Моделирование систем управления безопасности

Делая соответствующие предположения о рациональности действий агентов, находим точку равновесия игры, т. е. точку, отклонение от которой не выгодно ни одной из сторон. В результате приходим к следующему определению безопасного состояния системы:

состояние системы безопасно, если управляющее устройство может обеспечить необходимый уровень LI-управляемости в точке равновесного состояния игры, а соответствующая стратегия управляющего устройства называется стратегией информационной безопасности.

Предложенный здесь способ моделирования стратегий информационной безопасности в некоторых случаях позволяет более целостно взглянуть на процессы информационного противоборства и как следствие более эффективно проводить пошаговую информационную политику с целью сохранить необходимый уровень управляемости СИУ.

4.Контроль и моделирование как основные формы орг. действий при проверке действенности систем ИБ

Оценка эффективности функционирования КСЗИ (контроль системы защиты информации) представляет собой сложную научно-техническую задачу. Комплексная СЗИ оценивается в процессе разработки КС, в период эксплуатации и при создании (модернизации) СЗИ для уже существующих КС.

Контроль — мониторинг прогресса и регулирование хода работ проекта Процессы контроля — отслеживание хода выполнения проекта и достижения, целей путем мониторинга, количественной оценки прогресса проекта и осуществления необходимых корректирующих воздействий для ликвидации нежелательных отклонений от плана проекта;

Контроль эффективности системы защиты информации — анализ степени уязвимости конфиденциальной информации. Осуществляют в негосударственных структурах органы государственной власти в порядке, определяемом Правительством РФ. На уровне фирмы собственный контроль эффективности системы защиты информации является функцией службы безопасности и проводится путем регулярного анализа, соответствия структуры системы защиты информации реальным и потенциальным угрозою безопасности конфиденциальной информации фирмы и соответствующей степени противодействиям угрозам. Результатом контрольной работы становится разработка предложений по совершенствованию системы защиты информации, усложнению системы или ее упрощению вплоть до отказа от подобной системы. В основе указанных предложений должна лежать идея максимально возможного снижения степени уязвимости конфиденциальной информации (21)

Контроль за распоряжениями службы безопасности. Сформировать концепцию, политику безопасности можно только усилиями всех сотрудниками организации, что бы это не были формальными документами. Контроль организационных действий — залог успеха.

Понятие контроля можно интерпретировать как в узком смысле — как один из этапов процесса управления системой ИБ, так и в более широком смысле как систему, состоящую из ряда элементов.

Управленческий контроль организации в наиболее узком смысле это осуществление следующих действий (21)

а) определение фактического состояния или действия управляемого звена системы управления организацией (объекта контроля);

б) сравнение фактических данных с требуемыми, т. е. с базой для сравнения, принятой в организации, либо заданной извне, либо основанной на рациональности;

в) оценка отклонений, превышающих предельно допустимый уровень, на предмет степени их влияния на аспекты функционирования организации; г) выявление причин данных отклонений.

В соответствии с подходом в узком смысле цель контроляинформационная прозрачность объекта управления для возможности принятия эффективных решений. При этом, в понятии информационной прозрачности объекта управления отражено представление о степени управляемости данного объекта, т. е. о том, в какой степени в результате управления обеспечивается (обеспечивалось или будет обеспечиваться) поддержание требуемого состояния или действия объекта управления в соответствующий момент (период) времени. Вполне очевидно, что без предельной информационной прозрачности объекта управления адекватное его восприятие невозможно, управленческое воздействие не будет приносить желаемый результат и управленческая связь с объектом теряется, что и обуславливает особую важность контроля в процессе управления. К функциям контроля можно отнести оперативную, упорядочивающую, превентивную, коммуникативную, информативную и защитную.

Контроль и регулирование в сфере ИБ Представление отчетов о ходе выполнения работ проекта Управление изменениями Контроль предметной области, сроков выполнения, стоимости проекта.

Контроль мероприятий по снижению рисков.

Контроль качества.

Контроль выполнения контрактов.

Моделирование КСЗИ заключается в построении образа (модели) системы, с определенной точностью воспроизводящего процессы, происходящие в реальной системе. Реализация модели позволяет получать и исследовать характеристики реальной системы.

Процесс моделирования состоит из трех стадий — формализации (переход от реального объекта к модели), моделирования (исследование и преобразования модели), интерпретации (перевод результатов моделирования в область реальности).

Для оценки систем используются аналитические и имитационные модели. В аналитических моделях функционирование исследуемой системы записывается в виде математических или логических соотношений. Для этих целей используется мощный математический аппарат: алгебра, функциональный анализ, разностные уравнения, теория вероятностей, математическая статистика, теория множеств, теория массового обслуживания и т. д.

