Анализ состояния банковских автоматизированных систем с точки зрения безопасности

Под безопасностью АСОИБ будем понимать ее свойство, выражающееся в способности противодействовать попыткам нанесения ущерба владельцам и пользователям системы при различных возмущающих (умышленных и неумышленных) воздействиях на нее. Иными словами под безопасностью системы понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Следует отметить, что природа воздействия может быть самой различной. Это и попытки проникновения злоумышленника, и ошибки персонала, и стихийные бедствия (ураган, пожар), и выход из строя составных частей АСОИБ.

Безопасность АСОИБ достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целостности и доступности компонентов и ресурсов системы.

Конфиденциальность информации — это свойство информации быть известной только допущенным и прошедшим проверку (авторизованным) субъектам системы (пользователям, программам, процессам и т. д.). Для остальных субъектов системы эта информация как бы не существует.

Целостность компонента (ресурса) системы — свойство компонента (ресурса) быть неизменным (в семантическом смысле) при функционировании системы.

Доступность компонента (ресурса) системы — свойство компонента (ресурса) быть доступным для использования авторизованными субъектами системы в любое время. [6, с.57].

Обеспечение безопасности АСОИБ требует применения различных мер защитного характера. Обычно вопрос о необходимости защиты компьютерной системы не вызывает сомнений. Наиболее трудными бывают ответы на вопросы:

• 1. От чего надо защищать систему?
• 2. Что надо защищать в самой системе?
• 3. Как надо защищать систему (при помощи каких методов и средств)?

При выработке подходов к решению проблемы безопасности следует всегда исходить из того, что конечной целью применения любых мер противодействия угрозам является защита владельца и законных пользователей АСОИБ от нанесения им материального или морального ущерба в результате случайных или преднамеренных воздействий на нее.

Обеспечение безопасности АСОИБ в целом предполагает создание препятствий для любого несанкционированного вмешательства в процесс ее функционирования, а также попыток хищения, модификации, выведения из строя или разрушения ее компонентов. То есть защиту всех компонентов системы: оборудования, программного обеспечения, данных и персонала. В этом смысле, защита информации от несанкционированного доступа является только частью общей проблемы обеспечения безопасности АСОИБ, а борьбу следует вести не только с «несанкционированным доступом» (к информации), а шире, — с «несанкционированными действиями».

Обычно различают внешнюю и внутреннюю безопасность АСОИБ [3, с.182]. Внешняя безопасность включает защиту АСОИБ от стихийных бедствий (пожар, наводнение и т. п.) и от проникновения злоумышленников извне с целями хищения, получения доступа к носителям информации или вывода системы из строя. Предметом внутренней безопасности является обеспечение надежной и корректной работы системы, целостности ее программ и данных.

Все усилия по обеспечению внутренней безопасности АСОИБ фокусируются на создании надежных и удобных механизмов регламентации деятельности всех ее пользователей и обслуживающего персонала, соблюдении установленной в организации дисциплины прямого или косвенного доступа к ресурсам системы и к информации.

Учитывая то обстоятельство, что основным предназначением АСОИБ является переработка (сбор, хранение, обработка и выдача) информации, то проблема обеспечения безопасности информации является для АСОИБ центральной в ряду проблем защиты средств вычислительной техники от стихийных бедствий и хищений, проблем подбора и подготовки кадров, организации управления, обеспечения живучести АСОИБ, надежности их технических средств и программного обеспечения и других. Очевидно, что все они тесно связаны с безопасностью информации, поскольку, например, отказ в обслуживании клиента или несвоевременное предоставление пользователю хранящейся в АСОИБ важной информации из-за неработоспособности этой системы по своим последствиям равноценны потере информации (несанкционированному ее уничтожению).

Анализ построения система информационной безопасности следует начинать с анализа рисков возможных угроз.

Риск есть стоимостное выражение вероятностного события, ведущего к потерям. Для оценки степени риска при том или ином варианте действий применяются различные методики. В зарубежной литературе они получили название «анализ риска» (risk analysis). Анализ риска применяется к самым различным операциям. Например, при выдаче кредита специалисты банка оценивают риск его невозврата заемщиком. Оценив величину степени риска можно принять меры, направленные на ее уменьшение (например, опечатав на складе заемщика высоколиквидный товар). [13, с.28]

Перед тем, как выбирать различные средства защиты необходимо четко представлять какие компоненты АСОИБ, от каких посягательств и насколько надежно вы хотите защитить. Безусловно, основой системы защиты АСОИБ должны быть организационные (административные) мероприятия, стержнем которых является разработка и реализация плана защиты. Но организационные меры без повсеместной поддержки их физическими и техническими (программными и аппаратными) средствами будут слабы. Поэтому при выборе средств защиты необходимо обращать внимание не только на их надежность, но и на то, как они будут поддерживать разработанные организационные мероприятия.

