CC BY
629
Информатика, вычислительная техника и управление
И.Г. Дровникова,
доктор технических наук, доцент
А.А. Никитин,
в/ч 28683
А.А. Змеев,
Военная академия ВКО им. Г.К. Жукова, г. Тверь
СПОСОБ ВЫЧИСЛЕНИЯ КОЛИЧЕСТВЕННОГО ПОКАЗАТЕЛЯ ЗАЩИЩЁННОСТИ АВТОМАТИЗИРОВАННЫХ СИСТЕМ НА ОСНОВЕ ТРЕБОВАНИЙ ГОСТ Р ИСО/МЭК 15408-1-2013
THE METHOD OF CALCULATING THE QUANTITATIVE INDICATOR OF SECURITY OF THE AUTOMATED SYSTEMS ON THE BASIS OF GOST R 15408-1-2013
Предлагается способ определения количественного показателя защищённости автоматизированных систем и эффективности систем защиты информации от несанкционированного доступа. Вычисление показателя осуществляется с использованием ГОСТ Р 15408-1-2013.
A method of determining the quantitative measure of security of the automated systems and the efficiency of the systems of information protection _ from unauthorized access is offered. The computation of the indicator is performed using the contained in GOSTR 15408-1-2013.
При разработке систем защиты информации от несанкционированного доступа (СЗИ НСД) в защищённых автоматизированных системах (АС) применяются различные методы, технологии и теоретические концепции, используется множество зачастую просто несравнимых между собой показателей эффективности этих систем. Однако для принятия решения об использовании того или иного программного или программно-аппаратного комплекса или даже отдельного средства защиты информации необходимы критерии, характеризующие защищённость АС в целом. Особенно актуально наличие осмысленных обобщающих показателей защищенности при проектировании защищённых АС.
Международным институтом стандартов (ISO) в 1999 году был разработан стандарт ISO/IEC 15408, называемый также «Общие критерии» (Common Criteria). Позже в России был принят ГОСТ Р 15408-1 -2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий», который содержит полный аутентичный текст соответствующего стандарта
82
Вестник Воронежского института МВД России №3 / 2015
ISO [1—3]. Целью принятия данного стандарта явилось создание механизма формализации требований в сфере информационных технологий (ИТ) для предоставления возможности автоматизации процесса разработки требований.
Стандарт содержит список функциональных требований и требований доверия к СЗИ НСД АС, с помощью которых предполагается оценивать эти системы. Требования безопасности объекта оценки (ОО) определяются, исходя из целей безопасности, на основе анализа назначения ОО, условий его использования и излагаются в профиле защиты (ПЗ) или в задании по безопасности. Оценка, прежде всего, подтверждает, что в отношении ресурсов ОО осуществляется определённая политика безопасности, которая реализуется с помощью функций безопасности.
ГОСТ Р 15408-1-2013 содержит каталог функциональных требований и требований доверия, которые могут быть предъявлены к объекту ИТ, но не регламентирует их обязательное применение. Идеология «Общих критериев» предполагает принятие и использование ряда нормативных документов, содержащих сформулированные на основе данного стандарта ПЗ, которые собственно и задавали бы требования безопасности к объектам ИТ. В настоящее время отсутствуют сформулированные ПЗ, имеющие статус нормативных документов. Разрабатываемые профили, как правило, представляют собой дополненные и исправленные версии ранее принятых нормативных документов.
При формализации требований становится доступной оценка защищённости АС на основе сравнения уже реализованных (или предполагаемых к реализации) путём задания требований к максимально доступному её уровню. Основная цель такой оценки сводится к проверке целостности и непротиворечивости совокупности реализованных функций безопасности в смысле соответствия их структуре требований стандарта и попытке определения, к какому оценочному уровню доверия можно отнести полученную оценку.
Проведённый анализ существующих требований нормативной документации говорит о весьма приближённом характере их влияния на конечный результат оценки. Основной недостаток упомянутых документов заключается в том, что при проектировании защищённых АС разработчик не имеет чётких исходных данных и методов расчёта, руководствуясь которыми он должен строить систему. Другими словами, из-за отсутствия соответствующей теории и расчётных соотношений процессы проектирования СЗИ НСД и оценки защищённости АС слабо связаны между собой.
