Виклад основного матеріалу дослідження: Аналіз принципів побудови моделей інформаційної безпеки в корпоративних інформаційних системах

При аналізі інформаційних ризиків необхідно використовувати моделі системи інформаційної безпеки, засновані на міжнародних стандартах. Розглянемо певну модель, побудовану відповідно до стандарту (ISO 15 408 «Загальні критерії оцінки безпеки інформаційних технологій») і даних аналізу ризиків (ISO 17 799 «Стандарт побудови ефективної системи безпеки»). Ця модель відповідає спеціальним нормативним документам із гарантування інформаційної безпеки, прийнятих в Україні, міжнародному стандарту ISO/IEC 15 408 «Інформаційна технологія — методи захисту, критерії оцінки інформаційної безпеки», стандарту ISO/IEC 17 799 «Управління інформаційною безпекою» і враховує тенденції розвитку вітчизняної нормативної бази з питань інформаційної безпеки.

Деталізований опис загальної мети побудови системи безпеки об'єкта замовника виражається сукупністю чинників або критеріїв, які уточнюють мету. Сукупність чинників є основою визначення вимог до системи (вибір альтернатив).

На рис. 1 модель інформаційної безпеки відображує сукупність об'єктивних зовнішніх і внутрішніх чинників та їх вплив на стан інформаційної безпеки на об'єкті і на збереження матеріальних або інформаційних ресурсів. Чинники безпеки можна поділити на технологічні, технічні й організаційні.

Рис. 1 Модель системи безпеки підприємства в інформаційній сфері

У процесі оцінки інформаційної системи та необхідно визначити ресурси інформаційної системи. При цьому необхідно розділити ці ресурси і зовнішні елементи, з якими здійснюється взаємодія. Ресурсами можуть бути засоби обчислювальної техніки, програмне забезпечення, дані. Прикладами зовнішніх-елементів є мережі зв’язку та інші засоби.

Визначення взаємозв'язків між ресурсами є основою побудови моделі організації з огляду на інформаційну безпеку.

Об'єктивні чинники моделі:

_ загрози інформаційній безпеці підприємства, що характеризуються вірогідністю реалізації;

_ вразливі місця інформаційної системи або системи контрзаходів (системи інформаційної безпеки);

_ ризик — чинник, що відображує можливий збиток організації в результаті реалізації загрози інформаційної безпеки: просочування інформації та її неправомірного використання (ризик відображає вірогідні фінансові втрати — прямі або непрямі).

Принципами побудови збалансованої системи інформаційної безпеки підприємства є:

_ аналіз ризиків у сфері інформаційної безпеки,.

_ визначення оптимального рівня ризику для підприємства на основі заданого критерію,.

_ вибір таких контрзаходів, які можуть забезпечити досягнення заданого рівня ризику.

Дана методика дає змогу проаналізувати вимоги щодо гарантування інформаційної безпеки підприємства. Для досягнення поставленої мети необхідне вирішення певних завдань:

_ розподілення інформації за рівнями доступу;

_ прогнозування і своєчасне виявлення загроз безпеці інформаційних ресурсів,.

_ створення умов, при яких найменш вірогідна загроза безпеці інформаційних ресурсів;

_ створення механізму і умов оперативного реагування на загрози інформаційній безпеці, забезпечення проведення робіт в короткі терміни;

_ створення механізму і умов для максимально можливого відшкодування і локалізації збитку, завданого неправомірними діями фізичних і юридичних осіб;

_ забезпечення оптимального вибору заходів протидії;

_ оцінити ефективність контрзаходів, порівняти різні їх варіанти.

На основі побудованої моделі можна обґрунтовано вибрати систему контрзаходів, які здатні знизити ризики до допустимих рівнів. Обов’язковим елементом контрзаходів повинна бути регулярна перевірка ефективності системи, перевірка відповідності існуючого режиму інформаційної безпеки політиці безпеки, перевірка відповідності сертифікації інформаційної системи (технології) на відповідність вимогам певного стандарту безпеки.

Отже, першим етапом побудови моделі інформаційної безпеки є оцінювання ризику. Мета процесу оцінювання ризиків полягає у визначенні їх характеристик в інформаційній системі та її ресурсах. На основі таких даних вибирають необхідні засоби управління інформаційною безпекою.

