Организация информационной защиты бизнес-процессов Текст научной статьи по специальности «Компьютерные и информационные науки»

№2 2006

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

Необходимость создания оптимальной инфраструктуры современных промышленных предприятий обусловлена жесткими требованиями рыночной конкуренции, которые заставляют компании оценивать и внедрять новые методики оптимизации как в основной бизнес-деятельности предприятия, так и в области информационных технологий и интеллектуальной собственности. Особое значение при этом имеет информационная инфраструктура промышленных предприятий, так как ошибки, допущенные при ее формировании, и неумение подстраиваться под новые правила, диктуемые рынком, могут повлечь значительные финансовые потери.

Под информационной инфраструктурой следует понимать совокупность программно-технических средств и организационно-административных мероприятий, обеспечивающих в совокупности безопасную обработку данных и информационное обеспечение бизнес-процессов внутри предприятия, адекватные возможности по обмену информацией с внешними организациями, а также информационные системы и сети, научно-техническое обеспечение и саму обрабатываемую информацию.

Конструирование бизнес-системы невозможно без информационной инфраструктуры, важной составляющей которой является защита информационных активов в составе активов предприятия.

Поддержка и защита системы управления предприятием подразумевает прежде всего поддержку и защиту самих бизнес-процессов и развитие инфраструктурной составляющей бизнес-системы, и в частности информационной, за счет преодоления инфраструктурной и информа-

ционной разобщенности подразделений предприятия. Инвестиции в управление бизнес-процессами могут приносить значительные доходы за счет повышения эффективности работы и ускорения бизнес-процессов, а также за счет повышения рыночной стоимости компании в части ее нематериальных активов — информационных в инфраструктурной составляющей нематериальных активов.

Понятие информационных активов следует использовать в широком смысле, включив в него все техническое и программное обеспечение, патенты, торговые марки и все то, что позволяет работникам предприятия реализовать свой производственный потенциал, а также отношения, сложившиеся между компанией и ее крупными клиентами, государственными структурами, другими хозяйственными объектами.

Защита информационных активов заключается в поддержании целостности, доступности и, если требуется, конфиденциальности информации в бизнес-системах.

Проведенный анализ возможных угроз показал, что информационная инфраструктура должна обладать свойством защищенности информации, используемой в бизнес-процессах. Данное свойство характеризует способность обеспечивать защиту от несанкционированного (преднамеренного или случайного) получения, изменения, уничтожения или использования коммерческой, служебной или технологической информации.

С учетом компонентов бизнес-процесса, а также их взаимосвязей, к потенциально опасным ситуациям, которые могут возникнуть при низком уровне защищенности информации, относятся:

№2 2006

• несанкционированный доступ нарушителей (не владельцев и участников) к информации, хранящейся и обрабатываемой в средствах автоматизации, с целью ознакомления, искажения или уничтожения. Точками входа при этом могут быть интерфейсы и границы процесса, а также информация, необходимая для реализации функций (операций, процедур) процесса;

• перехват информации при ее приеме (передаче) по каналам связи (сети) функциями процесса, а также за счет хищения носителей информации;

• уничтожение (изменение, искажение) информации за счет случайных помех, сбоев технических (программных) средств при передаче, хранении и обработке информации;

• несанкционированное влияние на бизнес-процесс нарушителей из числа владельцев и (или) участников процесса.

В соответствии с руководящими документами Гостехкомиссии для обеспечения информационной защищенности определены типовые требования к функциям инфраструктуры защиты информации на промышленном предприятии. Эти требования составляют функциональную основу инфраструктуры защиты информации, т. е. определяют обязательный состав функций по соответствующим подсистемам защиты. Однако процессный подход к организации и управлению хозяйственной деятельностью предприятия обусловливает необходимость применения процессно-ориентированного подхода и к формированию самой инфраструктуры защиты информации бизнес-процессов. С учетом рассмотренных особенностей, структуры и возможностей процессного подхода инфраструктура защиты информации должна обеспечивать:

• ориентацию всех процессов защиты на главный конечный результат — обеспечение необходимого уровня защиты информации;

• выявление, локализацию и устранение последствий реализации всех возможных видов угроз;

• интеграцию функций защиты в единый автоматизированный процесс;

• интеграцию централизованного и ресурсосберегающего управления защитой информации;

• регламентацию процессов защиты по приоритету, срочности, рискам и т. д.;

• независимость реализации политики безопасности от организационной структуры предприятия;

• реализацию планово-предупредительной деятельности по обеспечению защиты информации бизнес-процессов;

• определение и разграничение ответственности конкретных мер и средств защиты за предотвращение конкретных видов угроз;

• возможность точного определения результатов функционирования (учет и отчетность по каждому виду угроз, мониторинг текущего состояния, прогноз развития процессов, оценка рисков и т. д.);

• возможность развития и оптимизации процессов защиты на основе самоконтроля и самонастраиваемости;

• возможность адаптации к изменяющейся информационной инфраструктуре предприятия;

• минимально возможное количество уровней в иерархии управления системой защиты информации;

• по возможности простые и удобные в эксплуатации меры и средства защиты.

