Комплексная методика оптимизации затрат на создание корпоративной системы защиты информации

Актуальность темы

исследования. Важность для каждого хозяйствующего субъекта защита корпоративной информации сама по себе не вызывает сомнений. В этой области проводятся многочисленные исследования. Так, например, компания Forrester Consulting совместно с корпорацией Microsoft и компанией RSA провели опрос о защите корпоративной информации, в котором приняло участие 305 директоров и менеджеров ИТ-отрасли1. Выяснилось, что 39% бюджетов ИТ-компаний тратится на обеспечение защиты данных, в частности, на покупку специализированных программных средств. При этом секретная информация составляет в среднем 62% от общей стоимости всей корпоративной информации. Это указывает на диспропорцию между затратами на создание системы информационной безопасности и стоимостью конфиденциальной информации компании, которая связана с её производственно-хозяйственной и коммерческой деятельностью.

В сфере защиты информации было сформировано несколько проблем, многие из которых являются мало исследованными. Так, в ходе упомянутого опроса выяснилось, что расходы на обеспечение защиты информации мало связаны с ценностью информации.

Мало внимания уделяется так же и анализу способов нанесения ущерба. В то время как организации уделяют основное внимание защите от случайной утери информации, а на самом деле гораздо дороже обходится им кража данных их же сотрудниками или доверенными внешними лицами. Соответствующие опросы показывают, что кража сотрудниками конфиденциальной информации обходится в 10 раз дороже, чем ее случайная утеря в результате инцидентов.

1 См http7/www.securitylab.ru/news/392 796.php.

Новые проблемы по защите информации возникают в связи с массовым созданием и распространением экономических информационных систем (ЭИС). Исследования показывают, что если организация допускает утечку более 20% важной внутренней информации, то она в 60 случаях из 100 банкротится2. Утверждают также3, что 93% компаний, лишившихся доступа к собственной информации на срок более 10 дней, покинули бизнес, причем половина из них заявила о своей несостоятельности немедленно.

Из сказанного очевидно, что, с одной стороны, существенные затраты на защиту информации являются необходимыми для подавляющего большинства хозяйствующих субъектов и что, с другой стороны, столь же необходимым является оптимизация затрат на средства защиты. Очевидно, что не эффективная защита или дорогостоящая защита мало ценной информации является ущербом и задача состоит в том, чтобы изыскивать такие способы защиты информации, которые бы позволяли при заданном уровне затрат обеспечивали бы максимально эффективную защиту, или наоборот, при заданном уровне защиты минимизировать затраты.

Несмотря на большое количество публикаций по рассматриваемой проблеме, до настоящего времени отсутствует комплексная проработка взаимосвязанных методов оптимизации затрат на создание СЗИ. К этим методам относятся во-первых, методы установления суммарной стоимости СЗИ и распределения финансовых средств между средствами защиты информации. При этом обеспечивается выбор структуры СЗИ и ее основных составляющих. Для случая, когда защищаемая корпоративная ИС является распределенной и, кроме того, затраты на создание и.

2 Сабынин В, Специалисты, давайте говорить на одном языке и понимать друг друга. ИнформостСредства связи, № 6.

3 ЕздаковА., Макарова О., Как защитить информацию. Сети, 1997, № 8. эксплуатацию СЗИ лимитированы по временным промежуткам, следует применять методику оптимизации поэтапных вложений. Если, кроме того, одной из форм нарушений является использование не лицензионного ПП, то возникает необходимость в методе оптимизации ставки штрафа за использование не лицензионного ПП.

Степень научной разработанности проблемы. В качестве отправной точки для исследования по защите информации и информационной безопасности являлись работы отечественных ученых: Мельникова В. В., Безкоровайного М. М., Львова В. М., В. А. Садовничего, В. П. Шерстюка, В. А. Герасименко, В. Н. Лопатина, Л. М. Ухлинова, Э. В. Попова, A.A. Стрельцова, Е. Н. Тищенко, В. А. Конявского и других ученых. Усилиями этих исследований была сформирована современная научная база для дальнейшего обобщения результатов и развития моделей и методов учета экономических аспектов информационной безопасности.

