CC BY
50
05.13.19 МЕТОДЫ И СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ,
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
INFORMATION SECURITY
DOI: 10.33693/2313-223X-2021-8-1-26-37
Моделирование процессов проектирования систем защиты информации в государственных информационных системах
Я.Е. Прокушев1, a ©, С.В. Пономаренко2, b ©, С.А. Пономаренко2, с ©
1 Финансовый университет при Правительстве Российской Федерации, г. Москва, Российская Федерация
2 Белгородский университет кооперации, экономики и права, г. Белгород, Российская Федерация
a E-mail: prokye@list.ru b E-mail: kaf-otzi-spec@bukep.ru c E-mail: www.major@yandex.ru
Аннотация. Актуальность и необходимость выполнения мер по защите информации в органах государственной власти на сегодняшний день очевидна как с точки зрения существующего законодательства, так и с точки зрения объективного наличия большого количества угроз самого разного характера. Защитные мероприятия должны учитывать такие факторы, как рост объемов обрабатываемой информации, применение различных технологий обработки данных, многопользовательский характер доступа к информационным ресурсам, усложнение режимов функционирования технических средств. Таким образом, обеспечение информационной безопасности представляют собой сложный комплекс из взаимосвязанных бизнес-процессов организационного, юридического и технического характера. Сложность процессов внедрения защитных систем обуславливает необходимость выполнения этапа планирования данного процесса, который тесно связан с необходимостью разработки модели предметной области. Этим обуславливается актуальность написания данной работы. Целью написания статьи является разработка комплекса моделей, описывающих особенности организационно-правовых и технических процессов, возникающих на этапах проектирования систем защиты информации в государственных информационных системах. Методической базой для написания работы являются нормативно-правовые акты ФСТЭК России. Сравнительный анализ возможных способов моделирования описываемой предметной области позволил определить используемый инструментарий. Для описания происходящих процессов при проектировании системы защиты информации была использована методология функционального графического моделирования SADT. Для моделирования процесса рационального выбора средств защиты информации использовались методы математического моделирования. Результатом представленных в работе исследований является комплекс моделей, который описывает процессы, характерные для этапа проектирования системы защиты информации в государственных информационных системах.
Ключевые слова: моделирование процессов обеспечения информационной безопасности, защита информации, управление информационной безопасностью, графическое моделирование, методология функционального графического моделирования
f \ ССЫЛКА НА СТАТЬЮ: Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А. Моделирование процессов проектирования систем защиты информации в государственных информационных системах // Computational nanotechnology. 2021. Т. 8. № 1. С. 26-37. DOI: 10.33693/2313-223X-2021-8-1-26-37
V J
Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А.
DOI: 10.33693/2313-223X-2021-8-1-26-37
The modeling of information security system design processes in state information systems
Ya.E. Prokushev1, a ©, S.V. Ponomarenko2, b ©, S.A. Ponomarenko2, с ©
1 Financial University, Moscow, Russian Federation
2 Belgorod University of Cooperation, Economics and Law, Belgorod, Russian Federation
a E-mail: prokye@list.ru b E-mail: kaf-otzi-spec@bukep.ru c E-mail: www.major@yandex.ru
Abstract. The relevance and necessity of implementing measures to protect information in state information systems today is obvious both from the point of view of existing legislation, and from the point of view of the objective presence of a large number of threats of a very different nature. Protective measures should take into account such factors as the growth of the volume of processed information, the use of various data processing technologies, the multi-user nature of access to information resources, and the complexity of the modes of operation of technical means [Schneier, 2003]. Thus, ensuring information security is a complex of interrelated business processes of an organizational, legal and technical nature. The complexity of the processes of implementing security systems makes it necessary to perform the planning stage of this process, which is closely related to the need to develop a domain model. This determines the relevance of writing this work. The purpose of this article is to develop a set of models that describe the features of organizational, legal and technical processes that arise at the design stages of information security systems in state information systems. The methodological basis for writing the work is the normative legal acts of the FSTEC of Russia. A comparative analysis of possible methods of modeling the described subject area allowed us to determine the tools used. To describe the ongoing processes in the design of the information security system, the SADT functional graphical modeling methodology was used. Mathematical modeling methods were used to model the process of rational choice of information security tools. The result of the research presented in this paper is a set of models that describes the processes characteristic of the design stage of the information security system in state information systems.
Key words: modeling of information security processes, information security, information security management, graphical modeling, methodology of functional graphical modeling
FOR CITATION: Prokushev Ya.E., Ponomarenko S.V., Ponomarenko S.A. The modeling of information security system design processes in state information systems. Computational Nanotechnology. 2021. Vol. 8. No. 1. Pp. 26-37. (In Russ.) DOI: 10.33693/2313-223X-2021-8-1-26-37
V J
ВВЕДЕНИЕ
В настоящее время работа органов государственного управления во многом зависит от того, насколько эффективно функционируют их информационные системы. В этой связи проблематика обеспечения информационной безопасности в государственных информационных системах является весьма актуальной. Без выполнения комплекса защитных мероприятий обеспечить качественную работу государственных информационных систем (ГИС) с учетом многообразия угроз информационной безопасности невозможно.
Выполнение защитных мероприятий всегда начинается со стадии проектных работ.
Проектирование системы защиты информации - это сложный в технологическом плане процесс. Он требует
предварительного планирования и учета не только технических, но и организационных и юридических требований к выполнению работ [10].