При имитационном моделировании моделируемая система представляется в виде некоторого аналога реальной системы. В процессе имитационного моделирования на ЭВМ реализуются алгоритмы изменения основных характеристик реальной системы в соответствии с эквивалентными реальным процессам математическими и логическими зависимостями.

Модели делятся также на детерминированные и стохастические. Модели, которые оперируют со случайными величинами, называются стохастическими. Так как на процессы защиты информации основное влияние оказывают случайные факторы, то модели систем защиты являются стохастическими.

Моделирование КСЗИ является сложной задачей, потому что такие системы относятся к классу сложных организационно-технических систем, которым присущи следующие особенности (22)

сложность формального представления процессов функционирования таких систем, главным образом, из-за сложности формализации действий человека;

многообразие архитектур сложной системы, которое обуславливается многообразием структур ее подсистем и множественностью путей объединения подсистем в единую систему;

большое число взаимосвязанных между собой элементов и подсистем;

сложность функций, выполняемых системой;

функционирование систем в условиях неполной определенности и случайности процессов, оказывающих воздействие на систему;

наличие множества критериев оценки эффективности функционирования сложной системы;

существование интегрированных признаков, присущих системе в целом, но не свойственных каждому элементу в отдельности (например, система с резервированием является надежной, при ненадежных элементах);

наличие управления, часто имеющего сложную иерархическую структуру;

разветвленность и высокая интенсивность информационных потоков.

Для преодоления этих сложностей применяются:

специальные методы неформального моделирования;

декомпозиция общей задачи на ряд частных задач;

макромоделирование.

Заключение

С одной стороны, необходимость повышения эффективности системы ИБ связана с обострением проблем защиты информации. Здесь можно упомянуть, во-первых, растущую потребность обеспечения конфиденциальности данных. Российские компании, вслед за своими западными коллегами, приходят к необходимости учитывать так называемые репутационные риски, ответственность по обеспечению конфиденциальности данных своих клиентов, субподрядчиков, партнеров. Вместе с тем, в большинстве российских компаний организационная составляющая системы ИБ проработана слабо. Например, данные как таковые зачастую не классифицированы, то есть компания не имеет четкого представления о том, какие у нее есть типы данных с позиций их конфиденциальности, критичности для бизнеса. А это влечет за собой целый ряд проблем, начиная от сложностей в обосновании адекватности мероприятий по защите информации и заканчивая невозможностью при возникновении инцидента использовать правовые методы их расследования.

Применение высоких информационных технологий XXI века, с одной стороны, ведет к значительным преимуществам в деятельности предприятий и организаций, а с другой — потенциально создает предпосылки для утечки, хищения, утраты, искажения, подделки, уничтожения, копирования и блокирования информации и, как следствие, нанесение экономического, социального или других видов ущерба, т. е. проблема информационных рисков и нахождения путей снижения ущерба становится с каждым годом все острее.

Практика функционирования автоматизированных информационных систем показывает, что достижение 100%-го уровня безопасности — дело дорогое и не всегда целесообразное, так как:

даже самая совершенная на сегодня система информационной защиты не может противодействовать угрозам, которые могут возникнуть в последующем;

стоимость комплексной защиты может оказаться значительно выше, чем стоимость защищаемых информационных ресурсов.

Важность проблемы защиты информации в нашей стране подчеркивает факт создания по инициативе Президента Российской Федерации доктрины информационной безопасности. Методы обеспечения информационной безопасности Российской Федерации согласно Доктрине разделяются на правовые, организационно-технические и экономические.

Экономические методы обеспечения информационной безопасности Российской Федерации включают в себя: разработку программ обеспечения информационной безопасности Российской Федерации и определения порядка их финансирования, совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Именно соединение классических (программных и технических) методов защиты информации и механизма страхования могут помочь компании создать наиболее надежную систему информационной безопасности (СИБ).

Апоров В. П. Построение эффективной системы информационной бнзопасности М.:Наука 2005 г.

Волов А. Р. Контроль и моделирование при проверке И.Б.М.:2007г.

Информационная безопасность систем организационного управления. Теоретические основы [Текст]: в 2 т. / Н. А. Кузнецов, В. В. Кульба, Е. А. Микрин и др.; [отв. ред. Н. А. Кузнецов, В.В.Кульба]; Ин-т проблем передачи информации РАН. — М.: Наука, 2006 г.

Мануйлов И. Л. Моделирование системы информационной безопасности 2007 г.

Новиков Д. А. Рефлексивные игры [Текст] / Д. А. Новиков, Г. А. Чхартишвили — М.: СИНТЕГ, 2003 г.

Панарин И. Н. Информационная война и геополитика [Текст] / И. Н. Панарин — М.: «Поколение», 2006 г.

" Финансовая газета" № 8, август 2007 г.