Крупный вклад в развитие теории и прикладных методов анализа сложных социально-экономических систем внесли многие отечественные ученые, такие как академики: А. Г. Аганбегян, В. М. Глушков, СВ. Емельянов, Л. В. Канторович, H.H. Моисеев, Г. С. Поспелов, В. А. Трапезников, Н. П. Федоренко, а также профессора К. А. Багриновский, В. Л. Бурков, О. В. Волкович, В. В. Кульба и другие.

Уже в первых работах по защите информации были изложены некоторые важнейшие постулаты, которые не утратили своей актуальности и по сей день.

Поскольку заказчик СЗИ обычно недостаточно осведомлен о возможностях и специфике средств защиты, а также о возможном вкладе того или иного средства в общий уровень безопасности, то возникает увеличение затрат при практической неопределенности достигнутого эффекта. Поэтому заказчик СЗИ часто получает не совсем то, что ему реально нужно. Он не может объективно проверить и оценить качество и эффективность предложенного решения.

Средства защиты информации в соответствии с действующими нормами и правилами подлежат обязательной или добровольной сертификации. Однако сертификация не является совершенным инструментом и не дает необходимых гарантий. Имеются так же некоторые исследования по оптимизации СЗИ на стадии проектирования. Эти исследования носят, однако, достаточно специализированный характер и рассматривают относительно узкий круг задач.

Актуальность темы

данного исследования обусловлена назревшей практической необходимостью дальнейшего совершенствования методов моделирования и> проектирования систем защиты экономической информации.

Целью диссертационного исследования является разработка комплексной методики оптимизации затрат на создание корпоративной системы защиты конфиденциальной информации в экономических информационных системах, которая связана с производственно-хозяйственной и коммерческой деятельности различных компаний, а также выработка методических рекомендаций по практическому применению методики.

Для реализации указанной цели в рабрте поставлены и решены следующие задачи:

• проведен анализ специфики существующих подходов и методов проектирования СЗИ;

• выявление характеристик качества СЗИ;

• формулировка методических принципов оптимизации затрат на. СЗИ;

• исследование способов оценки затрат;

• разработка технологии применения эволюционно-симулятивной методологии (ЭСМ) для моделирования затрат на СЗИ;

• разработка технологии распределения затрат на компоненты СЗИ.

Объектом исследования являются корпоративные экономические информационные системы и технологии.

Предметом исследования являются методики и методы оптимизации затрат на создание корпоративной системы защиты информации.

Теоретическая и методическая база исследования.

Исследование проводилось в полном соответствии с ключевыми положениями системного анализа, экономической теории и теории управления в области связи и информатизации. Его методологическую основу составили труды отечественных и зарубежных ученых в области математического моделирования, математической статистики, теории вероятностей, теории и методологии обеспечения информационной безопасности и защиты информации. При решении конкретных задач использовались известные методы комбинаторного и дискретного программирования, методы количественной оценки коммерческих рисков, элементы теории вероятностей, математической статистики, и другие хорошо апробированные методы, методики и алгоритмы решения прикладных экономических задач.

В качестве источников были взяты материалы научной периодики, конференций и семинаров. Кроме того, диссертационная работа базируется на основных положениях законодательных актов Российской Федерации и нормативно-правовых документах Правительства РФ, в частности Гостехкомиссии России, в дальнейшем Федеральной службы по техническому и экспортному контролю (ФСТЭК России). Особое внимание было уделено руководящим материалам ГОСТ Р 51 275−99, международным и национальным стандартам управления информационной безопасностью, в частности, ISO 15 408, ISO 17 799 (BS7799), BSIстандартам аудита информационных систем и информационной безопасности COBIT, SAC, COSO, SAS 78/94 и некоторым других документов.

Диссертационная работа выполнена на стыке двух специальностей и по своему содержанию соответствует пунктам 15.93 и 15.100 Паспорта специальности 08.00.05 — Экономика и управление народным хозяйством (связь и информатизация) и пункту 2.3 Паспорта специальности 08.00.13 — Математические и инструментальные методы экономики.

Новизна научного исследования заключается в разработке комплексной методики оптимизации затрат на создание корпоративной системы защиты информации, которая базируется на равновесии риска нецелесообразных затрат на систему и риска потерь от несанкционированного вмешательства в функционирование информационных технологий.

Наиболее существенные научные результаты, полученные в диссертации: по специальности 08.00.05.