Необходимо использовать анализ риска для выбора наиболее реальных угроз АСОИБ и целесообразных способов защиты от них.

Для чего нужен анализ риска в этой области?

• 1. Для повышения осведомленности персонала. Обсуждение вопросов защиты АСОИБ может поднять уровень интереса к этой проблеме среди сотрудников, что приведет к более точному выполнению требований инструкций.
• 2. Для определения сильных и слабых сторон существующих и предлагаемых мер защиты. Многие организации не имеют полной информации о своей АСОИБ и ее слабых сторонах. Систематический анализ дает всестороннюю информацию о состоянии аппаратного и программного обеспечения АСОИБ и степени риска потери (искажения, утечки) информации при ее обработке и хранении в электронном виде.
• 3. Для подготовки и принятия решения по выбору мер и средств защиты. Защита снижает производительность АСОИБ, внося при этом неудобства (иногда существенные) в работу пользователей. Некоторые меры защиты слишком сложны и дороги и их применение не может быть оправдано теми функциями, которые они выполняют. В то же время существуют настолько серьезные виды угроз, что поиск и разработка новых, более эффективных методов и средств защиты от них является просто необходимыми. В обоих случаях степень риска определяет уровень и масштаб применяемых средств защиты.
• 4. Для определения затрат на защиту. Некоторые механизмы защиты требуют довольно больших ресурсов, и их работа скрыта от пользователей. Анализ риска может помочь определить самые главные требования к системе защиты АСОИБ.

Анализ риска — это процесс получения количественной или качественной оценки ущерба, который может произойти в случае реализации угрозы безопасности АСОИБ.

Ниже рассматриваются основные этапы, проводимые при анализе риска безопасности АСОИБ. Они могут в отдельных случаях корректироваться в зависимости от конкретных условий анализа [13, с.29]:

• 1. Описание компонентов АСОИБ.
• 2. Определение уязвимых мест АСОИБ.
• 3. Оценка вероятностей проявления угроз безопасности АСОИБ.
• 4. Оценка ожидаемых размеров потерь.
• 5. Обзор возможных методов защиты и оценка их стоимости.
• 6. Оценка выгоды от применения предполагаемых мер.

Рассмотрим эти этапы подробнее. Описание компонентов АСОИБ Все компоненты АСОИБ можно разбить на следующие категории:

• — оборудование — ЭВМ и их составные части (процессоры, мониторы, терминалы, рабочие станции), периферийные устройства (дисководы, устройства back-up, порты ввода-вывода, принтеры, кабели, контроллеры, линии связи) и т. д.;
• — программное обеспечение — исходные, объектные, загрузочные модули, приобретенные программы, «домашние» разработки, утилиты, операционные системы и системные программы (компиляторы, компоновщики и др.), диагностические программы и т. д.;
• — данные — временные, хранимые постоянно, на магнитных носителях, печатные, архивы, системные журналы и т. д.;
• — сотрудники — пользователи и обслуживающий персонал.

Кроме компонентов АСОИБ при планировании системы безопасности необходимо четко описать технологию обработки информации в защищаемой АСОИБ. Необходимо зафиксировать состояние АСОИБ как совокупности различных компонентов и технологии обработки информации. Все дальнейшие этапы анализа риска производятся именно с этой, зафиксированной на некоторый момент времени, системой.

Важным моментом является определение уязвимых мест АСОИБ. Для всех категорий, компонентов АСОИБ необходимо определить, какие опасности могут угрожать каждой из них и что может быть их причиной.

Рассмотрим примеры опасных воздействий, которые могут привести к нарушению конфиденциальности, целостности и доступности определенных компонентов и ресурсов АСОИБ:

• 1. Стихийные бедствия.
• 2. Внешние воздействия. Подключение к сети, интерактивная работа, воздействие хакеров.
• 3. Преднамеренные нарушения. Действия обиженных служащих, взяточников, любопытных посетителей, конкурентов и т. д.
• 4. Неумышленные ошибки. Ввод ошибочной команды, данных, использование неисправных устройств, носителей, а также пренебрежение некоторыми правилами безопасности.

