Модель и метод оценки эффективности системы обеспечения информационной безопасности корпоративного хранилища данных кредитных организаций Российской Федерации

Кто владеет информацией, тот владеет миром".

Уинстон Черчилль.

Массовое создание, внедрение и эксплуатация информационных систем привело к возникновению спектра проблем в сфере безопасности личности, общества и государства. Потребность в обеспечении безопасности связана с тем, что существует множество субъектов и структур, весьма заинтересованных в чужой информации и готовых заплатить за это высокую цену. Сегодня специалисты из самых разных областей знаний, так или иначе, вынуждены заниматься вопросами обеспечения информационной безопасности. Высокие требования, предъявляемые к уровню информационной безопасности, специфичность системы связи и передачи данных предопределяют необходимость проведения оценки эффективности системы обеспечения информационной безопасности [1,2].

Информационно-коммуникационные технологии и услуги в настоящее время являются ключевым фактором в развитии почти всех областей социально-экономической сферы и представляют собой наиболее активно развивающийся сектор российской экономики.

Согласно Гражданскому кодексу РФ информация рассматривается в качестве одного из видов объектов гражданских прав, что обусловлено особой ролью информации в гражданском обществе и ее влиянием на экономические отношения [3,4].

Информация (от латинского тйэгтайо — ознакомление, разъяснение, изложение) представляет собой сведения (сообщения, данные) независимо от формы их представления. Информация в современном мире стала наиважнейшим ресурсом, который влияет на уровень развития всех сфер человеческой жизни. Экономические и политические отношения под воздействием информационного развития получают новые перспективы [5].

Под информационной безопасностью понимается состояние защищенности информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение состояния защищенности. [6].

Выбор темы диссертационного исследования обусловлен необходимостью обеспечения информационной безопасности при создании, развитии и эксплуатации такой информационной системы, как корпоративное хранилищ данных кредитных организаций, обеспечивающее сохранность, содержащихся в нем информационных активов с наивысшей степенью защищенности.

В силу того, что корпоративное хранилище данных представляет собой относительно новый класс информационных систем, проблема обеспечения его безопасности требует изучения и концептуальной проработки при выборе организационных мер и программно-технических решений по защите информационных ресурсов данного объекта защиты.

Выработка решений по обеспечению информационной безопасности включает в себя изучение и оценку существующих возможностей, определение подходов к защите информации в корпоративном хранилище данных, изложение предлагаемой методологии и рекомендаций, изучение особенностей организации разграниченного доступа пользователей к данным и к ресурсам. Так же неотъемлемой частью проектирования является совершенствование нормативных, правовых и нормативно-методических документов в области защиты информации, используемых кредитной организацией, проведение экспертизы и контроля качества защиты информации путем оценки эффективности выбранного решения.

В связи с этим, оценка эффективности системы обеспечения информационной безопасности (далее — СОИБ) корпоративного хранилища данных является важным этапом при проектировании и последующем внедрении решений и механизмов обеспечивающих информационную безопасность в кредитных организациях.

Целью исследования является повышение защищенности и надежности функционирования КХД кредитной организации путем проведения оценки эффективности существующей либо проектируемой системы обеспечения информационной безопасности, на основе анализа рассчитываемого «коэффициента эффективности».

Оценка эффективности СОИБ в исследовании проводится путем анализа рассчитываемого «коэффициента эффективности», представляющего собой величину, обратно пропорциональную суммарной величине остаточных рисков информационной безопасности, содержащего сведения о потенциальных угрозах информационной безопасности, эффективности механизмов защиты и оценку ущерба при реализации угроз.

В соответствии с целью в работе поставлены следующие задачи:

1. Определение актуальных моделей угроз и нарушителя ИБ КХД кредитных организаций.

2. Разработка модели оценки эффективности СОИБ КХД, на основе данных об актуальных моделях угроз и нарушителя ИБ КХД кредитных организаций.

3. Разработка метода расчета коэффициента эффективности СОИБ (получение его аналитической формы).

Методологическая основа исследования.

Методологическую основу исследования составляют общенаучные и специальные методы познания, труды отечественных и зарубежных ученых и специалистов по информационной безопасности, нормативные документы Банка России, энциклопедическая и справочная литература, материалы периодической печати, а также опыт организации работ по обеспечению информационной безопасности в Главном управлении Банка России по Санкт-Петербургу.

Научная новизна диссертационного исследования состоит в следующем:

— определены следующие понятия: «актуальная модель угроз» и «актуальная модель нарушителя» для корпоративного хранилища данных;

— разработана модель оценки эффективности СОИБ корпоративного хранения данных кредитных организаций с учетом актуальных угроз информационной безопасности;

— разработан метод расчета оценки эффективности СОИБ корпоративного хранилища данных кредитных организаций, основанный на вероятностном и эмпирическом методах.

Практическая значимость исследования состоит в создании модели и метода оценки эффективности СОИБ корпоративного хранилища данных кредитных организаций, позволяющих сделать вывод об уровне защищенности ресурсов и адекватности выбираемых решений по защите информации. Данная оценка позволяет в дальнейшем сделать выводы, направленные на повышение уровня эффективности СОИБ и качества проектных и технологических решений, принимаемых на этапах создания указанной системы.

Ряд положений может быть включен в обоснование предложений по совершенствованию научно-технических методов эффективной защиты информации и созданию систем защиты. Так же результаты исследования могут быть использованы в развитии научных представлений и понятий в области цикла общих профессиональных дисциплин специальности 75 300 «Организация и технология защиты информации», на курсах повышения квалификации, при подготовке и переподготовке кадров по защите информации, при проведении дальнейших научных исследований по данной проблематике.

Апробация результатов исследования.

