Введение. 
Современные тенденции оценки защиты информации

Значимость проблемы защиты информации в современном мире является признанной, и подтверждению этому являются понесенные корпорациями огромные убытки из-за недостаточной защищенности информации. Однако, проведенный анализ в области нарушений безопасности информации указывает на наличие серьезных трудностей, которые во многом связаны с отсутствием единой системы оценки защищенности информации, позволяющей дать количественную оценку, при проектировании и эксплуатации информационных систем.

Общая методика построения систем защиты информации

Решение проблемы, возникающие при защите информации в автоматизированных информационных системах, является сложным процессом, который базируется на основе системного подхода, применяемого при создании комплексной системы защиты информации. Для обеспечения защищенности информации в АИС крайне важно использование мероприятий направленных на защиту информации на всех этапах жизненного цикла АИС.

Жизненный цикл можно разделить на четыре этапа[4]:

проектирование;

ввод в действие;

эксплуатация;

сопровождение.

На первом этапе жизненного цикла АИС необходимо произвести идентификацию рисков для системы и выявить недопустимые риски, которые необходимо уменьшить или удалить средствами защиты АИС. После чего, ответственное лицо анализирует ожидаемые остаточные риски и принимает решение об их приемлемости для проектируемой АИС.

Следующим шагом на этапе проектирования АИС является выбор аппаратного обеспечения, программных продуктов, обеспечивающей инфраструктуры, прикладного программного обеспечения и необходимых технических средств регулирования безопасности АИС. На данном этапе уже следует производить оценку безопасности проектируемой АИС. Это позволит специалистам по обеспечению защищенности АИС дать понимание устройства системы, а так же ее предполагаемой эксплуатационной среды.

После анализа внешней и внутренней среды функционирования АИС идет закупка базового и прикладного программного обеспечения, а также технические инструменты регулирования безопасности. Параллельно с этим создается инфраструктура безопасности для административного и процедурного уровней, с полным документированием политик, правил и процедур безопасности, интегрируемые в систему защиты АИС.

В случае внесения изменений в существующую автоматизированную информационную систему, то должна выполняться замена технических средств регулирования безопасности в соответствии с изменившейся средой.

Следующий шаг — оценка автоматизированной информационной системы. Это позволяет владельцу АИС получить независимое подтверждение того, что все выявленные риски благодаря применению средств регулирования безопасности сведены до приемлемого уровня. Проведение оценки необходимо для проверки АИС на соответствие к предъявляемых к ней системным требованиям. Как правило, специфические параметры безопасности, характерные для конкретной организации (административные, технические и т. д.), могут быть установлены до начала ввода в эксплуатацию автоматизированной информационной системы. Результатом первого этапа является подтверждение приемлемости существующих угроз безопасности для функционирования АИС в производственной среде и возможности ввода системы в эксплуатацию.

На, втором этапе происходит развертывание и инсталляция автоматизированной информационной системы, подготовка к эксплуатации.

На этапе эксплуатации выполняется непрерывное протоколирование и отслеживание работы технических, процедурных и административных средств регулирования безопасности. Реализуется обратное взаимодействие для корректировки средств регулирования безопасности при внесении изменений в АИС. Обеспечение обратного взаимодействия с АИС проводится мониторинг не всех средств регулирования безопасности, а наиболее важных критериев подмножеств, сгруппированных на логическом подходе. Для реализации возможности мониторинга АИС у администратора должна быть возможность управления конфигурацией, аудита и администрирования.

Этап сопровождения связан с анализом всех предложенных или сделанных изменений в АИС, конфигурации средств регулирования безопасности, включая изменения в правилах, процедурах и политиках. Данный этап завершается выведением системы из использования и перемещением данных в другую систему или перемещением в долговременный архив. Ответственное лицо должно потвердеть факт успешного завершения работы АИС.

Учитывая особенности организации защиты информации на всех этапах жизненного цикла построения системы защиты информации АИС можно выделить следующие этапы:

• 1. Разработка профилей защиты для АИС. Формирование совокупности требований к безопасности и спецификаций, включенных в профиль защиты АИС.
• 2. Разработка методов оценки реализации ПЗ;
• 3. Проведение оценки ПЗ на полноту, непротиворечивость и достаточность требований к параметрам безопасности.
• 4. Проведение комплексной оценки реализации ЗБ;
• 5. Ведение мониторинга эффективности применяемых мер по обеспечению безопасности информации.

Наиболее важным этапом при построении комплексной системы защиты информации является этап оценки систем защиты информации АИС. Общая схема оценки приведена на рисунке 1.

При проведении оценки систем защиты информации АИС основными вопросами являются следующие вопросы:

• — отвечает ли функция безопасности АИС требованиям, указанным в ПЗ;
• — корректна ли реализована функция безопасности АИС.

Рисунок 1. Процедура оценки системы защиты информации АИС При выборе метода оценки защищенности информации необходимо придерживаться следующих принципов:

Объективность — результаты оценки должны быть основаны на фактических данных и не зависеть от личного мнения;

Воспроизводимость — при использовании одних и тех же входных данных для оценки должен всегда приводить к идентичным результатам;

Корректность — случайные действия оценивающего не должны оказывать действия точность оценки;

Достаточность — действия по оценке проводятся до уровня, требуемого для удовлетворения заданного критерия доверия.

Для проведения оценки состояния системы защиты информации АИС необходимо проводить оценку всей структуры требований безопасности, состоящих из совокупности частных показателей подмножеств, сгруппированных на основе логического подхода.

Данный процесс можно представить в виде следующе последовательности этапов:

• — процедура нечеткого экспертного оценивания элемента (частные показатели подмножеств);
• — процедура нечеткого оценивания показателей совокупности подмножеств, на основе эвристических методов представления экспертных оценок;
• — процедура определения весов важности показателей;
• — процедура получения оценки в соответствии с иерархической структурой показателей.