Дальнейший этап анализа риска определяет, как часто может проявиться каждая из угроз безопасности АСОИБ. В некоторых случаях вообще невозможно численно оценить появление той или иной угрозы, однако для большинства случаев такая оценка все же возможна.

Приведем некоторые методы оценки вероятностей проявления угроз.

• 1. Эмпирическая оценка количества проявлений угрозы за некоторый период времени. Как правило, этот метод применяется для оценки вероятности стихийных бедствий. Невозможно предсказать возникновение, например, пожара в определенном здании, поэтому в таких случаях целесообразно накапливать массив данных об исследуемом событии. Так например, в среднем за год пожар уничтожит некоторое количество зданий; средний ущерб составит $Х. Кроме того, также можно получать данные об обманах со стороны сотрудников, коррупции и т. д. Такой анализ обычно неточен, поскольку использует лишь частичные данные о событии, но тем не менее в некоторых случаях таким путем можно получить приемлемые результаты.
• 2. Непосредственная регистрация событий. Обычно этот метод применяется для оценки вероятности часто проявляющихся событий (попытки входа в систему, доступ к определенному объекту и т. д.).
• 3. Оценка частоты проявления угрозы по таблице. Некоторые методы анализа риска позволяют оценить вероятность появления каких либо событий по специальной таблице, выбирая один из коэффициентов. Полнота анализа зависит от качества метода вычисления коэффициентов проявления данного события. Таким образом, оценка вероятности события производится не с помощью безосновательного выбора числа, а на основе системы коэффициентов, которая имеют некоторую методологическую основу.
• 4. Метод «Дельфийский оракул». С помощью этого метода каждый конкретный коэффициент выводится из частоты появления определенного события. Эти частоты накапливаются и преобразуются в коэффициенты; они могут быть изменены на основе новых данных. После серии испытаний все значения коэффициентов собирают, и если они приемлемы, то одно из них (лучшее в смысле некоторого выбранного критерия) оставляют. В противном случае анализируется методика получения оценок и производится новая серия испытаний.

Определение потерь в результате реализации любой из угроз безопасности — следующий этап анализа риска. Как и оценка частоты реализации различных угроз, определение потерь также трудно поддается расчету. Например, стоимость замены аппаратного или программного обеспечения АСОИБ оценивается достаточно просто. Однако существует много случаев (восстановление данных или программ), когда это сопряжено с большими трудностями.

Многие данные нуждаются в защите по вполне объяснимым причинам. Защищать необходимо личные данные (счета, страховые полисы), коммерческую информацию (технологические, финансовые и другие секреты). Однако при этом трудно оценить величину потерь при искажении, потере этих данных, либо при невозможности получить данные в требуемое время.

Ответы на приведенные ниже вопросы полезно использовать при оценке величины ожидаемых потерь, при анализе различных способов реализации угроз; они, конечно, не дадут полную картину, но могут облегчить оценку возможного ущерба:

• 1. Каковы Ваши обязательства по сохранению конфиденциальности и целостности тех или иных данных?
• 2. Может ли компрометация этих данных привести к несчастному случаю? Существует ли реальная возможность такого события?
• 3. Может ли несанкционированный доступ к этим данным послужить причиной потерь в будущем (упущенная возможность в бизнесе)? Может ли этот случай послужить Вашим соперникам (конкурентам)? Каковы возможные потери от этого?
• 4. Каков может быть психологический эффект потери? Возможные затруднения? Кредитоспособность? Потеря клиентуры?
• 5. Каково значение доступа к этим данным? Может ли обработка этих данных быть отложена? Могут ли эти вычислений быть выполнены где-нибудь еще? Сколько Вы можете заплатить за обработку этих данных в другом месте?
• 6. Каково для Вас значение несанкционированного доступа конкурентов к Вашим данным? Насколько заинтересованы ваши соперники (конкуренты) в этих данных?
• 7. Какие проблемы могут возникнуть при утере Ваших данных? Могут ли они быть восстановлены? Каков объем работ по восстановлению? Сколько это будет стоить ?

Как уже отмечалось выше, оценка потерь достаточно сложна. Более того, уязвимость вычислительных систем часто оказывается выше ожидаемой. Поэтому реалистичные оценки потенциального ущерба могут послужить основой для разработки системы защиты и определить область наиболее пристального внимания.