Рассмотрению практических и теоретических аспектов проектирования системы защиты информации в ГИС и посвящена данная статья, что обуславливает ее актуальность.
Целью данной статьи является разработка модели, описывающей этапы проектирования и разработки системы защиты информации в ГИС. Для достижения цели работы следует решить ряд взаимосвязанных задач:
1) определить нормативную базу, устанавливающую юридические требования и ограничения к функционированию систем защиты информации, так как деятельность в исследуемой предметной области регулируется со стороны государства;
2) выбрать средства моделирования процессов в рассматриваемой предметной области;
3) разработать модель организационных и технологических процессов, протекающих на этапах проектировании и разработки системы защиты информации в ГИС;
4) разработать модель выбора средств защиты информации (СЗИ).
ОПРЕДЕЛЕНИЕ ИСПОЛЬЗУЕМОЙ
НОРМАТИВНОЙ БАЗЫ
Моделирование бизнес-процессов в организациях позволяет описать и спланировать этапы их выполнения. И с этой точки зрения разработка и проектирование системы защиты информации в организациях является таким же бизнес-процессом, как и все остальные [9; 12]. Тем не менее, он имеет особенности, которые выражаются, прежде всего, в наличии достаточно жестких требований регуляторов в сфере информационной безопасности (ИБ) к обеспечению защиты информации в ГИС. Они во многом определяют последовательность и характер выполняемых работ в области защиты информации. По этой причине рассмотрение предметной области целесообразно начинать с определения действующих юридических норм.
Стандарты, нормативные документы и законы в сфере информационной безопасности могут быть условно разделены на три большие группы в соответствии с их содержанием и назначением.
1. Юридическая. Сюда можно отнести законы в области информационной безопасности, предписывающие необходимость осуществления действий по защите информации.
2. Методологическая. К этой группе относятся стандарты или иные документы, где описываются общие понятия, принципы и подходы к реализации системы информационной безопасности.
3. Методическая. Эта группа документов ориентирована на конкретное описание последовательности действий при реализации мер по обеспечению защиты информации с точки зрения способов использования тех или иных технологий.
Нормативные документы в области защиты информации могут содержать описательную (концептуальную) часть, которую дополняют приложения с конкретными техническими требованиями к реализации тех или иных процессов.
Среди зарубежных стандартов в области информационной безопасности следует выделить серию стандартов ISO 27001, 27002, 27003 и связанных с ними документов. Стандарты серии ISO 27001, 27002, 27003 затрагивает вопросы, связанные с организационно-управленческими, терминологическими, техническими и юридическими аспектами обеспечения информационной безопасности [11; 12]. Они являются основой для формирования системы менеджмента информационной безопасности (СМИБ). Редакции и положения этих стандартов периодически корректируются с учетом развития информационных технологий. Первоисточником и прообразом этих стандартов является кодекс управления информационной безопасностью, принятый еще в 1992 г. Министерством торговли и промышленности Великобритании.
В России были приняты государственные стандарты, положения которых соответствуют вышеуказанным стандартам ISO: ГОСТ Р ИСО/МЭК 27001-2006, ГОСТ Р ИСО/МЭК 27002-2012, ГОСТ Р ИСО/МЭК 27003-2012.
Однако, несмотря на всю важность и полезность данных документов, они носят рекомендательный характер при рассмотрении вопросов, связанных с безопасностью государственных информационных систем. Система регулирования процессов в области информационной безопасности в России применительно к ГИС представлена следующими основными нормативными документами:
• Федеральный Закон № 149 «Об информации, информационных технологиях и о защите информации». Этот закон определяет юридическую базу, на которой основаны все дальнейшие действия по защите ГИС;
• приказ ФСТЭК России № 17 от 11 февраля 2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». В данном документе определена общая методология и подходы к обеспечению защиты информации в ГИС. Также данный приказ содержит ссылки на другие ГОСТ и нормативные документы, которые должны использоваться при обеспечении защиты ГИС;
• методические документы, оказывающие влияние на реализацию положений Закона [1] и Приказа ФСТЭК России [2]. Сюда могут быть отнесены документы [3-5, 13-15].
• методические документы, описывающие профили требований к различным типам средств защиты информации (средствам антивирусной защиты (САВЗ), средствам контроля носителей (СКН), межсетевым экранам (МЭ), системам обнаружения вторжений (СОВ), средствам доверенной загрузки (СОВ), выполненным в защищенном исполнении операционным системам (ОС));
• нормативная база ФСБ России, устанавливающая требования к средствам криптографической защиты информации (СКЗИ).
Эти и ряд других документов составляют основу нормативной базы, используемой при проектировании, разработке и внедрении системы защиты информации в ГИС. Положения документа [2] имеют определенные совпадения с концепцией СМИБ, используемой в стандартах ISO 27001, ISO 27002, ISO 27003. В частности, в вопросах обеспечения полного цикла защиты информации на всех этапах существования информационной системы.
ВЫБОР СРЕДСТВ МОДЕЛИРОВАНИЯ
В настоящее время существует достаточно много определений термина «модель». Модель - (от лат. modulus - мера, аналог, образец) - это упрощенное описание компонентов и функций, отображающих существенные свойства исследуемого объекта или системы. С учетом особенностей предметной области можно указать следующие типы моделей, которые могут быть использованы для описания рассматриваемой предметной области:
• вербальные, выполненные в виде словесного описания, наименее формализованный тип моделей;
• графические, выполненные в соответствии с требованиями определенных стандартов моделирования;
• математические, описывающие выполнение какого-либо процесса в виде формульных зависимостей.
