его обеспечению: опытный, экономический и т.д. В данной работе будет применяться экономический подход с точки зрения задач, связанных с решением проблемы экономического обоснования функционирования СЗИ на предприятии. Экономическая эффективность системы защиты информации - это эффективность СЗИ, рассчитанная экономическим методом, т.е. затраты на СЗИ должны эффективно обеспечивать функционирование системы в рамках правовых документов и административных регламентов. Или иначе, это мера минимизации риска за счёт функционирования СЗИ [8]. При этом требования, а также применение методов функциональной стандартизации в области ИБ изложены в стандарте ГОСТ ИСО/МЭК 15408-02, а также в ГОСТ Р ИСО/МЭК 27002-2012, в связи с которыми определены метрики оценки эффективности КСЗИ. Исходя из требований заказчика, для оценки подбираются измеряемые критерии и метрики экономической эффективности. В разрабатываемом методе решено придерживаться следующих метрик эффективности [9]: - показатели риска для защищенной и незащищенной системы; - показатель экономической эффективности системы защиты информации; - коэффициент защищенности от актуальных угроз для СЗИ. Из этих параметров следует, что результатом модели и метода будет являться многокритериальная оценка. Этот факт позволяет взглянуть на функционирование СЗИ под разными ракурсами, произвести комплексную оценку, а также определить корреляцию между критериями. Для проектирования модели оценки экономической эффективности СЗИ будет применяться ситуационный анализ в предметной области экономических параметров информационной безопасности. Достоинство способа - сочетание субъективных оценок экспертов, косвенным образом влияющие на результаты оценки (вычисление весовых коэффициентов), и объективных данных о СЗИ: актуальные угрозы и уязвимости, информационные ресурсы, статистические данные. Проектирование модели оценки экономической эффективности системы защиты информации. В рамках моделирования применяется следующая семиотическая цепочка (последовательность нескольких параметров системы безопасности), состоящая из 4 взаимосвязанных единиц функционирования СЗИ компании: множество подсистем системы защиты (Pi) - множество требований по защите (Tj) - множество средств защиты (Mk) - задаваемый параметр экономической эффективности системы ( . Эта цепочка и взаимодействие между её звеньями представлена на рис. 1 E КСЗИ Рi Tj Mk Рис. 1. Цепочка единиц функционирования КСЗИ С точки зрения моделирования экономической эффективности используется математическая модель (1), представляющая собой сочетание вероятностной и многокритериальной методик оценки. В общем виде она будет выглядеть так: , (1) где - устраненный риск, - стоимость системы защиты информации. Задача моделирования сводится к нахождению оптимального состава множества подсистем системы защиты (Pi), множества требований по защите (Tj), множества средств защиты (Mk) и параметра экономической эффективности системы защиты информации (E). Образ СЗИ, исходя из условий экономической эффективности, собирается из элементов системы. Модель демонстрирует структурно-функциональную схему СЗИ в совокупности средств защиты, требований и подсистем, из чего видно, будет или не будет обеспечивать она эффективное функционирование. Весовые коэффициенты P, T, M обозначают лингвистические величины подсистем, требований и средств защиты и определяются согласно следующим правилам. К примеру, P3 - подсистема управления информационной безопасностью, T11 - требование Приказа ФСТЭК № 17 по аутентификации в системе защиты, M42 - система виброакустической защиты «Шторм-2». Коэффициенты модели зависят от среды моделирования и выбора эксперта, основанного на результатах аудита на объекте. Средства защиты информации M выбираются из баз данных средств защиты информации (например, Государственный реестр сертифицированных средств защиты ФСТЭК, другие базы данных) или среди доступных предприятию средств - в случае, когда необходимо провести оценку экономической эффективности СЗИ предприятия. Множество T собирается в модель из требований, распространяющихся на систему защиты нормативно-правовыми или локальными актами по защите информации. Подсистемы защиты информации P определяются в процессе формирования на объекте базы требований T и средств защиты информации M, а также исходя из требований к составу подсистем заказчика оценки или нормативно-правовых актов. Стоимость моделируется средствами защиты информации (далее - СрЗИ), а формируется, исходя