Основные положения диссертации докладывались на научно-практических конференциях СПбНИУ ИТМО и других научно-практических конференциях. Отдельные теоретические и практические положения работы используются в учебном процессе кафедры «Мониторинга и прогнозирования информационных угроз» СПбНИУ ИТМО, разработке нормативной документации Центрального Банка Российской Федерации.

ЗАКЛЮЧЕНИЕ

.

Основным результатом диссертационного исследования направленного на разработку модели и метода оценки эффективности системы обеспечения информационной безопасности корпоративного хранилища данных кредитных организаций Российской Федерации является вывод о том, что в настоящее время не существует универсального метода проведения указанной оценки. Каждый, рассмотренный в исследовании метод позволяет учитывать лишь отдельные подмножества факторов, влияющих на эффективности системы обеспечения информационной безопасности. Решение данной задачи возможно лишь при использовании комплексного подхода к оценке эффективности, с использованием различных методов и методик. В исследовании разработан метод оценки, включающий в себя вероятностный, эмпирический и оценочный подходы.

Вероятностный подход позволил оценить значения вероятностей реализации потенциально возможных угроз информационной безопасности кредитной организации и актуальных угроз корпоративного хранилища данных, полученных на основе актуальных моделей угроз и нарушителя ИБ КХД кредитных организаций. С использованием эмпирического подхода были получены значения сопротивляемости механизмов защиты КХД кредитной организации и проведен расчет величины остаточного риска. Что касается оценочного подхода, то он использовался при разработке управляющего звена в модели оценки эффективности СОИБ, предназначенного для проведения аудита уровня эффективности СОИБ.

Поскольку база статистики по реализации того или иного вида угроз как правило носит общий характер, то для определения указанного показателя лучше использовать метод экспертных оценок в совокупности с вероятностным. При написании указанного исследования проведение данной оценки было затруднительным, таким образом, в качестве значений вероятностей реализации угроз были приняты условные значения, позволяющие наглядно отобразить процесс вычисления коэффициента эффективности СОИБ КХД.

Важным выводом является и то, что обеспечение эффективной защиты информации в КХД, путем построения СОИБ, выполняющей цели и задачи обеспечения ИБ КХД на уровне и с качеством, установленным руководящими документами и требованиями Политики ИБ кредитной организации, возможно лишь при грамотной проработке вопросов построения актуальных моделей угроз и нарушителя ИБ КХД кредитной организации. Так же для построения эффективной СОИБ необходимо грамотно подходить к вопросам выбора мер и средств защиты, следуя принципам разумной достаточности и экономической оправданности выбираемых мер и средств защиты информации. Это возможно только в тесном взаимодействии с инфраструктурными компонентами обеспечения ИБ в кредитной организации и с комплексами мер и средств защиты информации в системах, смежных с КХД.

Так же в исследовании были выведены основные принципы построения СОИБ КХД кредитной организации, следуя которым можно достичь максимального уровня эффективности СОИБ. Данные принципы являются базовыми и, как правило, используются при построении комплексной системы защиты информации в кредитной организации. Использование указанных в исследовании принципов построения СОИБ позволяет соблюдать разумную достаточности и экономическую эффективность при выборе мер и средств защиты информации. Указанные принципы должны быть основополагающими при проектировании СОИБ.

В диссертационном исследовании приведены рекомендации по повышению уровня эффективности СОИБ КХД кредитных организаций. Данные выводы основываются на результатах расчета коэффициента эффективности СОИБ. В общем все рекомендации можно свести к реализации системы управления и мониторингва безопасности СОИБ по циклу Деминга. В работе рекомендуется принять меры к обеспечению пропорционального развития и согласованного применения комплексов мер и средств обеспечения ИБ отдельных компонентов КХД и централизованных систем управления ИБ в кредитных организациях.

Таким образом, для построения эффективной СОИБ КХД кредитной организации необходимо использовать комплексный подход. В противном случае, при использовании альтернативного подхода, при котором меры ИБ в КХД и в смежных системах осуществляются в автономном режиме, с использованием локальных средств управления и мониторинга ИБ (управление правами пользователей, регистрация событий ИБ и т. д.) несмотря на его работоспособность, не может быть рекомендован ввиду того, что существенные элементы инфраструктуры управления ИБ в этом случае приходится дублировать и укомплектовывать дополнительным персоналом, что противоречит задачам Стратегии развития банковского сектора РФ на период до 2015 года. В то время как комплексный подход при построении СОИБ КХД, предполагает согласованное применение мер и средств обеспечения ИБ.

Таким образом, основную новизну для практики представляет рассмотренные в диссертационном исследовании модель и метод оценки эффективности СОИБ КХД кредитных организаций с учетом актуальных угроз ИБ КХД. В рамках диссертационного исследования были решены следующие задачи:

— раскрыто понятие КХД, как объекта защитыопределены основные принципы построения СОИБ КХД кредитных организацийопределены понятия «Актуальная модель угроз ИБ» и «Актуальная модель нарушителя" — построены актуальные модели угроз ИБ и нарушителя для КХД кредитной организациирассмотрены существующие методы оценки эффективности СОИБразработана модель оценки эффективности СОИБ КХД кредитной организации;

— разработан метод оценки эффективности СОИБ КХД кредитной организации;

— разработан алгоритм расчета оценки эффективности СОИБпредставлена модель выработки решений по повышению эффективности СОИБ по циклу Деминга.

Дальнейшее развитие данного направления предполагает проведение корректировки результатов оценки эффективности СОИБ КХД, либо другого однотипного объекта защиты, путем ввода экспертной оценки, как наиболее важной составляющей при проверке адекватности принимаемых решений по защите информации, а так же развития модели управляющего звена СОИБ, как части модели оценки эффективности.