Вместе с тем при автоматизации формирования требований к защищённости АС возникает необходимость её обобщённой количественной оценки. Однако данная нетривиальная задача пока ещё не нашла удовлетворительного решения, в то же время одним из недостатков нормативного документа [3] является отсутствие способа количественной оценки показателя защищённости АС.
Таким образом, актуальность данной статьи заключается в необходимости разработки способа (включая математическую модель) оценки защищённости АС на основе требований ГОСТ Р ИСО/МЭК 15408-1-2013, что может быть представлено в виде количественного показателя.
Для адекватной оценки защищённости АС необходимо очертить круг компетентности рассматриваемой СЗИ НСД — множество K . Элементами этого множества могут выступать либо семейства функциональных требований, либо даже отдельные «направления» в иерархическом дереве данных семейств.
Далее с помощью однозначного функционала F{K) определяется множество максимальных требований, которые могут быть обоснованно предъявлены к рассматри-
83
Информатика, вычислительная техника и управление
ваемой системе, Тм . При этом функционал F(K ) не только определяет набор компонентов с максимальным уровнем требований в данной области компетентности K , но и задаёт значения параметров этих требований.
Следующим этапом процесса получения количественного показателя защищённости является формирование множества реализованных в системе требований ТП. Необходимые сведения, как правило, могут быть получены на основе анализа документации. При этом должны учитываться взаимозависимости требований, то есть если отсутствуют какие-либо элементы, являющиеся необходимыми для реализации данного требования, то и само требование считается нереализованным.
Количественный показатель защищённости Q определяется следующим обра-
зом [4]:
Q = G(K,Tn) Q G{K,TM)
(1)
Функция G{K,Tx) вычисляется исходя из равнозначности различных направлений компетентности. Для каждого направления Kj е K определяется степень выполнения требований от максимального уровня Gj (Tx ) в виде коэффициента со значением от 0 до 1. Затем эти значения суммируются:
G(K,Tx ) = EG (Tx). (2)
Kt eK
Очевидно, что если максимальное значение параметров требований Тм = F (K), то Gj (Tx) = 1 для всех Kj е K, то есть значение G(K,Tm ) равно количеству элементов множества K. Gj (Тп ) определяется по формуле
1 J
Gj(Тп) = т ЪЩ(ТпCj(Тп). (3)
Jj j=1
Здесь Jj - количество уровней иерархии в соответствующем направлении компетентности.
Функция Ujj (Гп ) соответствует степени реализации требований j-го уровня. Если
для данного направления компетентности нет иерархических разветвлений, то Ujj (Гп )
принимает значение либо 0 (требования соответствующего компонента не реализованы), либо 1. Если же имеются разветвления, то Ujj (Гп ) принимает значение относительного
количества компонентов j-го уровня, требования которых выполнены.
Функция Cjj (Тп ) определяет коэффициент значимости используемых параметров в отдельных элементах требований. Это значение аналогичным образом определяется как взвешенная сумма отдельных коэффициентов, характеризующих влияние тех или иных параметров. Учитываются параметры, входящие только в реализованные требования данного уровня, данного направления компетентности.
Практические результаты оценки эффективности программных средств защиты информации сертифицированного общего программного обеспечения, проведённой по
84
Вестник Воронежского института МВД России №3 / 2015
количественным показателям защищённости конкретных защищённых АС, использующим структуру требований ГОСТ Р ИСО/МЭК 15408 (примеры более явного вида G(K, Тм) с учётом конкретных характеристик ОО и комплекса требований к защищённости), изложены в [5].
Определённый таким образом количественный показатель защищённости Q
представляется достаточно информативным, чтобы использовать его в качестве одного из параметров для сравнения СЗИ НСД или защищённых АС.
ЛИТЕРАТУРА
1. ГОСТ Р ИСО/МЭК 15408-1-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. — М.: ИПК Издательство стандартов, 2002.
2. ГОСТ Р ИСО/МЭК 15408-2-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. — М.: ИПК Издательство стандартов, 2002.
3. ГОСТ Р ИСО/МЭК 15408-1-2013. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. — М.: ИПК Издательство стандартов,
2013.
4. Багаев М.А., Коротков М.В., Рогозин Е.А. Использование «Общих критериев» для построения систем автоматизированного проектирования комплексов средств защиты информации // Вопросы защиты информации: науч. -практич. журнал. — М.: ФГУП «ВИМИ», 2003. Вып. 4 (63). — С 5—7.