из того, перекрывают ли требования Tj и подсистемы Pi актуальные угрозы и уязвимости. Модель дополняется экспертной или статистической оценкой параметров, представляющих собой субъективную оценку подмножества методом анализа иерархий. Оценка лежит в пределах {1,9}, где 1 означает «элемент не функционирует», 9 - «элемент удовлетворяет параметру эффективности». Так, оценки модели принимают значения, показывающие, достаточно ли эффективен элемент. Модель представляет собой граф множества состояний, в котором отражены элементы, представленные в табл. 1. Таблица 1 Соответствие модели реальным показателям КСЗИ Обозначение в модели Значения диапазона Интерпретация на КСЗИ Множество подсистем КСЗИ Множество требований по защите Множество средств защиты Функциональный Параметр экон. эффект-ти {1;9} Множество состояния переходов В качестве интерпретации формальной модели представления СЗИ (рис. 1) была построена модель экономически-эффективного функционирования КСЗИ, представленная на рис. 2. Рис. 2. Модель экономически эффективного функционирования СЗИ Поскольку модель оперирует лингвистическими величинами, это позволяет проследить связь между исполнением требований с помощью средств защиты информации внутри подсистем защиты. Необходимо обозначить числовое выражение, которое выражает модель. Учитывая, что моделирование экономической эффективности сводится к устранению рисков СЗИ путём поиска оптимальных связей между весовыми коэффициентами, результат моделирования будет представлен коэффициентом защищённости ( , принимая факт, что произведение требований и подсистем моделируют устранение риска, а произведение СрЗИ моделируют стоимость СЗИ [10]: , (2) где - риск для незащищенной системы, - риск для защищенной системы. Данный коэффициент показывает, насколько защищена информационная система от рисков ИБ, т.е. перекрывают ли подсистемы системы защиты ( i) множества требований по защите (Tj) множества средств защиты (Mk) угрозы и уязвимости. Соответственно, если перекрывают - смоделированная система экономически эффективна и пригодна к эксплуатации. Если этого не происходит ( = 0) или происходит недостаточно эффективно ( ), то параметры системы в виде СрЗИ и подсистем пересматриваются, пока СЗИ не достигнет достаточной эффективности. В результате параметры подсистем, требований и экономической эффективности системы задаются в соответствии с нормативными актами, стандартами, условиями функционирования СЗИ компании, а параметры СЗИ необходимо подобрать с учётом актуальных уязвимостей и угроз, а также согласно требованию по эффективности системы. Разработка метода оценки экономической эффективности СЗИ. На основе предложенной модели создается метод расчёта экономической эффективности СЗИ, основанный на методике парных сравнений. Он представляет собой поэтапное оценивание параметров системы защиты с учётом угроз и уязвимостей ИБ, а также стоимости активов организации и рисков, связанных с возможной реализацией угроз. Сущность метода сводится к выполнению 9 этапов оценки, каждый из которых представляет тот или иной процесс оценки экономической эффективности. Расчёты в методе производились согласно формулам методики [11], однако процесс оценки был изменен в соответствии с поэтапным оцениванием и переоцениванием результатов моделирования СЗИ (см. рис. 2). Научная новизна по отношению к используемой методике заключается в применении к ней разработанной модели оценки экономической эффективности для формирования первичных данных о СЗИ, а также в возможности переоценки результатов при получении нежелательных исходов в виде неэффективной системы защиты. Таким образом, решается научная задача совершенствования используемых подходов к моделированию оценки экономической эффективности. Стоит отметить, что метод [11] не позволяет обнаружить связь между общей неэффективностью СЗИ и неэффективностью отдельного её элемента, а также степень его влияния на экономическую эффективность. Применение модели оценки, благодаря первичной оценке с помощью лингвистических параметров, позволяет обнаружить неэффективный элемент на графе экономической эффективности. Кроме того, в подход к оцениванию также заложены механизмы организационного обеспечения информационной безопасности (в виде создания постоянно действующей системы оценки экономической эффективности, определяющей оценку во время аудита ИБ в строгой организационной форме в несколько этапов), что позволяет рекомендовать метод для использования на реальных объектах