Рассмотрим подробней особенности применения этих двух типов моделей.
Внедрение систем защиты информации представляет собой совокупность взаимосвязанных организационно-технологических процессов, характеризуемых в большинстве случаев не количественными, а качественными величинами:
Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А.
настроенные механизмы средств защиты информации, подготовленная документация по использованию ГИС и т.п.
По этой причине в большинстве случаев для описания рассматриваемых процессов целесообразно использование методов графического моделей, выполненных в определенной нотации. Применение в качестве модели произвольных рисунков не является удачным решением, поскольку допускает их произвольное прочтение и неоднозначное понимание.
В настоящее время для моделирования организационных процессов используются следующие нотации: IDEF0, DFD, BPMN 2.0, нотация графического моделирования А^.
Окончательный выбор определенной методологии графического моделирования зависит от особенностей рассматриваемой предметной области.
Для описания организационно-технологических процессов, к которым можно отнести внедрение средств защиты информации (СЗИ) в работу ГИС, предпочтительнее применять методологию IDEF0 (SADT). Эта методология графического моделирования обладает следующими особенностями:
1) дифференцирует назначение изображаемых на диаграмме потоков на входящие, управляющие, выходящие (результирующие) и потоки-механизмы. С учетом того, что будут рассматриваться организационные и управленческие процессы, данная особенность IDEF0 является серьезным преимуществом перед другими типами графических методологиями моделирования;
2) позволяет оперировать материальными и информационными потоками;
3) обеспечивает легкость и однозначность чтения модели.
Следует отметить, что нотация IDEF0 принята в России в качестве стандартного средства моделирования.
Методы математического моделирования, которые целесообразно применять при рассмотрении процессов, поддаются алгоритмизации, а результаты их выполнения могут быть выражены в числовых величинах. В качестве математического аппарата, рассматривающего вопросы защиты информации, достаточно часто применяются положения:
• формально-эвристического подхода и метода экспертных оценок;
• теории вероятностей;
• имитационного моделирования;
• теории графов, автоматов и сетей Петри;
• теории игр и конфликтов;
• теории нечетких множеств и т.д.
Выбор математического аппарата исследования во многом зависит от особенностей рассматриваемых процессов. В данной работе будут рассматриваться вопросы рационального выбора средств защиты информации из нескольких альтернативных вариантов.
Для решения задач такого типа, где формируется не столько количественная, сколько качественная оценка, эффективно использовать аппарат, основанный на технологии экспертных оценок [6]. Следует отметить, что использование экспертных методов предусмотрено положениями документа [3] при построении модели угроз.
Совместное применение графических и математических моделей не противоречит друг другу, а наоборот, способно усилить эффективность их применения, повысив информативность описания рассматриваемой предметной области.
ПОСТРОЕНИЕ МОДЕЛИ ПРОЕКТИРОВАНИЯ
СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В ГИС
Рассмотрение исследуемой предметной области целесообразно начинать с верхних уровней для понимания особенностей выполняющихся процессов. На рис. 1 показана диаграмма модели обеспечения информационной безопасности в ГИС согласно положениям приказа [2]. Предполагается, что процесс «Обеспечить работу системы ЗИ в ГИС» (рис. 1) включает в себя обеспечение защиты информации во время работы ГИС и в процессе ее вывода из эксплуатации.
Проектная стадия относится ко второму этапу - разработке системы защиты информации.
Для его корректного выполнения необходимо, чтобы было создано техническое задание на создание системы защиты информации (ЗИ) в ГИС.
Процесс формирование требований к системе ЗИ оказывает самое непосредственное влияние на проектную стадию, поэтому он также будет рассмотрен в данной работе (рис. 2). Решение о создании системы защиты информации принимается на основании положений Закона ФЗ-149, в ст. 9 которой указано, что «...Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами.».
После формирования перечня защищаемой информации необходимо провести классификацию государственной информационной системы.
Результат классификации государственной информационной системы оказывает серьезное влияние на создаваемый проект системы защиты информации.
Классификация ГИС проводится в соответствии с приказом [2]. Критериями классификации являются:
• масштаб деятельности ГИС. Этот параметр определяется достаточно легко;
• значимость защищаемой информации. Значение этого параметра носит качественный характер. Для его корректного определения следует сформировать группу экспертов, которые смогут компетентно оценить возможные негативные последствия от потенциальных нарушений свойств защищаемой информации.
В данном случае в состав комиссии должны войти не только специалисты по информационной безопасности, но квалифицированные и опытные сотрудники подразделений организации, которые используют защищаемую информационную систему и могут оценить значимость обрабатываемой в ней информации.
Сочетание масштаба деятельности и значимости обрабатываемой в ней информации определяет класс ГИС.
Параллельно с этапом классификации ГИС может выполняться построение модели угроз. Для разработки модели угроз в настоящее время используется методический документ [3].
С появлением методических рекомендаций [3] действует унифицированный принцип построения модели угроз для разных типов информационных систем. Этапы разработки модели угроз представлены на рис. 3.
Концепция документа [3] существенно отличает его от предшествующих методик.
Во-первых, при разработке модели в явном виде описываются объекты воздействия угроз. При этом они рассматриваются на сетевом, аппаратном, системном, прикладном уровне, а также на уровне пользователей.
