CC BY
189
8. Кащенко АТ. Задача многокритериального синтеза структуры и параметров системы защиты информации // Информация и безопасность: региональный научнотехнический журнал. - Воронеж, 2006. - Вып. 2. - С. 107 - 110.
9. Машкина ИМ., Гузаиров М.Б. Интеллектуальная поддержка принятия решений по управлению защитой информации в критически важных сегментах информационных систем // Приложение к журналу «Информационные технологии». - 2008. - №7. - 2 с.
Михеев Вячеслав Алексеевич
Открытое акционерное общество «Концерн радиостроения “Вега”».
E-mail: [email protected].
121170, г. Москва, Кутузовский проспект, 34.
Тел.: 8 (499) 2490585. "
.
Mikheev Viatcheslav Alekseevich
Joint-Stock Company «Radio Engineering Corporation “VEGA”».
E-mail: [email protected].
34, Kutuzov avenue, Moscow, 121170, Russia.
Phone: 8 (499) 2490585.
The deputy director.
УДК 004.942 - 004.827
ПА. Евстафьев
НЕЧЁТКИЕ КОГНИТИВНЫЕ КАРТЫ ПРИМЕНИТЕЛЬНО К УПРАВЛЕНИЮ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Предлагается подход для управления рисками информационной безопасности на основе нечётких когнитивных карт и искусственных нейронных сетей. В подходе предлагается разделить понятия риска на две составляющие: системозависимый и системонезависимый риски. Данный подход позволяет уменьшить долю субъективизма при оценке риска информационной безопасности (ИБ) организации, учесть все элементы, участвующие и не участвующие в обработке данных в АС, и автоматизировать процесс управления рисками.
Управление рисками ИБ; нечёткие когнитивные карты; актив; сканеры .
GA. Evstafiev FUZZY COGNITIVE MAPS IN RELATION TO RISK MANAGEMENT INFORMATION SECURITY
The paper proposes an approach to risk management of information security based on fuzzy cognitive maps and artificial neural networks. In the approach proposed to divide the notion of risk into two components: a system-dependent and system-independent risks. This approach allows to reduce the proportion of subjectivity in assessing the risk of information security organization, consider all the elements involved and not involved in the processing of data in the Automatic Systems and automate the process of risk management.
Risk Management information security; fuzzy cognitive maps; asset; security scanners.
Как считалось издревле: кто владеет информацией, тот владеет ситуацией и контролирует её. В свете развития информационных технологий, потребность в защите информации возрастает с каждым днём всё больше. Но работа, передача и защита информации связана с риском, который необходимо учитывать и оцени, .
Известно, что риск - это вероятность реализации угрозы информационной .
, , . заключается в моделировании картины наступления этих самых неблагоприятных условий посредством учета всех возможных факторов, определяющих риск как таковой. С математической точки зрения при анализе рисков такие факторы можно считать входными параметрами.
Проблема возникает тогда, когда в оценку риска информационной безопасности вовлекается человек, которые привносит в нее степень субъективности. Также при использовании табличных методик оценки и управления рисками информаци-,
, ,
.
1. Краткий обзор стандартов управления рисками ИБ
В мировой практике уже сравнительно давно осуществляется процесс управления рисками ИБ. Этот процесс регламентируется рядом международных стандартов, таких как британский стандарт BS 7799-3:2006, международный стандарт BS ISO/IEC 27001:2005.
Стандарт BS 7799-3:2006 предлагает процессный подход к оценке рисков, их обработке, непрерывному мониторингу, пересмотрам и переоценке рисков. Данный подход подчеркивает важность:
1) понимания требований ИБ бизнеса и необходимости установления политики и целей ИБ;
2) ,
управления общими бизнес-рисками организации;
3)
управления информационной безопасности (СУИБ) для управления бизнес;
4) непрерывного совершенствования на базе объективных измерений .
Данный подход представлен на рис. 1.
В стандарте описаны следующие действия и мероприятия:
1) ;
2) ,
;
3)
требований законодательства и бизнеса, а также последствий нарушения конфи-, ;
4) ;
5) ;
6) .