защиты информации. Включаемые в метод параметры, с учётом требований по оценке экономической эффективности, представлены на рис. 3. Рис. 3. Параметры безопасности при оценивании экономической эффективности Содержание проводимых при оценке экономической эффективности этапов: Этап 1. Создание комиссии и проведение её оценки. Метод предполагает, что будет проведена вероятностная оценка в сочетании с экспертным оцениванием. Поэтому на первом этапе создается комиссия в составе нескольких человек в зависимости от сложности расчётов и получения данных об объекте информатизации (далее - ОИ). К работе привлекаются специализированные работники сторонних организаций по защите информации, деятели науки в области ИБ, работники кафедр, осуществляющих подготовку студентов по программе «Информационная безопасность», и студенты смежных программ подготовки. Если эксперт по каким-то условиям не подходит для осуществления оценочной деятельности, то состав комиссии пересматривается с учётом соответствия требованиям. В результате выбора в рамках этапа составляется акт о создании комиссии по оценке. Этап 2. Получение комиссией исходных данных об объекте и действующей СЗИ. В ходе внутреннего или внешнего аудита эксперты получают данные об информационной системе (далее - ИС) для оценки активов и рисков. Исходными данными считаются знания об ОИ, подлежащие защите. Эта информация отражает стоимость информационных активов организации, потенциальные угрозы и уязвимости для ОИ, требования законодательства и принятые меры по защите информации. Этап 3. Формализация полученных данных. В методе будет использоваться шкала относительной значимости для сравнения двух качественных отношений (метод Саати) [12]. Так решается задача анализа иерархий на основе выбора из нескольких критериев. В случае предлагаемого метода критериями выступят уязвимости СЗИ, а также угрозы безопасности информации, которые считаются актуальными для ИС. Поскольку критерии имеют свойство неоднородновсти, то применять их для построения рабочей модели можно в случае выполнения условий: - преобразование качественных описаний в количественные; - нормирование количественных описаний с учетом значимости. Для решения задачи преобразования качественных описаний в количественные строятся таблица парных сравнений оценки уязвимостей и угроз, а также таблица оценки ценности информации. Общий вид таблиц, представляющих собой лингвистическое сравнение двух параметров, показан в табл. 2. Таблица 2 Парные сравнения двух параметров Лингвистическая оценка сравнения 1-го и 2-го параметра Значение При наличии 1-го 2-й можно не учитывать 9 Существенное превосходство 1-го над 2-й 7 Использование 1-го предпочтительнее, чем 2-го 5 Чуть более высокая значимость 1-го против 2-го 3 Одинаковая значимость сравниваемых параметров 1 Описание множества сравниваемых параметров с использованием шкалы относительной значимости представлено в виде матрицы парных сравнений [11]: , (3) где - множество уязвимостей, - номер эксперта. Условие относительности означает, что матрица (3) обратносимметрична [13]: . (4) Каждым экспертом строится матрица парных сравнений уязвимостей на основании табл. 2. Следующим шагом, по ранговой шкале каждый эксперт должен составить вектор доступности уязвимостей для злоумышленника: . (5) Взаимосвязь между угрозами и уязвимостями определяется матрицей причинно-следственных связей, её строит каждый эксперт. Матрица выглядит так: . (6) Этап 4. Расчёт вероятности возникновения угроз. В ходе этапа рассчитываются вероятности возникновения угроз на основании матриц, полученных в предыдущем этапе. Это необходимо для выявления зависимости между существующими уязвимостями и возникающими угрозами. Для текущего этапа перемножаются матрицы относительной значимости уязвимостей и причинно-следственных связей уязвимостей и угроз. Таким образом, получится единственная матрица показателей значимости уязвимостей для возникновения угроз: . (7) Далее нужно дополнить матрицу (7) вектором (8) и определить интегральный показатель влияния всех уязвимостей на возникновение k-й угрозы: (8) Нормализация вектора W проводится так: максимальному значению соответствует величина 9, а минимальному - 1. Далее необходимо получить матрицу отношений элементов: . (9) Нахождение вероятностей возникновения угроз безопасности по оценкам i-го эксперта Pbji сводится к поиску собственных чисел матрицы (9) и собственного вектора Pbi - максимальному собственному значению вероятности. Впоследствии