Защита от проявления той или иной угрозы может быть реализована различными способами. Например, защитить информацию на жестком диске ПЭВМ от ознакомления можно следующими способами :

• — организовать контроль за доступом в помещение, в котором установлена ПЭВМ;
• — назначить ответственных за использование ПЭВМ;
• — шифровать информацию на диске;
• — использовать системы разграничения доступа;
• — закрывать доступ или демонтировать дисководы и порты ввода-вывода;
• — применять средства оповещения администратора о вскрытии корпуса ПЭВМ.

Для каждого из этих способов определяются такие характеристики, как стоимость и эффективность. Стоимость метода защиты имеет абсолютное значение, выраженное в денежных единицах, затраченных на его реализацию и сопровождение. При оценке стоимости метода необходимо учитывать не только прямые (закупка оборудования, обучение персонала и т. д.), но и косвенные затраты (замедление работы системы, нарушение устоявшейся технологии обработки информации и т. д) Эффективность метода — это его способность противостоять тем или иным угрозам. Получить реальное значение эффективности очень трудно, и в большинстве случаев эта характеристика определяется эмпирически.

Анализ риска также позволяет экспериментировать с некоторой моделью АСОИБ для того, чтобы выяснить, какие из имеющихся методов защиты наиболее эффективны для сохранения работоспособности системы и конфиденциальности обрабатываемой в ней информации.

Анализ риска — хорошо известный инструмент планирования, широко используемый в практике управления. Тем не менее, иногда выдвигаются аргументы против его использования. Рассмотрим основные из них.

1. Неточность. Многие значения, получаемые в процессе анализа (вероятность появления событий, стоимость ущерба) не отличаются высокой точностью. Однако существуют различные методы для получения приемлемых приближений этих значений.

В то же время, анализ риска — это инструмент планирования. Основная его задача — определить уровень возможных потерь. Например, можно ошибиться в частоте появления некоторого события — один раз в год или один раз в три года, но мы по крайней мере будем уверены, что оно вряд ли будет происходить каждую неделю. Анализ риска определяет эффективный уровень затрат на защиту, особенно в условиях ограниченных финансов.

Кроме того, излишняя точность может оказаться ненужной. Например, совершенно неважно, составят ли ожидаемые потери $ 150.000 или $ 100.000, важно, что они будут много больше чем $ 20.000. Стремление к излишней точности в таких случаях только требует увеличения времени анализа и дополнительных затрат.

2. Быстрая изменяемость. Анализ риска актуален лишь в течение определенного промежутка времени. Потом может изменится состав системы, внешние условия и т. д, и придется проводить новый анализ. В идеале анализ риска для собственной АСОИБ рекомендуется проводить ежегодно.

Важный момент в ежегодном исследовании — учет всех имеющих отношение к делу изменений, происшедших за истекший год. При этом некоторые факторы могли не учитываться в прошлом году, а некоторые могли потерять актуальность.

3. Отсутствие научной базы. Почти все методики проведения анализа риска основывается на положениях теории вероятностей и математической статистики, однако их применение не всегда корректно.

В процессе проведения анализа риска должна быть сформирована основа для определения необходимых мер защиты. В частности, следует определить, что именно относится к АСОИБ (оборудование, программы, данные, персонал и т. д.) и что нуждается в защите.

Далее необходимо составить список возможных на ваш взгляд способов реализации угроз работе системы, роль и место средств защиты для предотвращения кризисных ситуаций, В этом разделе плана фиксируется порядок формирования и обработки данных в защищаемой АСОИБ. Как отмечалось выше, наиболее сложным этапом анализа риска является определение частоты появления возможных угроз системе. Поскольку использование различных методов оценки может влиять на точность результатов, все они должны быть отражены в данном пункте плана.

Наконец, этот пункт должен содержать сведения о действиях средств защиты в случае возникновения непредусмотренных ситуаций, которые могут возникнуть при вводе в действие новой техники, программ, данных или из-за ошибок в планировании. При этом необходимо также предусмотреть, каким образом существующая система защиты может быть адаптирована к возникающим новым ситуациям.

Таким образом, составление плана защиты — сложный и трудоемкий процесс, требующий значительных исследований и затрат. В то же время чрезмерное увлечение сбором и анализом данных об АСОИБ и ее неформальных спецификаций может чересчур оттянуть и усложнить практическую реализацию мер по защите. Т. е. план должен строится на глубоком анализе ситуации, но в то же время оставаться в рамках здравого смысла, не погружаясь в излишнюю формализацию и бюрократизацию.