Методы и алгоритмы построения информационных систем персональных данных в защищенном исполнении

Совокупность изменений порядка обработки персональных данных, применения широкомасштабной автоматизации сбора, обработки персональных данных и введения санкций за не выполнение требований вступившего в силу 26 января 2007 года Федерального закона № 152-ФЗ «О персональных данных» с учетом корректировок, внесенных Федеральным законом от 27 декабря 2009 года «ЗбЗ-ФЗ», обуславливает возрастание значимости обеспечения защиты обрабатываемых персональных данных. При этом эффективность использования государственных и частных денежных средств, направленных на создание и модернизацию систем информационной безопасности является неотъемлемой и приоритетной задачей организаций и подразделений, обеспечивающих информационную безопасность. Вследствие этого, резко возрастает актуальность решения задачи защиты информации, а также разработки методов и алгоритмов построения информационных систем персональных данных (ИСПДн) в защищенном исполнении. В свою очередь, нормативно-правовая база Российской Федерации, регламентирующая обработку персональных данных и требования к обеспечению защиты персональных данных, однозначно не определяет методику построения ИСПДн в защищенном исполнении.

В связи с этим, для выполнения возложенных на организацию требований по защите ИСПДн необходимо разработать методы и алгоритмы, применение которых обеспечит необходимую защищенность обрабатываемых им персональных данных (ПДн), снизит вероятность несанкционированного доступа (НСД) к персональным данным (ПДн) и сократит затраты на разработку системы защиты от несанкционированного доступа.

В рамках настоящей диссертационной работы предлагается решение задачи обеспечения информационной безопасности информационных систем персональных данных при помощи применения методики разработки ИСПДн в защищенном исполнении. утвержденный Высшей Аттестационной комиссией «Перечень ведущих рецензируемых научных журналов и изданий, выпускаемых в Российской Федерации, в которых должны быть опубликованы основные научные результаты диссертаций на соискание ученой степени доктора и кандидата наук».

Структура работы. Настоящая диссертационная работа состоит из введения, четырех глав, заключения, приложений и списка литературы.

1.8 Выводы.

В результате проведенного анализа в рамках первой главы диссертационных исследований можно сделать следующие выводы:

1. Защита персональных данных является обязательной для всех ИСПДн и регламентируется законами и правовыми актами РФ.

2. Проблема защиты ИСПДн от НСД является актуальной.

3. Информационными рисками при построении системы защиты ИСПДН являются нарушения конфиденциальности, целостности и доступности ПДн.

4. Классификация нарушителей ИБ является иерархической и содержит четыре уровня нарушителей, отличающихся функциональными возможностями.

5. Основные угрозы безопасности информации включают: кражу ПО, подмену информации, уничтожение и (или) модификацию данных, вирусные атаки, перехват информации, кража ресурсов, нарушение нормальной работы каналов связи, непредсказуемые потери.

6. Тенденция развития алгоритмов и методов защиты определяется выполнением требований законодательных актов, таких как № 152-ФЗ, № № 781-ФЗ, № 687-ФЗ.

7. Средства защиты подразделяются на технические и аппаратные средства, программные средства, программно-технические средства, организационные средства.

8. Описанным в данной главе существующим методам и практикам защиты присущи как свои достоинства, так и недостатки относительно применения к конкретной ИСПДн и на данный момент нельзя определить универсального метода защиты.

9. Показателями оценки эффективности мер и средств защиты информационных систем персональных данных от НСД являются надежность применяемых средств защиты, суммарный ущерб в результате НСД, суммарная стоимость применяемых средств защиты.

10.В результате проведенного анализа поставлена задача разработки методов, алгоритмов и методики построения ИСПДн в защищенном исполнении.

Российской Федерации [47]. Данная классификация проводится на основании информации о категории и объеме обрабатываемых в системе персональных данных. В соответствии с порядком, указанным в Приказе, выделяют следующие классы ИСПДн:

— класс 1 (К1) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;

— класс 2 (К2) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;

— класс 3 (КЗ) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;

— класс 4 (К4) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

Категории ПДн разделяются по характеру и полноте сведений о субъекте, хранящихся в классифицируемой ИСПДн [48]. Параметр объема обрабатываемых в информационной системе персональных данных характеризует количество субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом [49]. Данный параметр принимает следующие значения:

— 1 — в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов ПДн;

— 2 — от 1000 до 100 000 субъектов ПДн;

— 3 — менее 1000 субъектов ПДн.