Ризик — це небезпека, якій може піддаватися система і організація, що використовує її. Він залежить від: показників цінності ресурсів, вірогідності завдання збитку ресурсам (що виражається через вірогідність реалізації загроз для ресурсів), ступеня легкості, від якого системи захисту вразливості можуть бути використані при виникненні загроз, існуючих або планованих засобів забезпечення інформаційної безпеки.

Процес оцінювання ризиків складається з кількох етапів: опис об'єкта і заходів захисту; ідентифікація ресурсу та оцінювання його кількісних показників (визначення потенційної негативної дії на бізнес); аналіз загроз інформаційній безпеці; оцінювання слабких місць; оцінювання існуючих і перспективних засобів гарантування інформаційної безпеки; оцінювання ризиків.

На етапі побудови профілю захисту розробляють план проектування системи захисту інформаційного середовища замовника; оцінюють доступні засоби, здійснюють аналіз і планують розроблення й інтеграцію засобів захисту. Необхідним елементом роботи є вимога замовника до допустимого рівня ризику.

Перед розробкою системи технічних рішень необхідно розробити організаційну політику безпеки. Ця політика, перш за все, повинна описувати порядок надання і використання прав доступу користувачів.

Побудова організаційної політики безпеки складається з декількох етапів:

_ внесення до опису об'єкта автоматизації структури цінності і проведення аналізу ризиків;

_ визначення правил будь-якого процесу користування цим видом доступу до ресурсів об'єкта автоматизації, що мають цей ступінь цінності.

Всі вимоги до функцій безпеки можна поділити на два типи: управління доступом до інформації і управління потоками інформації.

На цьому етапі потрібно правильно визначити для об'єкта компоненти функцій безпеки. Компонент функції безпеки описує певний набір вимог безпеки — найменший вибраний набір вимог безпеки для введення у профіль захисту. Між компонентами можуть існувати залежності.

Структура вимог гарантії досягнутої захищеності аналогічна структурі функціональних вимог і охоплює класи, групи, компоненти й елементи гарантій, а також рівні гарантії. Класи і групи гарантування відображають такі питання, як розроблення, управління конфігурація, робоча документація, підтримка етапів життєвого циклу, тестування, оцінка уразливості та ін.

Вимоги гарантування захисту виражаються оцінкою функцій служби інформаційної безпеки об'єкта. Таку оцінку роблять на рівні окремого механізму захисту, що дає змогу визначити здатність відповідної функції безпеки протистояти ідентифікованим загрозам. Залежно від відомого потенціалу нападу сила функції захисту визначається, наприклад, категоріями «базова», «середня», «висока» .

Потенціал нападу визначають за допомогою експертизи можливостей, ресурсів і мотивів нападаючого. Пропонується використовувати зведення рівнів гарантованості захисту. Рівні гарантії мають ієрархічну структуру, де кожен наступний рівень надає гарантії і включає всі вимоги попереднього.

Перелік вимог до системи інформаційної безпеки, ескізний проект, план захисту (далі - технічна документація, ТД) — це вимоги безпеки інформаційного середовища об'єкта замовника, які можуть містити посилання на відповідний профіль захисту, а також чітко сформульовані вимоги.

У загальному вигляді ТД передбачає:

_ уточнення функцій захисту;

_ вибір архітектурних принципів побудови системи інформаційної безпеки;

_ розроблення логічної структури системи інформаційної безпеки (чіткий опис інтерфейсів);

_ уточнення вимог функцій забезпечення гарантоздатності системи інформаційної безпеки;

_ розроблення методики і програми випробувань на відповідність сформульованим вимогам.

На етапі оцінки досягнутої захищеності оцінюють рівень гарантування безпеки інформаційного середовища об'єкта автоматизації на основі оцінки, за якої після виконання рекомендованих заходів можна довіряти інформаційному середовищу об'єкта.

Базові положення цієї методики припускають, що ступінь гарантування залежить від ефективності зусиль, докладених до оцінювання безпеки. Збільшення цих зусиль означає:

_ значну кількість елементів інформаційного середовища об'єкта, що беруть участь у процесі оцінювання;

_ розширення типів проектів і описів деталей виконання під час проектуванні системи гарантування безпеки;

_ суворість проведення робіт, яка полягає у застосуванні більшої кількості інструментів пошуку і методів виявлення менш очевидних слабких місць або зменшення вірогідності їх наявності.