Анализ угроз конфиденциальной информации корпоративной автоматизированной системы Internet Scanner. Расчет амортизационных отчислений, стоимости технических средств и программного обеспечения. Договорная цена разработки процедур оценки защищенности КАС.
Аннотация к работе
При этом, как правило, значительное внимание уделяется описанию различных технических решений, анализу преимуществ и недостатков известных аппаратных и программных средств и технологий защиты информации. В меньшей степени затрагиваются вопросы и меры организационного обеспечения ИБ компании - стратегия и тактика защиты информации, концепция и политика безопасности, планы защиты информационных ресурсов компании в штатных и внештатных условиях функционирования КАС, а также уровень защищенности всей системы в целом. Оценка эффективности защиты должна обязательно учитывать как объективные обстоятельства, так и вероятностные факторы. Объективным видом оценки защищенности СЗИ является функциональное тестирование, предназначенное для проверки фактической работоспособности реализованных механизмов безопасности и их соответствия предъявленным требованиям, а также обеспечивающее получение статистических данных. Защищенность оценивается для решения следующих задач: - принятие решения о допустимости практического использования СЗИ в конкретной ситуации;Определяющей средой, где порождается и решается проблема защиты информации является объект, - внутри которого эта информация циркулирует. В конечном итоге противоправные действия с информацией приводят к нарушению ее конфиденциальности, полноты, достоверности и доступности (рисунок 1.1), что в свою очередь приводит к нарушению как режима управления, так и его качества в условиях ложной или неполной информации. Конфиденциальность - свойство информации, которое заключается в том, что информация не может быть получена неавторизованным пользователем, то есть пользователем который не имеет привилегий на использование данной информации. Доступность - свойство ресурса системы (КАС, услуги, объекта КАС, информации), которое заключается в том, что пользователь и/или процесс, который владеет соответствующими полномочиями, может использовать ресурс в соответствии с правилами установленными политикой безопасности, не ожидая больше заданного (короткого) промежутка времени, то есть когда он находится в состоянии, необходимом пользователю, в месте, необходимом пользователю, и в то время когда он ему необходим. Показатели защищенности от НСД к информации" устанавливает классификацию СВТ по уровню защищенности от НСД к информации на базе перечня показателей защищенности и совокупности описывающих их требований.Проведен анализ и классификация угроз информации, что дает представление о возможных угрозах, а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее эффективные средства обеспечения безопасности. Выявлено, что нормативные документы по оценке ИБ не содержат конкретных методик оценки защищенности. На основе проведенного анализа сформулированы задачи работы: - построить математическую модель оценки защищенностиС учетом введенного понятия защищенности системы, задача оптимизации состоит в обеспечении максимального уровня защищенности (как функции стоимости защищаемой информации и вероятности взлома) при минимальной стоимости системы защиты и минимальном влиянии ее на производительность системы: ; (2.4) В техническом задание на разработку СЗИ ограничивается стоимость СЗИ и снижение производительности системы во время функционирование СЗИ. конфиденциальный информация автоматизированный программный Для решения этой задачи необходимо привести ее к однокритериальной посредством введения ограничений: (2.9) где и - заданные ограничения на стоимость системы защиты и производительность системы. Именно такой принцип сведения задачи к однокритериальной целесообразен, т.к. в любом техническом задании на разработку системы защиты указывается, в какой мере система защиты должна оказывать влияние на производительность системы. Очевидно, что при использовании любого математического метода проектирования системы защиты необходимо задавать определенные исходные параметры для оценки ее защищенности.В данном разделе была описана методика оценки защищенности АС. Описаны параметры, с которыми оперирует методика, методы их получения и оценки. Также был описан принцип оценки рисков, положенный в основу методики и выведена формула для получения количественной оценки уровня защищенности, обеспечиваемого СЗИ. Оценка защищенности с учетом приведенных выше расчетных формул и выбор оптимального варианта системы защиты, осуществляется следующим образом: 1.расчет коэффициента защищенности (D).Получение коэффициента защищенности, позволяет количественно показать относительное уменьшение риска в защищенной системе по сравнению с незащищенной системой; При сравнение полученного коэффициента защищенности со шкалой, можно определить уровень защищенности АС; Сопоставив вероятность реализации и уровень опасности атаки, формируются рейтинги атак, позволяющие выделить наиболее опасные типы атак; На этом этапе становится понятно, какие ресурсы требуют защиты в первую очередь и какие средства на это могут быть потрачены. Таким образом, подставляя значения вероятнос
Вывод
Проведен анализ и классификация угроз информации, что дает представление о возможных угрозах, а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее эффективные средства обеспечения безопасности.
Рассмотрены требования руководящих документов к оценке защищенности. Выявлено, что нормативные документы по оценке ИБ не содержат конкретных методик оценки защищенности.
Проанализированные современные технологии оценки защищенности, на примере система Internet Scanner. Недостатком рассмотренного средств автоматического сканирования АС можно считать отсутствие количественной оценки.
На основе проведенного анализа сформулированы задачи работы: - построить математическую модель оценки защищенности
- выбрать критерий оценки
- разработать процедуру определения вероятности реализации угроз
- разработать обобщенный алгоритм оценки защищенности АСВ данном разделе была описана методика оценки защищенности АС. Описаны параметры, с которыми оперирует методика, методы их получения и оценки. Также был описан принцип оценки рисков, положенный в основу методики и выведена формула для получения количественной оценки уровня защищенности, обеспечиваемого СЗИ. Разработана процедура определения вероятностей появления угроз и уровня их опасности. Разработана процедура оптимизации защиты АС.
Оценка защищенности с учетом приведенных выше расчетных формул и выбор оптимального варианта системы защиты, осуществляется следующим образом: 1. Расчет параметров Сі, li, pi. для оценки защищенности по исходным данным, полученным статистическим или, в случае недостатка статистики, одним из приведенных выше способов (оптимистически-пессимистический подход).
2. Расчет критериев защищенности , , , .
3. Расчет вероятностей появления угроз P(Hn/A) и уровня их опасности Coi.
4. Сопоставление значения коэффициента защищенности D со шкалой оценки защищенности. Анализ изменения коэффициента защищенности DD при задании приращений для критериев и методом последовательного выбора уступок с оценкой целесообразности выбора системы, удовлетворяющей новым ограничениям.
5. Выбор системы защиты с максимальным коэффициентом защищенности D, удовлетворяющей ограничениям по стоимости и производительности .