Порядок определения класса типовой ИСПДн приведен в таблице 1. Таблица 1 — Порядок определения типовой ИСПДн.

Категории ПДн Параметр объема ПДн.

3 2 1.

Категория 4 К4 К4 К4.

Категория 3 КЗ КЗ К2.

Категория 2 КЗ К2 К1.

Категория 1 К2 К1 К1.

Для примера можно рассмотреть информационную систему, в которой обрабатываются данные 50 000 субъектов и по характеру хранимой информации можно только идентифицировать субъекта ПДн. Тогда в соответствии с приведенной методикой классификации обрабатываемые данные относятся к категории 3, параметр объема принимает значение 2, соответственно рассматриваемой ИСПДн присваивается класс КЗ.

2.1.2 Оценка текущего уровня защищённости ИСПДн.

После сбора необходимой информации о ИСПДн проводится её анализ с целью оценки текущего уровня защищённости системы. Общий уровень защищенности определяется на основании данных о защищенности по каждой из характеристик ИСПДн [50].

Все технические и эксплуатационные характеристики систем делятся на следующие категории:

1) по территориальному размещению;

2) по наличию соединения с сетями общего пользования;

3) по встроенным (легальным) операциям с записями баз ПДн;

4) по разграничению доступа к ПДн;

5) по наличию соединений с другими базами ПДн иных ИСПДн;

6) по уровню обобщения (обезличивания) ПДн;

7) по объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки.

Для каждой характеристики ИСПДн из вышеперечисленных категорий определяется уровень защищенности: высокий, средний или низкий. Итоговая оценка получается в результате сложения полученных оценок по всем категориям [51].

В соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в ИСПДн [52] расчет уровня исходной защищенности все системы определяется по следующим критериям:

1) высокий, если не менее 70% характеристик ИСПДн соответствуют уровню высокий, а остальные — среднему уровню защищенности;

2) средний, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний», а остальные — низкому уровню защищенности;

3) низкий, если не выполняются условия по пунктам 1 и 2.

Определяемый таким образом уровень исходной защищенности.

ИСПДн является одним из показателей для оценки возможности реализации угрозы НСД [53]. Другим показателем вероятность реализации рассматриваемой угрозы. Для построения адекватной модели угроз НСД к ИСПДн, используемой в дальнейшем для построения СЗИ, необходимо выделить перечень актуальных угроз ИБ [54].

Таким образом, на основании перечисленных этапов можно формализовать алгоритм сбора и анализа информации в ИСПДн (рис. 10).

После сбора и анализа информации о рассматриваемой ИСПДн необходимо принять решение, касающееся выбора применяемых методов и технических средств защиты системы от НСД.

Начало ж.

Окончание.

Рисунок 10 — Алгоритм сбора и анализа информации в ИСПДн.

2.2 Разработка алгоритма деперсонализации персональных данных.

Выбираемые средства защиты ПДн и принимаемые организационные меры, как правило, влекут за собой значительные материальные затраты, что зачастую не предусмотрено бюджетом операторов. Альтернативным законным способом решения данной проблемы является обезличивание персональных данных [55,56], так как оно позволяет снизить требования к уровню защищенности данных, что влечет за собой соответствующее сокращение расходов на обеспечение их информационной безопасности. Под обезличиванием персональных данных, как правило, понимают алгоритмы, в результате выполнения которых невозможно определить принадлежность персональных данных их владельцу [57,58].

В алгоритме деперсонализации ПДн в качестве решения данной проблемы предлагается перестановка персональных данных, хранящихся в ИСПДн, относящихся к различным субъектам. Данный способ обладает следующими преимуществами: персональные данные хранятся в одной информационной системе и значительно снижается вероятность успеха контекстного анализа.

Предлагаемый алгоритм деперсонализации построен на следующих принципах:

— разбиение исходного множества данных на подмножества, что позволяет сократить размерность и упростить его практическую реализацию;

— использование циклических перестановок, что реализует собственно перемешивание данных.