1. Сформулированы требования к комплексной методике создания корпоративной системы защиты информации экономических информационных систем компании, учитывающие специфику конфиденциальных данных особенности электронного бизнеса, такие как юридически значимое оформление договоров в электронном видевзаимодействия с клиентамисистема расчетов за товары и услугикредитование.

2. Выявлена совокупность объективных внешних и внутренних факторов, влияющих на проектирование системы защиты экономической информации копании и характерных для электронного бизнеса. К числу таких факторов относятся:

— вероятность возникновения и вероятность реализации ситуации потери информации или несанкционированного обращения к ней при проведении процедуры сделки в электронном виде;

— уязвимость информационной системы компании или системы контрмер влияющих на вероятность осуществления угрозы;

— возможный ущерб организации в результате реализации угрозы информационной безопасности при заключении сделок: утечки информации или неправомерного ее использования.

3. Разработана комплексная методика создания СЗИ, которая включает:

— методику установления суммарной стоимости СЗИ и методику распределения финансовых средств, обеспечивающая выбор структуры СЗИ и ее основных составляющих;

— методику оптимизации поэтапных вложений, для случая, если защищаемая ИС является распределенной и, кроме того, затраты на создание и эксплуатацию СЗИ лимитированы по временным промежуткам- .

— методику оптимизации ставки штрафа за использование не лицензионного программного обеспечения при защите экономической информации.

4. Определен механизм, обеспечивающий выделение сегментов в общей топологии распределенной ЭИС и в фильтрацию пакетов с помощью межсетевых экранов, который позволяет минимизировать стоимости её системы защиты информации. Новизна механизма заключается в то, что появилась возможность скомпоновать расположение экранов (технических средств защиты), чтобы ни в один из периодов рассматриваемого планового периода времени сумма затрат на средства защиты не превзошла бы лимита выделенных финансовых средств, учитывая, при этом, случайный характер угроз.

5. Разработаны методические приемы сбора и обработки исходной информации для решения задачи оптимальной защиты распределенной локальной информационной системы, разработаны диалоговые процедуры для работы с моделью, позволяющие проводить моделирование различных наборов технических решений с целью выбора оптимальных вариантов защиты информации.

6. Определены условия и выведена аналитическая формула расчета штрафа за использование не лицензированного продукта* Необходимость решения этой задачи связана с тем, чтобы необходимо установить такой штраф, когда будет пользователям не выгодно использовать контрафактные программные продукты. по специальности 08.00.13.

7. Разработана равновесная экономико-математическая модель оптимизации затрат на средства защиты информации, новизна которой заключается в том, что риск экономических издержек при создании СЗИ разбивается на две основных составляющих: риск нецелесообразных затрат на СЗИ и риск потерь от несанкционированного вмешательства в функционирование ИС. Такое представление риска экономических издержек позволяет найти оптимальный по условию минимизации совокупного риска объем затрат на средства защиты и оптимально распределить эти затраты между средствами защиты. В рамках этой модели разработаны 3 имитационные модели, а именно: модель размера ожидаемых затрат на средства защиты информациимодель риска завышения, то есть риска неэффективных затрат на средства защитымодель риска занижения, то есть риска угроз ИС.

Предложен алгоритм распределения оптимального размера затрат на СЗИ на различные средства защиты в рамках создаваемой СЗИ.

8. Разработана экономико-математическая модель булевого программирования защиты РЭИС, отличительной особенность которой является учет наличия издержек от НСД. Использование процедуры расчета издержек позволяет существенно повысить качество обоснования технических решений.

Теоретическая и практическая значимость исследования. В совокупности, выносимые на защиту результаты можно интерпретировать как дальнейшее развития методологии и методов управления в области связи и информатизации. Разработанные в диссертации научно-методические подходы могут быть применимы в практической работе различных финансовых и нефинансовых компаниях. Выводы и материалы работы представляют собой пример получения количественных оценок:

— суммарной стоимости СЗИ и распределения финансовых средств, и выбор структуры её основных составляющих;

— поэтапных вложений в СЗИ распределенной корпоративной ЭИС, а также затраты на создание и эксплуатацию СЗИ лимитированы по временным промежуткам;

— ставки штрафа за использование не лицензионного программного обеспечения при защите экономической информации.

Полученные результаты диссертационного исследования несомненно раздвигают границы применения комплексной методики оптимизации затрат на создание корпоративной системы защиты конфиденциальной информации в экономических информационных системах.