Рис. 1. Модель обеспечения информационной безопасности в государственных информационных системах Fig. 1. Information security model in the State Information Systems (SIS)
Во-вторых, в модели угроз используются четыре типа потенциальных нарушителей. Они классифицируются по возможностям к осуществлению НСД.
Третьим отличием является то, что кроме основного источника анализируемых угроз [5], могут применяться и дополнительные, имеющихся в сети «Интернет» (САРЕС, АТТ&СК, OWASP, STIX, WASC и др.) [3].
В-четвертых, используется другой принцип определения актуальности угроз, чем в действующих ранее методиках. Факт отнесения угрозы к актуальной связан с наличием соответствующего сценария ее реализации применительно к имеющемуся объекту воздействия со стороны потенциального нарушителя [3].
В новой методике приводятся рекомендации относительно формирования групп экспертов, участвующих в составлении модели угроз. Концепция, приведенная в методике [3], обеспечивает системность при анализе защищаемого объекта на предмет наличия в нем различных угроз информационной безопасности. Кроме описания угроз и способов их реализации, в состав модели включаются сведения об объектах воздействия, вероятных нарушителях и их возможностях, негативных последствиях атак.
Модель угроз и класс защищенности ГИС являются входящей информацией для определения требований к системе ЗИ в ГИС (рис. 2, процесс 4). Детализация этого процесса представлена на рис. 4.
Рассмотрим подробней модель на рис. 4. Класс защищенности ГИС влияет на выбор базового набора мер по защите информации. После формирования перечня базовых мер выполняется его уточнение. Из базового набора исключаются меры, направленные на защиту объектов или технологий обработки информации, которых нет на анализируемом объекте (рис. 4, процесс 2): если на объекте не применяются технологии виртуализации, то выполнять соответствующие меры защиты не следует.
На следующем этапе формируются общие требования по защите информации на объекте. К базовому набору мер добавляются действия, которые требуется выполнить для нейтрализации выявленных ранее актуальных угроз.
Затем для полученного общего перечня защитных мер определяются способы их реализации с учетом ограничений, накладываемых классом защищенности ГИС (рис. 4, процесс 3). Описание особенностей выполнения мероприятий по защите информации в ГИС изложено в методическом документе [4].
Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А.
Например, для ГИС первого класса защищенности для противодействия угрозе несанкционированной загрузки СВТ (мера УПД.17) следует дополнительно к настройкам BIOS/ UEFI использовать модуль доверенной загрузки (МДЗ) уров-
ня платы расширения. В то же время для ГИС третьего класса защищенности меры усиления в виде применения МДЗ не обязательны.
ГОСТР Федеральный ГОСТ Р 51583 закон № 149 51624 [GOST R [The Federal [GOST R
Рис. 2. Детализация процесса А1 «Сформировать требования к системе защиты информации» Fig. 2. Detailing of the A1 process "To Formulate the requirements for the information security system (SIS)"
Исходные данные об объекте защиты [Initial data about the object of protection]
Перечень защищаемой информации [The list of protected informaron]
Определить негативные последствия [To identífy negatíve consequences]
Возможные негативные последствия [Possible negative consequences]
Методика оценки угроз безопасности информации [Information Security Threat assessment method]
Актуальные угрозы [The list of the actual threats]
Банк данных угроз ФСТЭК [Information Security Threats Databank]
2
Определить
объекты воздействия [To identífy targets of attack]
Персонал организации [Organizaron personnel]
Объекты воздействия [Possible targets of attack]
3 „
Определить
источник угроз [To identífy the sources of threats]
Лицензиат ФСТЭК [FSTEC Licensee]
Источники угроз [Possible sources of threats] Модельугроз [Informaron security threat model]
f Способы
4 Определить
способы реализации угроз [To determine how threats are implemented]
[Possible ways to implement the threats]
5 Оценить актуальность угроз (поиск сценария угрозы) [To determine the relevance of the threats]
Рис. 3. Детализация процесса A13 «Разработать модель угроз информационной безопасности» Fig. 3. Detailing of the process A13 "To develop a model of information security threats in the SIS"
ISSN 2313-223X Print Т. 8. № 1. 2021 Computational nanotechnology 31
ISSN 2Б87-9693 Online
Рис. 4. Детализация процесса A14 «Определить требования к системе защиты информации» Fig. 4. Detailing of the process A14 "Determine the requirements for the information security system the SIS"
Рис. 5. Детализация процесса А2 «Разработать систему защиты информации» Fig. 5. Detailing the process A2 "То develop an information security system"
Если имеются мероприятия, которые невозможно реализовать в силу технических ограничений или заведомой несовместимости используемого программного и аппаратного обеспечения, то следует предложить другие, например организационные действия компенсационного характера. Требования по защите информации, как и другая информация об объекте защиты, используется для разработки техни-
ческого задания на создание системы защиты информации (рис. 4, процесс 4). Информация, необходимая для создания технического задания, а также ссылки на другие используемые стандарты и методические указания, приведены в документе [2].
После создания технического задания наступает стадия разработки системы защиты информации в ГИС (рис. 5).
Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А.
Начальным этапом является проектирование системы ЗИ в ГИС. Этот важный процесс начинается с формирования прав разграничения доступа (ПРД) к защищаемой информации (рис. 6). При составлении ПРД уточняется перечень объектов и субъектов доступа, способы реализации информационного обмена. ПРД, наряду с изложенными в техническом задании требованиями, являются входными данными для осуществления выбора средств защиты информации.
