CC BY
532
УДК 681.324
Климов С.М.
г.Юбилейный Московской обл., 4 ЦНИИ, [email protected]
МЕТОДИКА ОЦЕНКИ ВОЗМОЖНОГО УЩЕРБА ОТ НАРУШЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИИ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ
Общие методические подходы к оценке возможного ущерба от нарушения безопасности информации автоматизированной системы (АС) приведены в материалах работ [1-4].
Оценка возможного ущерба от нарушения безопасности информации основывается на введении специальной функции потерь на устранение нанесенного ущерба системе обеспечения безопасности информации (СОБИ) АС - Fпт и введении совокупности показателей оценки предполагаемого ущерба АС (таблица 1). При оценке ущерба от нарушения информационной безопасности АС рамки исследований ограничены ущербом, нанесенным информации и программному обеспечению АС (т.е. информационным ущербом). Вопросы ценности и восстановления технических ресурсов после физических разрушений, техногенных катастроф и т.п. в методике не рассматриваются.
Под информационным ущербом АС будем понимать негативное изменение информационного ресурса, приводящее к невыполнению целевых задач АС, нарушению функций СОБИ, принятию неблагоприятных решений, нарушению процесса функционирования или блокированию управления системой и ведущее к увеличению затрат на достижение цели или большим материальным потерям.
Таблица 1.
Показатели оценки информационного ущерба АС________________________
№ Показатель ущерба Определение показателя ущерба
п/п
1. объем нарушенной, искаженной и разрушенной информации (нарушение конфиденциальности, целостности и доступности информации)
2. V™ объем нарушенного, искаженного и разрушенного общего и специального программного обеспечения
3. №рм количество выведенных из строя АРМ
4. №рв количество выведенных из строя серверов баз данных
5. №с количество выведенных из строя каналов связи, коммуникационного оборудования и протоколов обмена
6. Кпмв количество несанкционированных программно-математических воздействий (ПМВ)
7. Юй количество воздействий из сетей общего пользования типа Intemet на абонентов АС, подключенных к информационным ресурсам этих сетей
8. Квзл количества попыток взлома средств защиты доступа к сетям общего пользования типа Intemet
9. Тв ас время восстановления АС
10. Тв лвс время восстановления ЛВС
Информационный ущерб заключается в нарушении конфиденциальности, целостности и доступности информации, что проявляется следующим образом:
- нарушение конфиденциальности информации в АС (потеря ее ценности) в случаях несанкционированного доступа (НСД) и несанкционированных воздействий (НСВ) субъектов и объектов доступа;
- разрушение информационного ресурса АС (полная или частичная потеря информации, резервных копий, нарушение информационных таблиц специализированных баз и хранилищ данных и т.п.);
- недоступность информационного ресурса АС (невозможность доступа или недоступность в течение определенного периода времени);
- искажение информационного ресурса при сборе, обмене, доставке и передаче данных удаленному абоненту в территориально-распределенной вычислительной сети АС;
- проявление преднамеренных и непреднамеренных ошибок и недекларированных возможностей в программном обеспечении.
Обобщенными критериями оценки возможного информационного ущерба АС могут быть следующие:
- ущерб национальной безопасности;
- ущерб, связанный с нарушением требований действующего законодательства;
- ущерб, который привел к финансовым затратам от потери ценности информации;
- ущерб репутации ведомства (организации, предприятия и т.д.);
- ущерб международному информационному обмену;
- ущерб, приведший к финансовым потерям, связанным с восстановлением информационных ресурсов АС;
- ущерб, связанный с дезорганизацией деятельности организации (невозможностью выполнения функциональных обязанностей и обязательств перед партнерами, нарушение отдельных функций АС и т.п.);
- ущерб, связанный с разглашением персональных данных.
Для оценки информационного ущерба АС используем компактный и достаточно информативный рейтинг нарушений безопасности информации АС по пяти бальной шкале, соответствующей невыполненным требованиям к СОБИ и определенной совокупности (уровню) угроз:
- очень высокий - 5,
- высокий - 4,
- средний - 3,
- низкий -2,
- очень низкий -1.
Определение значений шкалы рейтинга нарушений безопасности информации АС осуществляется экспертным путем на основе исходных данных собранных в ходе расследования факта нарушения безопасности информации конкретной организации. При определении рейтинга ущерба реальной АС организации оценка будет производится по совокупности показателей информационного ущерба АС (таблица 1).