В качестве исходных данных возьмем таблицу персональных данных й2,., ¿-¿-м), где N число атрибутов, а М — число строк таблицы.

Далее рассмотрим множество данных, относящееся к одному атрибуту — 6.1(1 = 1,2,. Это множество атрибута с^ - Аг, содержит М элементов. Все элементы каждого множества А£ пронумерованы от 1 до М, и в таблице —, с1ы) совокупность элементов множеств разных атрибутов с одинаковыми номерами будем называть записью с соответствующим номером. При этом в исходной таблице каждая запись имеет определенный смысл, связанный с конкретным субъектом (физическим лицом), т. е. содержит персональные данные конкретного лица, определенного в этой же записи.

Разработанный алгоритм представлен ниже (рис. 11). и? Г.

1,1*.

Алгоритм обеспечивает деперсонализацию данных каждого множества атрибутов исходной таблицы пошагово. На каждом шаге используется принцип циклических перестановок.

Шаг первый.

Проведем разбиение множества Ана > 1) непересекающихся подмножеств Ау, где число элементов подмножества Ац равно > Мц > 1), у = 1,2,., КВсе элементы каждого подмножества Ау считаем пронумерованными от 1 до Мц, эти номера будем называть внутренними номерами элементов подмножества. Внешний номер элемента в подмножестве Ац, имеющего внутренний номер к, обозначим Щ]к (1 ^ тчк — М). Так, что miyk — это порядковый номер элемента во множестве соответствующий элементу с внутренним номером к.

Разбиение каждого множества должно обладать следующими свойствами:

1) Л* = и^Ац — подмножества разбиения включают все элементы множества.

2) тщ = Щи-ЪЩц-!) + 1 для всех 1 = 2'3' -'К1 ~ для любых ДВУХ подмножеств Ау и Ах/-1) элемент с первым внутренним номером подмножества Ац имеет внешний номер на единицу больший, чем внешний номер элемента с наибольшим внутренним номером подмножества.

3) если кг> к2, то тцк > т^к для всех I = 1,2,) — 1,2,., Кгупорядоченность внешней и внутренней нумераций для всех множеств и подмножеств их разбиения совпадают;

К'.

4) М = Л/^— суммарное число элементов всех подмножеств Ац равно общему числу элементов множества А^.

Начало.

N — число атрибутов таблицы ПДн, М-число строкIномер атрибута таблицы.

1. Разбиение множества данных, относящихся к /-ому атрибуту на непересекающиеся подмножества.

2. Генерация вектора параметров перестановки первого уровня I.

3. Применение перестановки первого уровня к элементам всех подмножеств разбиения.

4. Генерация параметра перестановки второго уровня I т.

5. Применение перестановки второго уровня к подмножествам разбиения = 1 + 1.

Нет.

Окончание.

Рисунок 11 — Алгоритм деперсонализации ПДн.

Для каждого подмножества Ац определим циклическую перестановку (подстановку) VijiSij)) задаваемую следующим образом: Pij (rij) = 1 2 3. (MtJ- 1) Mtj 1 — тф (Mij + 2- гф (Ми + 3 — гф — (Мц — 1 — гф{Мц — тфJ'.

Здесь элементы первой строки матрицы, стоящей в правой части равенства, соответствуют внутренним номерам элементов подмножества A до перестановки (в исходной таблице), а элементы, стоящие во второй строке, соответствуют внутренним номерами элементов подмножества Ац, стоящим на местах, с номерами, определенными в верхней строке, после перестановки.

Таким образом, в перестановке (подстановке) Pij (^ij) производится циклический сдвиг всех элементов подмножества на число ri- (1 < rt— < Mtj — 1). Будем называть величину ri— параметром перестановки Vijijij)-Данный параметр задается генератором случайных чисел (ГСЧ) в интервале [1- Mjy — 1]. Теперь все перестановки для всех подмножеств множества Ai можно задать набором (вектором) параметров rt = (ril, ri2,., riKi). Вектор параметров перестановок ri задает первый уровень алгоритма перемешивания, т. е. перестановки первого уровня.