производится расчёт ущерба от i-й угрозы незащищенной ИС. Ущерб рассчитывают как относительную величину стоимости ИС - . Степень воздействия i-й угрозы на информационную систему оценивается экспертами при наличии двух условий: , . (10) При этом ущерб от i-й угрозы для незащищенной ИС определяется как [6]: . (11) Матрица парных сравнений степени вреда, наносимого угрозами, строится экспертами на основе матрицы (6) с учетом (7)-(9) и табл. 2: , (12) где показывает, насколько вред, наносимый α-й угрозой, существеннее вреда, наносимого β-й угрозой. Этап 5. Определение стоимости информационных ресурсов. Следующим шагом группа экспертов вычисляет ценность информационных ресурсов ОИ методом парных сравнений по формулам (7)-(9) и табл. 2: (13) и определить вектор относительной ценности: (14) Стоимость каждого отдельно взятого информационного ресурса определяется на основе вектора ценности после выделения элемента по формуле: , (15) где - относительная ценность ресурса; - его стоимость. Этап 6. Расчёт стоимости объектов, подверженных угрозам. На этом этапе считается стоимость тех объектов, которые являются уязвимыми для угроз безопасности информации, они непосредственно защищаются СЗИ. Стоимость элементов объекта, подверженных воздействию угроз, определяется их суммированием: , (16) где SОИj - стоимость j-го элемента; m - количество элементов объекта. Стоимость элементов КСЗИ SСЗИ определяется как сумма всех затрат на информационную безопасность по всем позициям и считается аналогично формуле (16). Этап 7. Расчёт вероятности устранения угроз информации. Далее эксперты должны оценить вероятность устранения угроз безопасности. Вероятность устранения j-й угрозы Pyj определяется тем, насколько полно учтены качественные и количественные требования к КСЗИ при ее проектировании. Вероятность устранения j-й угрозы по оценкам i-го эксперта определяется из выражения: , (17) где - весовой коэффициент значимости q-го требования для устранения j-й угрозы по оценке i-го эксперта; - степень выполнения количественного и качественного требования к СЗИ для устранения j-й угрозы. Весовые коэффициенты проставляются непосредственно экспертами по правилам, установленным этапом 3. Этап 8. Расчёт итоговых показателей экономической эффективности системы защиты информации на объекте информатизации При работе организации существует определенное количество угроз безопасности (i = 1, ..., n), которые характеризуются вероятностями возникновения и ущербом, наносимым каждой угрозой . Задачей СЗИ является устранение i-й угрозы. Полный ущерб незащищенному ОИ можно представить как сумму возможных ущербов: . (18) Риск для незащищенного ОИ [14] представляет собой произведение вероятностей возникновения угроз и ущерба в случае их реализации и показывает, какой вероятный ущерб понесёт предприятие при реализации угрозы информационной безопасности в условиях, когда СЗИ на объекте моделируется с неработающими функциями: . (19) Риск же для защищенного ОИ зависит от вероятности устранения i-й угрозы : . (20) Чем выше будет вероятность устранения угрозы СЗИ предприятия, тем меньший риск понесет компания в случае реализации угроз. Экономическая эффективность применения системы защиты информации через риски рассчитывается по формуле (1). Через риски выразим коэффициент защищенности ОИ - получим коэффициент экономической эффективности системы защиты информации из формулы (2). Для расчета экономической эффективности и коэффициента защищенности нужно провести все вышеперечисленные этапы. Система считается тем больше экономически эффективной, чем выше показатель устранения рисков на предприятии за счёт суммарной стоимости системы защиты информации [15]. Если отношение 1:1, то система не перекрывает риски информационной безопасности, об эффективности речь также не идёт, т.е. данная разность должна быть меньше, чем 1. Этап 9. Принятие решения об экономической эффективности СЗИ. В результате расчётов экспертной группой принимается решение, является ли СЗИ экономически эффективной. Если она эффективна, то принимается решение о её внедрении (модификации) на ОИ, создается проект по внедрению СЗИ на ОИ [16-17]. Если СЗИ признается неэффективной или её эффективность недостаточна для принятия решения о внедрении, то такая СЗИ отправляется на доработку по параметрам, которые в ходе расчёта негативно влияют на общую экономическую эффективность системы. Апробация модели и метода на объекте защиты. Для проверки работоспособности модели и метода на реальном объекте