Для выбранного обобщенного критерия (сочетания критериев) оценки ущерба АС разрабатывается специализированная шкала рейтинга нарушений безопасности информации. Например, ущерб, связанный с дезорганизацией деятельности в форме недоступности к служебной информации АС в течение определенного интервала времени формализуется в виде специализированной шкалы:
5 —отсутствие доступа к служебной информации более суток;
4 — отсутствие доступа к служебной информации от 8 часов до суток;
3 — отсутствие доступа к служебной информации от 3 часов до 8 часов;
2 — отсутствие доступа к служебной информации от 1 часа до 3 часов;
1 — отсутствие доступа к служебной информации менее 1 часа;
В интересах определения значения специализированной шкалы ущерба используется детальное описание структуры сбора информации об информационном ущербе, связанном с дезорганизацией деятельности организации при нарушении отдельных функций АС (таблица 2).
Важную роль при определении показателей ущерба АС (таблица 1) определить коэффициент информационного ущерба у!к, связанного с нарушением отдельных функций АС и характеризующего степень этих нарушений.
С учетом принятой пяти бальной шкалы ущерба введем обозначения:
1. Пусть М={1, 2, 3, 4, 5} - множество значений показателя уязвимых мест АС (очень низкая, низкая, средняя, высокая, очень высокая).
2. Пусть "п={1, 2, 3, 4, 5}- множество значений показателя частоты использования выявленных уязвимостей АС (используется очень редко, используется редко, использование усредненное, используется часто, используется очень часто).
3. Пусть В={1, 2, 3, 4, 5}- множество значений показателя возможного ущерба.
Тогда коэффициент информационного ущерба у!к будет определяться соотношением:
уik = М_ц/* Лъ* В_!к_
10
Таблица 2.
Структура сбора информации об информационном ущербе______________________
Наименование Наименование типа ущерба Описание факта ущерба
источника информации об ущербе
Журнал регистрации событий в операционной системе (ОС) Нарушение дат Искажение даты информации, настроек функций программного обеспечения и т.п.
Нарушение количества инициализаций ОС Искажение числа инициализаций ОС
Нарушение времени регистрации пользователя Искажение времени идентификации и аутентификации пользователей
Наименование Наименование типа ущерба Описание факта ущерба
источника информации об ущербе
Нарушение номера записи пользователя Искажение порядкового номера записи пользователя
Нарушение идентификатора объектов АС Искажение кодов элементов АС
Проявление ПМВ Код, выявленного ПМВ
Журнал регистрации событий в системе управления базой данных (СУБД) Нарушение даты изменений в информационном обеспечении АС Подмена дат записей информации в БД АС
Нарушение идентификатора СУБД Искажение кодов элементов СУБД и БД АС
Нарушение номера записи информации в СУБД Искажение порядкового номера записи в СУБД
Нарушение идентификатора объектов СУБД Искажение кодов элементов СУБД
Нарушение времени выдачи команды на инициализацию считывания информации Искажение времени поступления команды на инициализацию считывания информации
Нарушение текстового описания порядка работы пользователя с СУБД и БД Искажение текстового описания, устанавливающее порядок применения СУБД и БД
Журнал администратора информационной безопасности АС Нарушение сведений о местоположении Искажение наименования местоположения
Нарушение ведомственной принадлежности Искажение сведений о том, в интересах какого ведомства функционирует АС
Нарушение сокращенного наименования Искажение шифра АС
Нарушение идентификатора АС Искажение уникального децимального номера АС
Средства вычислительной техники (СВТ) Нарушение характеристик СВТ Искажение обобщенных характеристик средств вычислительной техники, связи или передачи данных
Нарушение кода типа СВТ Искажение идентификатора типа СВТ
Нарушение идентификатора СВТ Искажение уникального номера СВТ
СЗИ Нарушение характеристик СЗИ Искажение общих характеристик СЗИ
Нарушение идентификатора СЗИ Искажение кода конкретного образца СЗИ
Тип ЛВС Нарушение наименования типа ЛВС Искажение наименования типа ЛВС
Нарушение кода типа ЛВС Искажение идентификатора типа ЛВС
Тип специального ПО (СПО) Нарушение кода типа СПО Искажение идентификатора типа СПО
Нарушение наименования типа СПО Искажение наименования типа СПО
Типовые уязвимые места Нарушение описания Искажение текстового описание основных характеристик типовых уязвимых мест
Нарушение идентификатора СЗИ Искажение кода конкретного образца СЗИ
Нарушение кода типа данных Искажение идентификатора типа хранения и машинного представления данных
Нарушение кода типа ЛВС Искажение идентификатора типа ЛВС
Нарушение идентификатора Искажение кода конкретного образца СПО
Наименование Наименование типа ущерба Описание факта ущерба
источника информации об ущербе
СПО
Нарушение идентификатора СВТ Искажение кода конкретного образца СВТ
Нарушение идентификатора уязвимости в БД Искажение номера уязвимости в БД
В таблице 3 представлены результаты экспериментальных расчетов коэффициента у1к на основе обработки результатов экспертного оценивания АС на основе типовых решений по защите информации для территориально-распределенных вычислительных сетей. При этом значения коэффициента у1к нормировано по модулю 10 относительно максимально возможного значения (у1к = 0,1 -12.5).