Определение необходимой номенклатуры средств защиты информации является ключевым этапом проектных
работ по обеспечению безопасности в ГИС. От того, насколько качественно он будет выполнен, во многом зависит как эффективное функционирования системы защиты, так и вся последующая работа ГИС.
На рис. 7 показана детализация процесса выбора средств защиты информации. Сначала формируется их общий перечень. Источником формирования являются государственные реестры сертифицированных средств защиты информации, которые ведутся ФСТЭК и ФСБ России. В реестре ФСБ содержаться сертифицированные СКЗИ, а в реестре ФСТЭК - все остальные типы продуктов.
Рис. 6. Детализация процесса А21 «Выполнить проектирование системы защиты информации» Fig. 6. Detailing the process A21 "To Design an information security system"
Рис. 7. Детализация процесса А212 «Осуществить выбор средств защиты информации» Fig. 7. Detailing the A212 process "To carry out the choice of information protection systems"
MULTISCALE MODELING FOR INFORMATION CONTROL AND PROCESSING
Выбор средств защиты от сетевых атак часто зависит от необходимости обеспечения защищенного канала связи между сегментами распределенных ГИС. В этом случае обеспечить защиту передаваемых данных можно только с помощью применения СКЗИ. Таким образом, возникает потребность в применении изделий, обеспечивающих межсетевое экранирование, защиту от сетевых атак и создание VPN с использованием российских криптографических алгоритмов.
В общем случае требуется сформировать перечень сертифицированных СЗИ следующих типов:
1) средств, обеспечивающих защиту конечных узлов, состоящих:
• из программно-аппаратных средств защиты информации от несанкционированного доступа (СЗИ от НСД);
• из средств антивирусной защиты (САВЗ);
2) средств защиты от сетевых угроз:
• межсетевыми экранами (МЭ) и системами обнаружения вторжений (СОВ);
• средствами обеспечения VPN для защиты канала передачи информации между удаленными сегментами сети организации;
3) средств аудита защищенности информационных систем.
Для принятия обоснованного решения о выборе определенных продуктов из всего множества СЗИ следует использовать методы математического моделирования.
РАЗРАБОТКА МОДЕЛИ ВЫБОРА СРЕДСТВ
ЗАЩИТЫ ИНФОРМАЦИИ
Пусть n - мощность множества возможных средств защиты информации, в которое входят все предварительно выбранные средства защиты вне зависимости от типов и функционального назначения; m - мощность множества программных продуктов, используемых в рассматриваемой информационной системе, включая n средств защиты информации.
На первом этапе составляется матрица совместимости для исключения возможных конфликтов прикладного программного и аппаратного обеспечения со средствами защиты информации (1):
PI
Ph s?, s? ... s? , (1)
Phm
где sziЩ - предварительно выбранное средство защиты информации (здесь п - количество анализируемых СЗИ); ргт -т-й программное обеспечение, совместимость которого анализируется с szisI - показатель совместимость п-го
17 п ' пт
средства защиты и т-го программного обеспечения, причем
■I ■I
szif szi2
s I
s11 s21
„I
sl2 s22
slm s2m
cI е {0; 1}.
i / J
Возможность применения szi1 определяется значением
S1 из выражения
sz sz sz sz
->nl-> n2 n2 • • • nm
SI
(2)
Значение, равное 5- = 1 показывает совместимость, а 5- = 0 - конфликт применения СЗИ с программным или аппаратным обеспечением ГИС. Если 5- = 0, то использовать соответствующее sziЩ нельзя. Если 5Щ = 1, то конфликты совместимости отсутствуют и средство может применяться.
Таким образом, на первом этапе отбираются средства защиты информации, применение которых возможно с технической точки зрения в данной ГИС [7].
На втором этапе используются требования технического задания. Все множество отобранных на предыдущем этапе средств защиты информации делится по группам [8]:
1) межсетевые экраны и системы обнаружения вторжений на границе сети (в настоящее время эти типы программно-аппаратного обеспечения часто выпускаются в виде одного изделия с совмещенными функциями). Кроме того, эти же изделия достаточно часто являются сертифицированными ФСБ СКЗИ (например, изделия ООО «Код Безопасности», АО «Инфотекс»);
2) средства антивирусной защиты;
3) средства защиты от НСД и МДЗ (при необходимости совместного использования выбираются продукты одного производителя по технологическим причинам);
4) межсетевые экраны и системы обнаружения вторжений уровня хоста (в настоящее время эти типы программного обеспечения часто выпускаются в виде одного продукта с совмещенными функциями);
5) средства аудита защищенности.
Такое разбиение объясняется тем, что задачи, стоящие перед этими группами, а также функционал этих средств существенно отличаются друг от друга.
Все множество средств защиты можно представить в виде совокупности непересекающихся подмножеств
SZL = SZI , U SZI
I net savz
U szi d U szi U szi d.
^ nsd ^ ms ^ aud
(3)
В составе некоторых средств защиты от НСД имеются персональные МЭ, СОВ уровня хоста и средства антивирусной защиты. Однако такие лицензии приобретаются за отдельную плату, поэтому в (3) было принято разбиение СЗИ на совокупность непересекающихся подмножеств. В зависимости от особенностей объекта защиты некоторые группы СЗИ могут отсутствовать в (3). Например, при защите локально работающих рабочих станций не требуются межсетевые экраны и системы обнаружения вторжений. Для каждого из подмножеств СЗИ на основе технического задания устанавливается набор мер по защите информации, которые должны быть выполнены в обязательном порядке.