защиты было выбрано коммерческое предприятие ООО «Компания» (реальное название предприятия не указывается), которое осуществляет свою деятельность на территории Пермского края. Для моделирования эффективной системы защиты информации использовались данные СЗИ на предприятии, а также Государственный реестр сертифицированных средств защиты информации ФСТЭК [18]. Требования к СЗИ предъявлялись, исходя из бизнес-процессов организации (обработка персональных данных, ведение конфиденциальных переговоров, наличие коммерческой тайны). Состав подсистем защиты моделировался, исходя из потребностей организации в защите критичных ресурсов. Результаты моделирования графической модели (см. рис. 2) были визуализированы в системе Gephi. В результате визуализации на графе были выделены оптимальные пути решения, т.е. наилучшие параметры системы защиты информации в лингвистической форме. Вершины и рёбра в графе, отмеченные красным цветом, обеспечивают максимальную экономическую эффективность, тогда как серые вершины неэффективны. Модель экономически эффективной системы защиты информации на объекте показана на рис. 4. Рис. 4. Визуализация экономически-эффективной СЗИ на объекте защиты В результате моделирования экономически эффективной СЗИ на объекте защиты были оценены параметры эффективности модели с помощью описанного метода парных сравнений. Полученные показатели оценки экономической эффективности системы защиты информации «Компания» отражены в табл. 3. Таблица 3 Результаты расчёта итоговых показателей экономической эффективности Показатель Значение Стоимость средств защиты информации, тыс. руб. 174 Риск для незащищенной системы, тыс. руб. 1 809 Риск для защищенной системы, тыс. руб. 648,5 Экономическая эффективность, относительная единица 6,67 Коэффициент защищенности, относительная единица 0,64 Результаты моделирования экономически эффективной СЗИ на объекте, а также оценка этих результатов по методу показали эффективность модели. Показатели составляют 6,67, что означает эффективность работы СЗИ по устранению выявленных рисков ИБ [19]. Содержание СЗИ позволяет снизить стоимость рисков в рублях в 3 раза, при этом обеспечивая отличный коэффициент защищенности ресурсов в 0,64. Перспективы использования модели и метода оценки экономической эффективности систем защиты информации. В результате проектирования модели и реализующего её оценку метода можно определить не только рекомендации по практическому применению моделей и методов оценки экономической эффективности, но также и сделать вывод по перспективам развития оценки эффективности СЗИ. Результатом проектирования стала модель экономически эффективного функционирования системы защиты информации, с помощью которой можно представить СЗИ предприятия в качестве совокупности подсистем защиты, требований и СрЗИ. Это позволяет увидеть закономерности между действующей системой и её экономической эффективностью, но также приводит СЗИ к формализации для оценки экономической эффективности разработанным методом. Применение метода на реальном объекте продемонстрировало, что модель и метод оценки позволяют провести качественную оценку экономической её эффективности, показывая понятный и конкретный результат. Положительный результат апробации метода позволяет рекомендовать научную работу к применению на действующих объектах защиты информации коммерческих предприятий. Показатели оценки помогут сформировать рекомендации по модернизации СЗИ объекта для увеличения эффективности защиты информации, а также исправить недочёты, уменьшающие эффективность СЗИ. Кроме того, приведенный случай многокритериальной и комплексной оценки экономической эффективности СЗИ является оптимальным и рекомендуется к применению в модели, отраженной в формулах (1)-(3). Закономерным следствием из рекомендаций являются резюмированные перспективы оценки экономической эффективности в СЗИ. Поскольку оценка в модели и методе осуществляется многокритериально [20], появляется возможность использования новых критериев оценки внутри них, основанных на вероятностных, экономических и оперативных (рисковых) показателях. Это позволит расширить возможности оценки экономической эффективности, включая возможность оценки эффективности через разные показатели.

About the authors

A. S Shaburov

Perm National Research Polytechnic University

A. I Shlykov

Perm National Research Polytechnic University

References

Statistics

Views

Abstract - 56

PDF (Russian) - 25

Refbacks

• There are currently no refbacks.