Таблица 3.
Значения коэффициента информационного ущерба_______________________
Ущерб, связанный с нарушением отдельных функций АС Нарушение, искажение и разрушение общего и специального программного обеспечения Вывод из строя АРМ Вывод из строя серверов баз данных Вывод из строя каналов связи, коммуникационн ого оборудования и протоколов обмена
Нарушение режимов работы операционной системы (приоритетности администратора, пользователей и т.п.) 5 1 12.5 10
Имена пользователей получены без идентификации и аутентификации в операционной системе и СЗИ 0.2 3 12.5 12.5
Неправильные права доступа к ключу реестра операционной системы 0.1 2 5 7
Возможность редактирования реестра операционной системы по сети 7 8 12.5 12.5
В таблице показана наихудшая ситуация когда значения коэффициента информационного ущерба
максимально: yik ^ max.
Структура и порядок применения методики оценки ущерба от нарушения безопасности информации АС представлено в таблице 4.
С учетом изложенного оценку ущерба от нарушения безопасности информации АС определим на базе двух функций:
- функции потерь безопасности информации АС, характеризующей информационный ущерб АС в целом и описываемой соотношением:
Fm фку м) = {Уну^поу, №рму, №рву, №су, Кпмву, Kintij, Квзлу, Тв асу, Тв лвсу};
- функцию потери ценности информации, характеризующей воздействие на информационный ресурс и утечку информации в АС в результате нарушения конфиденциальности, целостности и доступности информации, определим как:
Fпци (Iij) = (F (Тку), F (Гцу), F (Гдту)), где i,j = 1, m - соответственно i и j - элементы АС и СОБИ.
Множество параметров информационного ущерба определяется:
%ущу = max [Fmij, Fпциij].
Таблица 4
Структура и порядок применения методики оценки ущерба от нарушения безопасности информации АС
Рейти нг наруш ений безоп асност и инфор мации Источники нарушений процесса обеспечения безопасности информации (ОБИ) Причины нарушений безопасности информации Потеря ценности информации
Угрозы У Уязвимые места М Возможные методы и средства реализации угроз В Харак терис тики нару шите ля Н Тре бова ния по ОБИ не обес пече ны втр Неве рно опре деле на важн ость (гри ф) защи щае мой инф орма ции П Нев ерн о выб ран ы СЗИ или защ ита не над ежн а Ь Нару шени е конф иден циал ьнос ти инфо рмац ии 1к Нару шени е целос тност и инфо рмац ии 1ц Нару шени е дост упно сти инфо рмац ии 1дт
Очень высок ий (инде к д -допус тимы й урове нь) Ум <<Уд Мм <<Мд Вм << Вд Нм << Нд вм <<в тр Пм <<П тр Ьм< <Ьт р 1км< <1ктр 1цм< <1цтр 1дтм <<1д ттр
Высок ий Ум <Уд Мм <Мд Вм < Вд Нм < Нд вм <вт Пм <Пт Ьм< Ьтр 1км<1 ктр 1цм<1 цтр 1дтм <1дтт р
Средн ий Ум =Уд Мм =Мд Вм = Вд Нм = Нд вм Пм =Пт р Ьм= Ьтр 1км=1 ктр 1цм=1 цтр 1дтм =1дтт р
Низки й Ум >Уд Мм >Мд Вм >Вд Нм = Нд вм > втр Пм >Пт р Ьм> Ьтр 1км>1 ктр 1цм>1 цтр 1дтм >1дтт р
Очень низки й Ум >Уд > Мм >Мд Вм >Вд Нм > Нд вм > втр Пм >Пт р Ьм> Ьтр 1км>1 ктр 1цм>1 цтр 1дтм >1дтт р
Множество ожидаемого ущерба при реализации той или иной угрозы безопасности информации АС можно представить: фущ : У ^ %ущ - отображение фущ множества угроз безопасности информации АС на множество параметров информационного ущерба.
Таким образом, разработанная методика позволяет определить ценность информационных ресурсов во взаимосвязи с различными сочетаниями угроз для вариантов построения АС организации и ее СОБИ.
1. ГОСТ Р 51624-2000. Защита информации. Автоматизированные системы в защищенном исполнении. Общие положения.
2. ГОСТ Р 51583-2000. Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения.
3. Мельников В.В. Защита информации в компьютерных системах. - М.: Финансы и статистика, 1997.
- 368 с.
4. Петров В.А. Системный анализ моделей защиты информации//Безопасность информационных технологий. - 1998. - №1. - С.42-46.