Требования к мерам защиты, изложенные в техническом задании и модели угроз, можно представить в виде совокупности непересекающихся подмножеств, относящихся к различным типам защитных средств
TZr
■■ TZ t U TZ
net savz
U TZ d U tz U tz d.
nsd ms aud
(4)
Матрица выполнения требований технического задания для средств защиты от НСД представлена в (5). Для других категорий защитных средств она будет выглядеть аналогично.
TZI
TZ,
TZ\
szif szin2sd . • szi?
*nsd tznsd tZnsd 21 • tznid
*nsd tZnsd 12 tZnSd 22 tznsd x2
*nsd k tZnSd 1k tZnSd 2k tznsd ■ xk
(5)
где szin - рассматриваемое х-е СЗИ от НСД. Здесь х - количество анализируемых СЗИ от НСД; TZk!sd - к-я мера защиты информации, которая должна быть реализована с помощью СЗИ от НСД; tz"sd - показатель возможности выполнения х-м СЗИ от НСД к-го мероприятия по защите информации, причем tzni¡d е {0; 1}.
n
Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А.
Возможность применения szi"sd определяется значением
szi"sd выражения (6).
tz"sd tz"sd ... tz"sd = szinsd.
x1 x2 xk tz x
(6)
Значение szit , равное 1 показывает, что х-е СЗИ от НСД
выполняет требования ТЗ и модели угроз. Если szi'
0,
то требования технического задания не выполняются в одном или нескольких случаях, а средство защиты информации не может применяться.
Аналогичным образом определяется возможность применения средств защиты других типов. Таким образом, формируется подмножество СЗИ, которые удовлетворяют формальным требованиям технического задания в рамках своих групп.
На третьем шаге отбор СЗИ будет выполняться на основе многокритериальной модели с применением экспертных технологий [6].
Можно выделить следующие дополнительные факторы, которые влияют на выбор конфигурации средств защиты.
1. Финансовый. Стоимость лицензий и затрат на техническую поддержку средств защиты информации может существенно отличаться у разных производителей при сравнительно одинаковых возможностях. В итоге разница в расходах на обеспечение защиты одного и того же объекта с помощью разных СЗИ может быть весьма значительной. А превышение величины затрат некоторого максимального значения может привести к отказу от использования выбранной конфигурации средств защиты информации.
Для оценки финансового фактора рассчитывается сумма затрат, связанная с приобретением и обслуживанием средства защиты информации в рамках выбранной конфигурации в течение хотя бы первого года их работы.
Остальные критерии связаны с особенностями применения средства защиты. Ниже приведен возможный, но далеко не полный перечень дополнительных «эксплуатационных» критериев:
2. Отказоустойчивость и резервирование (наличие кластера серверов безопасности). Данное требование в ряде случаев может быть обязательным и рассматриваться в рамках требований технического задания в отношении конкретных средств защиты. Обычно это касается криптошлюзов, установленных на границе защищаемой сети и совмещающих функции межсетевого экрана и системы обнаружения вторжений уровня сети.
3. Удобный интерфейс администрирования СЗИ.
4. Легкость анализа событий безопасности.
5. Легкость развертывания средств защиты.
6. Встроенный интерфейс для передачи журналов в SIEM системы.
Многокритериальная модель анализа дополнительных параметров выбора средств защиты представлена в виде
z I
--(mp i kZi+ тр21 k2z+... + тр., z kh), (7)
где - значение коэффициента предпочтительности рассматриваемого z-го СЗИ от НСД (здесь z - количество анализируемых на данном этапе СЗИ от НСД); imp. 1 - важность /-го показателя оценки СЗИ от НСД.
Коэффициент imp. е [0; 1] рассчитывается на основе оценок, данных экспертами. Примерная оценочная шкала значений коэффициента:
• очень важный - 1;
• существенный - 0,7;
• имеет значение - 0,5;
• желателен - 0,3;
• малосущественный - 0,1.
Эксперты определяют значимость всех анализируемых в модели показателей. При этом общая сумма значимостей показателей может быть более 1.
к2]1 - значение, характеризующее качество реализации /-го показателя оценки для г-го средства защиты. Вербальная оценка выставляется экспертами для каждого анализируемого средства защиты, причем к^ е [0; 1]. Примерная оценочная шкала значений коэффициента:
• отлично реализовано - 1;
• хорошо реализовано - 0,75;
• удовлетворительное исполнение - 0,5;
• посредственное исполнение - 0,25;
• реализация плохая - 0,1;
• не реализовано - 0.
Для оценки финансового фактора следует составить переводную шкалу, которая бы позволила конвертировать величину затрат в оценочную шкалу. Например, максимальной допустимой величиной затрат на закупку СЗИ от НСД определена сумма 3 млн рублей. Эксперт может охарактеризовать пределы затрат следующим образом:
1) более 3 млн руб. - 0 (не реализовано);
2) от 2,8 до 3 млн руб. - 0,1 (плохая реализация);
3) от 2,6 до 2,8 млн руб. - 0,25 (посредственно);
4) от 2,4 до 2,6 млн руб. - 0,5 (удовлетворительно);
5) от 2,2 до 2,4 млн руб. - 0,75 (хорошая реализация);
6) от 2,1 до 2,2 млн руб. - 1 (отличная реализация). Установленные экспертом пределы сформируют коэффициент реализации финансового критерия.