Рис. 1. Модель процессов управления рисками
Следующим шагом в процессе управления рисками является идентификация подходящих мер по обработке рисков для каждого из рисков, идентифицированных в ходе оценки рисков. Управлять рисками можно путём комбинирования превентивных и детектирующих механизмов контроля, тактики избегания, страхования и/или простого принятия риска. После того, как риск был оценен, должно быть принято бизнес решение насчет принятия необходимых мер.
После принятие решений по обработке рисков и внедрения выбранных меха, -ками. Эти действия включают в себя процесс мониторинга рисков и производи, , -троля функционируют надлежащим образом. Другими действиями являются пересмотр и переоценка рисков, необходимые для адаптации оценки рисков к изменениям, которые могут со временем происходить в деловой среде [1].
Также был разработан ГОСТ Р ИСО/МЭК ТО 13335-3-2007 - Национальный стандарт Российской Федерации, методы и средства обеспечения безопасности, (Часть 3), методы менеджмента безопасности информационных технологий. Данный ГОСТ призван дать необходимые описания и рекомендации по способам эффективного управления безопасностью информационных технологий. Эти способы могут быть использованы для оценки требований по безопасности и рисков. ,
средства обеспечения безопасности, то есть правильный уровень обеспечения безопасности информационных технологий. Может возникнуть необходимость в , , , -нения дополнительных средств защиты применительно к данной организации и данной среде. Данный стандарт предназначен для сотрудников организации, ответственных за управление безопасностью информационных технологий и/или внедрение мер обеспечения их безопасности.
2. Применение нечётких когнитивных карт и искусственных нейронных сетей для процесса управления рисками ИБ
Для решения проблемы управления рисками информационной безопасности предлагается:
1. , -
( ).
другими методами являются возможность формализации численно неизмеримых
факторов, использования неполной, нечёткой и даже противоречивой информации [2]. А также искусственные нейронные сети для более быстрой и точной классификации актива по уровню риска.
Для построения НКК объект исследования представляют в виде знакового . . 2.
б
Рис. 2. Знакового-ориентированный граф: а - граф верхнего уровня, б - граф нижнего уровня
В низкоуровневом графе представлено влияние взаимосвязанных узлов в локально вычислительной сети (ЛВС) отдела, учитывая присутствующие уязвимости в программном обеспечении ЩО) на хостах. Следовательно, возможно получить предполагаемые сценарии атаки. На основе данной информации возможно построить карту верхнего уровня, которая показывает влияние отдела на отдел, учитывая все присутствующие уязвимости. Таким образом, возможно оценить риск .
Ключевые факторы объекта исследования располагаются в вершинах графа и . -между вершинами. Таким образом, НКК представляет собой картеж:
ПЕ =|С,, Ц,, \ (1)
где { Сп } - множество вершин (концептов);
{ Ц } - множество причинно-следственных связей между концептами;
{ 8^ } - множество знаков связей (+,-);
{ W1J } - множество весов связей (сильно, слабо, средне и т.д.).
В свою очередь, множество концептов представляет собою следующие под:
[с, }=С?. С, с , С \, (2)
где { Ск° } - подмножество целевых факторов, состояние которых является критически важным для собственника информационной системы, т.е. элементы актива;
{ С1и } - подмножество дестабилизирующих факторов или угроз информаци-
;
{ С^ } - подмножество управляющих факторов, с помощью которых решается задача управления рисками;
{ С® } - подмножество базовых факторов, к которым относятся все остальные .
, -
, , построение и анализ НКК.
В теории НКК вводится понятие непрямых и полных причинных эффектов
[2]. Некоторый путь от концепта С1 к концепту С например С1 -> Ск1 -> ... -> Скп
-> С , считается непрямым эффектом. При этом если веса причинно-следственных , . -
чае оно равно
Т{Сг ^ Ск1 ^ ■■■ ^ Скп ^ С, )= т1п{^,к1 ^ ^к!,к2 ^ ^ , \, (3)
где W1j - веса причинно-следственных связей между концептами (без учета знака).
При наличии нескольких различных непрямых эффектов (путей из С1 в С), общий полный эффект вычисляется как
^(сг ^ С, ) = тах{Т1 ^ Т2 ^ ^ ТК \, (4)
где Тк - непрямой эффект между С1 И С N - число непрямых эффектов.