5. Дровникова И.Г., Никитин А.А. Оценка эффективности программных средств защиты информации сертифицированного общего программного обеспечения // Интернет-журнал «Технологии техносферной безопасности». — 2013. — Выпуск № 1 (47) (февраль). — http:// ipb.mos.ru/ttb/2013-1.
REFERENCES
1. GOST R ISO/MEK 15408-1-2002. Informatsionnaya tehnologiya. Metodyi i sredstva obespecheniya bezopasnosti. Kriterii otsenki bezopasnosti informatsionnyih tehno-logiy. Chast
1. Vvedenie i obschaya model. — M.: IPK Izdatelstvo standartov, 2002.
2. GOST R ISO/MEK 15408-2-2002. Informatsionnaya tehnologiya. Metodyi i sredstva obespecheniya bezopasnosti. Kriterii otsenki bezopasnosti informatsionnyih tehnologiy. Chast
2. Funktsionalnyie trebovaniya bezopasnosti. — M.: IPK Izdatelstvo standartov, 2002.
3. GOST R ISO/MEK 15408-1-2013. Informatsionnaya tehnologiya. Metodyi i sredstva obespecheniya bezopasnosti. Kriterii otsenki bezopasnosti informatsionnyih tehno-logiy. Chast
1. Vvedenie i obschaya model. — M.: IPK Izdatelstvo standartov, 2013.
4. Bagaev M.A., Korotkov M.V., Rogozin E.A. Ispolzovanie «Obschih kriteriev» dlya postroeniya sistem avtomatizirovannogo proektirovaniya kompleksov sredstv zaschityi infor-matsii // Voprosyi zaschityi informatsii: nauch.-praktich. zhurnal. — M.: FGUP «VIMI», 2003. Vyip. 4 (63). — S 5—7.
85
Информатика, вычислительная техника и управление
5. Drovnikova I.G., Nikitin A.A. Otsenka effektivnosti programmnyih sredstv zaschityi informatsii sertifitsirovannogo obschego programmnogo obespecheniya // Internet-zhurnal «Tehnologii tehnosfernoy bezopasnosti». — 2013. — Vyipusk # 1 (47) (fevral). — http:// ipb.mos.ru/ttb/2013-1.
СВЕДЕНИЯ ОБ АВТОРАХ
Дровникова Ирина Григорьевна. Профессор кафедры автоматизированных информационных систем ОВД. Доктор технических наук, доцент.
Воронежский институт МВД России.
E-mail: idrovnikova@mail.ru
Россия, 394065, г. Воронеж, проспект Патриотов, 53. Тел. (473)200-51-82.
Никитин Александр Александрович. Инженер.
В/ч 28683.
E-mail: sansanych@bk.ru
Россия, 394042, г. Воронеж, ул. Минская, 2. Тел. (473)223-27-40.
Змеев Анатолий Анатольевич. Преподаватель кафедры № 12.
Военная академия ВКО им. Г.К. Жукова.
E-mail: tzmeev@yandex.ru
Россия, 170000, г. Тверь, ул. Жигарева, 50. Тел. (482) 234-71-97.
Drovnikova Irina Grigoryevna. Professor of the chair of Automatic Information Systems of Law-Enforcement Bodies. Doctor of Technical Sciences.
Voronesh Institute of the Ministry of the Interior of Russia.
E-mail: idrovnikova@mail.ru
Work address: Russia, 394065, Voronezh, Prospect Patriotov, 53. Tel. (473)200-51-82.
Nikitin Alexander Alexadrovich. Engineer.
Military division № 28683.
E-mail: sansanych@bk.ru
Work address: Russia, 394042, Voronezh, Minskaya Str., 2. Tel. (473)223-27-40.
Zmeev Anatoly Anatolyevich. Lecturer of the chair № 12.
Military Academy of ACD named after G.K. Zhukov.
E-mail: tzmeev@yandex.ru
Work address: Russia, 170000, Tver, Zhigareva Str., 50. Tel. (4822)34-71-97.
Ключевые слова: информационная безопасность; система защиты информации от несанкционированного доступа; защищённая автоматизированная система; количественный показатель защищённости.
Key words: information security; system to protect information from unauthorized access; protected automated system; a quantitative measure of protection.
УДК 621.3
86