Экспертные технологии предполагают формирование итогового результата на основе учета нескольких независимых мнений, что отражено в формуле (7) в виде индексов «сумма» во всех используемых в ней коэффициентах. Результирующие значения коэффициентов важности показателей и качества их реализации следует рассчитывать с учетом весов экспертов. Одним из способов расчета весов экспертов является метод равномерного распределения, основанный на формуле
КI
^ехр , = . (8)
2Х
¡= 1
где п - количество экспертов; К - баллы, набранные j-м экспертом при его оценке; weкp. - нормированный вес j-го эксперта.
Оценка экспертов для последующего определения веса его мнения может выполняться с помощью тестовых методик или анализа квалификационных и должностных показателей. Общая сумма весов экспертов должна быть равна 1:
Ё Wexpi =1 i=1
(9)
Результатом выполнения процедуры формирования весов будет модель экспертной комиссии для подготовки принятия решения:
Exp =
(10)
С учетом влияния весов экспертов, формула расчета итогового значения коэффициента значимости imp. /-го дополнительного критерия в рамках модели (7) будет иметь вид:
impi ^
i'mPij
(11)
Формула расчета итогового значения коэффициента реализации i-го критерия для z-го СЗИ от НСД k2]1 в рамках модели (7) будет иметь вид:
kfz=ZWexp jk. (12)
i = 1
Коэффициенты предпочтительности, полученные по результатам расчетов для каждого продукта, являются основой для принятия решения по приобретению средств защиты информации.
С учетом особенностей предметной области не рекомендуется формировать конфигурацию только на основе найденных «победителей» по отдельным продуктам. Можно сформировать несколько альтернативных конфигураций и с использованием средств, занявших второе или третье место по итогам расчетов, при условии, что относительная разница в оценках не превышает 10%.
Например, требуется обеспечить защиту рабочих станций и серверов локальной сети ГИС третьего класса защищенности. После подсчета оценок может быть сформировано несколько возможных конфигураций средств защиты на основе найденных вариантов решений:
1) СЗИ от НСД Secret Net Studio 8 (в полной лицензии);
2) СЗИ от НСД Dallas Lock 8.0-К, САВЗ Dr. Web Enterprise Security;
3) СЗИ от НСД Secret Net Studio 8 (без средств сетевой защиты), САВЗ + МЭ + СОВ Symantec Endpoint Protection 14.
Дополнительно для каждого варианта предусматривается использование средства аудита XSpider и приобретение SIEM системы.
Для окончательного выбора конфигурации средств защиты информации следует:
1) еще раз рассчитать суммы затрат на внедрение альтернативных конфигураций проекта в абсолютных величинах;
2) с использованием виртуальных стендов оценить возможность установки и внедрения в работу ГИС различных конфигураций средств защиты.
После выбора средств защиты информации осуществляются два процесса:
1) разрабатывается эксплуатационная документация на создаваемый проект и определяются примерные настройки каждого из средств защиты информации
Литература
1. Федеральный закон № 149-ФЗ от 27 июля 2006 года «Об информации, информационных технологиях и защите информации».
2. Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».
3. Методический документ ФСТЭК России «Методика оценки угроз безопасности информации». Утв. ФСТЭК России 5 февраля 2021 г.
4. Методический документ ФСТЭК России «Меры защиты информации в государственных информационных системах». Утв. ФСТЭК России 11 февраля 2014 г.
5. Положение по аттестации объектов информатизации по требованиям безопасности информации. Утверждено председателем Государственной технической комиссии при Президенте Российской Федерации 25 ноября 1994 г.
6. Литвак Б.Г. Экспертные технологии в управлении: учебное пособие, 2-е изд., испр. и доп. М.: «Издательство Дело», 2004. 400 с.
(см. рис. 6). Выбор настроек средств защиты необходим, поскольку он во многом влияет на защищенность ГИС и выполнение требований, обозначенных в техническом задании; 2) приобретаются средства защиты информации в соответствии с созданной спецификацией. Выполнение проектных мероприятий завершает подготовительный этап внедрения системы защиты информации в работу ГИС (см. рис. 1). Полученные на этапе проектирования данные являются входной информацией для внедрения СЗИ в работу ГИС.
ВЫВОДЫ
Совместное применение графических и математических моделей повышает информативность описания процессов, происходящих на этапе проектирования системы защиты информации в ГИС. В результате были разработаны:
1) модель организационных и технологических процессов, протекающих на этапе проектировании защиты информации в ГИС;
2) модель выбора средств защиты информации. Применение методов графического моделирования позволяет детально рассмотреть характер информационного взаимодействия между организационными процессами, понять характер причинно-следственной связи между ними.
ЗАКЛЮЧЕНИЕ
В статье представлен комплекс графических и математических моделей, рассматривающих процессы, связанные с разработкой и проектированием системы защиты информации в ГИС.
Представленная в работе процедура поддержки принятия решений при выборе средств защиты информации позволяет:
1) определить приемлемые варианты реализации проектов обеспечения информационной безопасности ГИС.
2) повысить научную обоснованность принятия управленческих решений при планировании мероприятий по обеспечению информационной безопасности ГИС, что в результате должно положительно сказаться на их качестве.