Если использовать формулу (4) для прослеживания пути от г'-й угрозы к ,-му эле,
(С1и -> С°). Таким образом, можно проследить все возможные пути влияния угроз на активы и выявить наиболее опасные.
В зависимости от характера управляющих воздействий, можно выделить несколько стратегий управления рисками [3]:
- :
(5)
где {^} - множество барьеров; -
(6)
изменение характера риска
(7)
принятие риска
{СМ }=>К}
(8)
2. :
- -, .
вычисляется по формуле
где У1 - наличие уязвимости;
С1 - степень критичности уязвимости;
N - число активов; п - число уязвимостей;
1 - индекс актива; j - индекс уязвимости.
После этого возможно рассчитать общий риск инфраструктуры организации
где К - число отделов, і - индекс отдела;
- -, . вычисляется на основе НКК.
Данное значение риска вычисляется по формуле
(9)
К
(10)
2=1
где { С1и } - подмножество дестабилизирующих факторов или угроз информационной безопасности,
{ Ск° } - подмножество целевых факторов, состояние которых является критически важным для собственника информационной системы, т.е. элементы ,
А; - ценность элемента актива.
Данное разделение вводится для того, чтобы учесть тот фактор, что даже активы, не несущие в себе ценную информацию, могут быть использованы для по, -.
Следующим этапом управления рисками ИБ является обработка собранной информации искусственной нейронной сетью. С её помощью возможно классифицировать элементы актива по уровню риска с учётом ценности и значимости данного элемента для организации. На выходе искусственной нейронной сети будет получен конечный уровень риска данного элемента.
На рис. 3 представлен алгоритм оценки рисков ИБ.
Рис. 3. Алгоритм оценки рисков ИБ Заключение
Проблема анализа информационных рисков значительно упрощается и формализуется при использовании нечеткого когнитивного подхода в сочетании с использованием искусственных нейронных сетей. Достоинством предложенного подхода к анализу рисков на базе НКК является возможность построения адекватной модели воздействия угроз на защищаемые ресурсы и оценки их последствий при наличии неполной или даже противоречивой исходной информации. Величина предсказанных рисков и характер изменения состояния целевых факторов позво-
ляют при этом выбрать стратегию управления рисками и подобрать адекватные меры защиты для противодействия информационным угрозам.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Системы управления информационной безопасностью. Ч. 3: Руководство по управлению рисками информационной безопасности BS 7799-3:2006. - С. 70.
2. Kosko, B Fuzzy Cognitive Maps / B. Kosko // Int. J. of Man-Machine Studies. - 1986. - Vol. 1. - P. 65 - 75.
3. .
управления (на примере оборонно-промышленного комплекса) / Е. Хрусталёв, Д. Макаренко // . - .: -стью «Международная Медиагруппа», 2007. - С. 25-33.
Евстафьев Георгий Александрович
Технологический институт Федерального государственного образовательного учреждения высшего профессионального образования «Южный федеральный университет»
в г. Таганроге.
E-mail: [email protected].
347928, г. Таганрог, пер. Некрасовский, 44.
Тел.: 8 (8634) 371-905.
Кафедра безопасности информационных технологий; аспирант.
Evstafiev George Aleksandrovich
Taganrog Institute of Technology - Federal State-Owned Educational Establishment of
Higher Vocational Education “Southern Federal University”.
E-mail: [email protected].
44, Nekrasovskiy, Taganrog, 347928, Russia.
Phone: 8 (8634) 371-905.
The Department of IT Security; post-graduate student.
УДК 004.056.52
O.M. Лепешкин, П.В. Харечкин
-
СОЦИОТЕХНИЧЕСКИХ СИСТЕМАХ
Представлена функционально-ролевая модель управления доступом, реализующая динамическое назначение полномочий. Модель учитывает понятие задачи, для каждой задачи определяются роли и полномочия. Представлено формальное описание модели и пример ее реализации.
Модель разграничения доступа; активное управление доступом; роль; со; .
O.M. Lepeshkin, P.V. Kharechkin
FUNCTIONAL-ROLE-BASED ACCESS CONTROL MODEL IN
SOCIOTECHNICAL SYSTEMS
The paper gives the functional-role based access control model that realizes permission dynamic management. Task is core in this model, task associates role and per-