Шаг второй.

Рассмотрим теперь множество at = (aii, CLi2,., aiK.), состоящее из Ki элементов. Здесь элемент а? у соответствует подмножеству A^J = 2,3, ., Ki. Для этого множества определим циклическую перестановку Poi (ro/): PoiOoi) 1 2 3 (Kt- 1) Kt.

Kt — roi + 1) {Kt — roi + 2) — roi + 3) — (Kt — roi — 1)(Ki ~ roi))' где элементы верхней строки матрицы перестановки соответствуют исходным номерам элементов множества а/ (подмножеств Аф, а элементы нижней строки матрицы соответствуют номерам элементов множества щ, стоящим на местах с номерами, определенными в верхней строке, после перестановки.

Таким образом, в перестановке PoiOoi) производится циклический сдвиг элементов множества аг (подмножеств множества i4t) на число r0l (l < r0l < Kt — 1) — параметр перестановки. Данный параметр r0l задается ГСЧ в интервале [1-/Q — 1]. Эту перестановку будем называть перестановкой второго уровня.

В результате последовательного проведения перестановок первого и второго уровней получается перемешивание элементов множества At так, что меняется нумерация этих элементов по отношению к исходной нумерации.

Определим теперь нумерацию элементов множества At после проведения всех перестановок. Имеем, с учетом правил перемножения перестановок, следующую результирующую перестановку: Pifopn) Л1 — M^-r-d+l) ] [(MtOf.-roi+D + 1) — {Щк,-г0<+1) + М^-г^+2))].

VHiOr.-nu+Dl •¦¦mi (Kt-r01+l)M ((ifiroi+l)] [ml (^[-r01+2)l — mi (Ki-roi+2)MliKirQi+2]] [м — Ml0firoi). M]. [ml (if{roi)1. mt{к^гоОм^^]).

Здесь верхняя строка матрицы содержит порядковые номера элементов множества атрибута i, в соответствии с их размещением в столбце после перемешивания, а нижняя строка содержит внешние номера элементов множества этого атрибута, соответствующие их размещению в исходной.

Заключение

.

На основе результатов, полученных в ходе работе, можно сделать вывод, что цель диссертации, сформулированная во введении, а именно разработка алгоритма обезличивания персональных данных, разработка алгоритма выбора СЗИ и определение методов построения ИСПДн, образующих по совокупности применения методику построения ИСПДн в защищенном исполнении, применение которой позволит решить задачи обеспечения ИБ от НСД, в основном достигнута и поставленные задачи решены.

Диссертация охватывает все основные проблемные аспекты при обработке персональных данных в информационных системах, пути их решения с помощью разработанного алгоритма деперсонализации и методики построения системы защиты для ИСПДн в целом.

В работе был проведен тщательный анализ существующей нормативно-правовой базы в части ИСПДн и предлагаемых средств защиты информации, что позволило разработать адекватную методику, которая может быть востребована во многих государственных и коммерческих организациях.

В ходе выполнения работы была разработана программа на языке С# для ОС семейства Microsoft Windows ХР/7 (регистрационный номер № 2 012 618 608), реализующая алгоритм деперсонализации ПДн.

Проведено практическое исследование разработанных алгоритмов, методов и методики в целом, показана эффективность предложенного подхода, приведено практическое применение полученных результатов.

Результаты диссертационной работы позволяют достичь:

1. Оптимизации задачи формирования требований к защищенности ИСПДн от НСД на основе параметров конкретной ИСПДн;

2. Снижения уровня требований к защищенности ИСПДн благодаря деперсонализации обрабатываемых в ней ПДн;

I к.

— VI > tv tl й i.

V/.

109, г V I 11 !

I" г t.

3. Оптимизации задачи выбора организационных мер и технических СЗИ для ИСПДн на основе использования модифицированного жадного алгоритма;

4. Возможности вычисления адекватной оценки общей защищенности ИСПДн по разработанному алгоритму;

5. Построения ИСПДн организации в защищенном исполнении, используя совокупность разработанных методов и алгоритмов.

Таким образом, полученные в диссертации результаты позволяют осуществить решение актуальной задачи, имеющей важное прикладное значение.