Самостоятельное практическое значение имеют:

— комплексная методика оптимизация затрат на создание корпоративной системы защиты конфиденциальной информации, а также рекомендации аналитику-медиатору по её практическому применению при проектировании или реорганизации СЗИ;

— экономико-математические модели, методики и программные средства.

Публикации. Основные положения диссертационного исследования нашли отражение в 12 публикациях общим авторским объемом 4,9 п.л., причем 5 из них общим объемом 2,9 п.л., размещены в журналах, рекомендованным ВАК.

Структура и содержание работы обусловлены логикой, целью исследования. Диссертация содержит 3 главы, 12 рисунков, 3 таблицы, 120 страниц текста, ссылки на 105 литературных источника.

Выводы.

1. Количественные оценки защищенности могут выражаться в процентах разных видов нарушений функционирования ИС. К требованиям системности относятся: целевое назначение СЗИ, сравнительная эффективность, эффективность с точки зрения достижения поставленной цели, комплексность.

2. Сформулированы задачи оценки качества защиты информации и способы их отражения в нормативных документах стандартизации качества. Стоящие в этой области проблемы — это, в частности, проблема оценки качества заказчиками и проектировщиками СЗИ. Показано, что сертификация не гарантирует достижения качества информационной защиты и что необходима совершенствование нормативной базы в этой области.

3. Сформулированы методические принципы оптимизации затрат, которые в частности утверждают, что затраты должны минимизировать совокупный риск, который складывается из 2-х, взаимозависимых составляющих: риска излишних затрат на СЗИ (R1), и риска потерь от нарушения функционирования ИС (R2). Таким образом проблема оптимизации затрат на СЗИ это проблема поиска такого размера затрат, при которой R1 + R2 минимально, при условии, что R2 = f (R1).

4. Исследованы способы оценки затрат на создание СЗИ, в частности методика ТСО. Эта методика указывает основные статьи, по которым должны калькулироваться затрат.

5. Рассмотрены международные и национальные стандарты управления информационной безопасностью, в частности, ISO 15 408, ISO 17 799 (BS7799), BSIстандарты аудита информационных систем и информационной безопасности COBIT, SAC, COSO, SAS 78/94 и некоторые другие, и особенности их применения в России.

6. Предложена Эволюционно-симулятивная экономико-математическая модель (ЭСМ) оптимизации затрат на средства защиты информации, которая учитывает структуру данных об угрозах и соответствующие меры их предупреждения. Модель позволяет найти оптимальный по условию минимизации совокупного риска объем затрат на средства защиты и оптимально распределить эти затраты между средствами защиты.

7. В рамках упомянутой ЭСМ разработаны 3 имитационные модели, а именно: модель размера ожидаемых затрат на средства защиты информациимодель риска завышения, то есть риска неэффективных затрат на средства защитымодель риска занижения, то есть риска угроз ИС.

8. Предложен алгоритм распределения оптимального размера затрат на СЗИ на различные средства защиты в рамках создаваемой СЗИ.

9. Предложена комбинаторная экономико-математическая модель минимизации затрат на средства защиты информации в распределенных сетях. Модель основана на построении графа отношений «объект-угроза», сегментации этого графа, выбора на этой основе вариантов расположения экранов защиты. Модель обеспечивает возможность таким образом скомпоновать расположение экранов (технических средств защиты), чтобы ни в один из периодов рассматриваемого планового периода времени сумма затрат на средства защиты не превзошла бы лимита выделенных финансовых средств, учитывая, при этом, случайный характер угроз.

10. Разработан способ учета случайных характеристик угроз в рамках задачи булевого программирования.

11. Предложена модель и алгоритм поиска оптимального размера штрафа за несанкционированный доступ к информации или несанкционированное ее использование. Алгоритм учитывает количество легальных и нелегальных программных средств (ПС), предполагает построение зависимости доли нелегальных ПС от размера штрафных санкций и максимизирует доход от реализации легальных ПС.

12. Разработаны способы программной реализации предложенных экономико-математических моделей в среде стандартного программного обеспечения.

13. Рассмотрены организационно-методические аспекты применения предложенных методов оптимизации структуры СЗИ, в частности: этапы создания СЗИоценка эффективности СЗИанализ и аудит процессов управления СЗИ.