References
1. Federal Law No. 149-FZ of July 27, 2006 "On Information, Information Technologies and Information Protection".
2. Order No. 17 "On approval of requirements for the protection of information that does not constitute a state secret contained in state information systems". Approved by FSTEC of Russia of 11.02.2013.
3. Methodological document "Methodology for assessing information security threats". Approved by FSTEC of Russia of 05.02.2021.
4. Methodological document "Information protection measures in state information systems". Approved by FSTEC of Russia of 11.02.2014.
5. Regulations on certification of informatization objects according to information security requirements. Approved by the Chairman of the State Technical Commission under the President of the Russian Federation of 25.11.1994.
6. Litvak B.G. Expert technologies in management: Textbook. 2nd ed. Moscow: "Publishing House Delo", 2004. 400 p.
7. Prokushev Ya.E., Ponomarenko S.^. Comparative analysis of software and hardware protection of information used in information
Прокушев Я.Е., Пономаренко С.В., Пономаренко С.А.
7. ПрокушевЯ.Е., Пономаренко С.В. Сравнительный анализ средств программно-аппаратной защиты информации, применяемых в информационных системах персональных данных // Информация и безопасность. 2012. Т. 15. № 1. С. 31-36.
8. Прокушева А.П., Прокушев Я.Е. Моделирование и оптимизация выбора средств программно-аппаратной защиты информации с точки зрения экономической и технической целесообразности // Информация и безопасность. 2012. Т. 15. № 1. С. 55-60.
9. Andress J., Leary M. Building a Practical Information Security Program. Syngress, 2017. 192 p.
10. Mattord H., Whitman M. Management of Information Security. 6th ed. Cengage Learning, 2019. 752 p.
11. Rohit Tanwar. Information Security and Optimization. CRC Press, 2021. 224 p.
12. Whitman M.E. et al. Principles of Information Security. 6th ed. Cen-gage Learning, 2017. 656 p.
13. Банк данных угроз безопасности информации [Электронный ресурс]. URL: https://bdu.fstec.ru/threat
14. Государственный реестр сертифицированных средств защиты информации ФСТЭК России [Электронный ресурс]. URL: https:// fstec.ru/tekhnicheskaya-zaschita-informatsii/dokymenty-po-sertifickatsii/153-sistemasertifikatsii/591
15. Перечень средств защиты информации, сертифицированных ФСБ России [Электронный ресурс]. URL: http://clsz.fsb.ru/ certification.htm
systems of personal data. Information and Security. 2012. Vol. 15. No. 1. Pp. 31-36. (In Russ.)
8. Prokusheva A.P., Prokushev Ya.E. Modeling and optimization of the choice of software and hardware protection of information from the point of view of economic and technical expediency. Information and Security. 2012. Vol. 15. No. 1. Pp. 55-60. (In Russ.)
9. Andress J., Leary M. Building a Practical Information Security Program. Syngress, 2017. 192 p.
10. Mattord H., Whitman M. Management of Information Security. 6th ed. Cengage Learning, 2019. 752 p.
11. Rohit Tanwar. Information Security and Optimization. CRC Press, 2021. 224 p.
12. Whitman M.E. et al. Principles of Information Security. 6th ed. Cengage Learning, 2017. 656 p.
13. The Data bank of information security threats [Electronic resource]. URL: https://bdu.fstec.ru/threat
14. The State register of certified products of information protection of the FSTEC of Russia [Electronic resource]. URL: https://fstec.ru/ tekhnicheskaya-zaschita-informatsii/dokymenty-po-sertifickat-sii/153-sistemasertifikatsii/591
15. The State register of certified products of information protection of the FSB of Russia [Electronic resource]. URL: http://clsz.fsb.ru/ certification.htm
Статья проверена программой Антиплагиат. Оригинальность - 81,78%
Рецензент: Зобов А.И., кандидат технических наук; сотрудник Фонда содействия развитию безопасных информационных технологий, Москва
Статья поступила в редакцию 12.02.2021, принята к публикации 16.03.2021 The article was received on 12.02.2021, accepted for publication 16.03.2021
СВЕДЕНИЯ ОБ АВТОРАХ
Прокушев Ярослав Евгеньевич, кандидат экономических наук, доцент; доцент департамента информационной безопасности Финансового университета. Москва, Российская Федерация. E-mail: prokye@list.ru Пономаренко Сергей Владимирович, кандидат технических наук, доцент; профессор кафедры организации и технологии защиты информации Белгородского университета кооперации, экономики и права. Белгород, Российская Федерация. E-mail: kaf-otzi-spec@bukep.ru Пономаренко Сергей Анатольевич, доцент кафедры организации и технологии защиты информации Белгородского университета кооперации, экономики и права. Белгород, Российская Федерация. E-mail: www. major@yandex.ru
ABOUT THE AUTHORS
Yaroslav E. Prokushev, Cand. Sci. (Econ.), Associate Professor; associate professor at the Department of Information Security of the Financial University. Moscow, Russian Federation. E-mail: prokye@list.ru
Sergei V. Ponomarenko, Cand. Sci. (Eng.), Associate Professor; professor at the Department of Information Security Organization and Technology of the Belgorod University of Cooperation, Economic and Law. Belgorod, Russian Federation. E-mail: kaf-otzi-spec@bukep.ru Sergei A. Ponomarenko, associate professor at the Department of Information Security Organization and Technology of the Belgorod University of Cooperation, Economic and Law. Belgorod, Russian Federation. E-mail: www.major@yandex.ru