Процессно-ориентированный подход к созданию (совершенствованию) инфраструктуры защиты информации бизнес-процессов позволит рассматривать процесс формирования (развития) системы защиты информации как один из вспомогательных бизнес-процессов, обеспечивающих основные процессы предприятия. Это дает возможность разработки инфраструктуры защиты информации в тесной взаимосвязи с проектированием других бизнес-процессов, что, несомненно, увеличит их интегрированность, гибкость, сбалансированность и управляемость.

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

Решение всех задач, связанных с созданием и организацией систем защиты информации на объекте, должно осуществляться на основе единой унифицированной методологии, обеспечивающей построение оптимальных систем защиты с количественными оценками получаемых решений.

Решение сформулированной проблемы позволит обоснованно подходить к организации инфраструктуры защиты информации бизнес-процессов на промышленном предприятии, а также осуществлять синтез системы защиты информации.

Организация инфраструктуры защиты информации бизнес-процессов должна производиться в соответствии со следующими принципами:

• системности;

• комплексности;

• непрерывности защиты;

• разумной достаточности;

• гибкости управления и применения;

• простоты применения защитных мер и средств.

На основе сформулированных принципов, с учетом типовых требований к инфраструктуре защиты разработана концептуальная модель инфраструктуры защиты информации бизнес-процессов, показанная на рис.1.

Данная модель раскрывает основные функциональные возможности инфраструктуры защиты информации с учетом внешних негативных воздействий на информационные ресурсы.

С другой стороны, для реализации основной функции (обеспечить защиту), учитывая характер возможных угроз, система

Внешние приложения

Администратор СЗИ

1-------1

Подсистема

управления

доступом

Подсистема регистрации и учета

I Подсистема 1 обеспечения целостности

Информационная

система

Рис. 1. Концептуальная модель инфраструктуры защиты информации бизнес-процессов

№2 2006

защиты информации должна обладать определенными свойствами, что отражено в нотациях иМ1_ (универсального языка моделирования).

Математически это может быть сформулировано в следующем виде:

(1)

R =\K'' r<

ieN

1 K = 1,

(2)

где:

Я — обобщенный показатель оценки качества инфраструктуры защиты информации (обобщенный коэффициент защищенности, показывающий уровень отражения атак по всей совокупности возможных угроз);

Г — 1-й частный показатель оценки качества инфраструктуры защиты информации (частный коэффициент защищенности, показывающий, какая часть атак угрозы /-го вида отражается), 0 < / < 1;

N — множество частных показателей оценки качества, сводимых в обобщенный показатель;

К — весовой коэффициент /-го частного показателя качества в аддитивной свертке.

Коэффициент защищенности бизнес-процесса Яс может быть представлен выражением:

I Pb 1^^ь(1- r)

beB i^Nb

1 Pb 1 b btb

beB ieNb

(3)

рЬ— вероятность выполнения бизнес-операции Ь в бизнес-процессе.

Постановка задачи оптимизации предполагает использование модели минимизации затрат на инфраструктуру защиты информации и модели максимизации уровня защищенности информационных активов.

Модель минимизации затрат на инфраструктуру защиты информации может быть представлена в виде задачи целочисленного программирования с булевыми (двоичными) переменными.

Пусть х=1, если /-е средство защиты информации разработчик выбирает для защиты у-го информационного актива и Ху=0 — в противном случае (при этом допускается, что /-е средство используется для защиты от /-й угрозы). Требуется минимизировать затраты:

S = 11 Sfxf + 1 Slyl--------> min

iel jeJ iel

при соблюдении ряда ограничений: 113jrjXj> Rd0p

iel jeJ

1 xn = 1, Vj e J

i el

[1, если 1 xH > 0

yi=

jeJ

|_0, в противном случае Xj e{0;1}

(4)

(5)

(6)

(7)

(8)

где:

Nb — количество наиболее вероятных информационных угроз для Ь-й бизнес-операции;

г/ — коэффициент защищенности от /-й угрозы;

X* — интенсивность потока атак /-го вида угроз на Ь-ю бизнес-операцию (/ е NЬ), для ЫNb X* = 0;

?Ь — время выполнения Ь-й бизнес-операции;

В — количество бизнес-операций в бизнес-процессе;

В модели (4) — (8) приняты следующие обозначения:

Бу — затраты на защиту у-го информационного актива /-м средством;

Б/— затраты, общие для всех информационных активов, на защиту /-м средством;

I — множество средств защиты информации;

J — множество защищаемых информационных активов;

Гу — оценка качества защиты I- м средством у-го информационного актива;

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

Sj — весовой коэффициент /-го информационного актива в общей оценке инфраструктуры защиты информации,

I а, = 1; (9)

/ eJ

Rdop — допустимый уровень качества инфраструктуры защиты информации в целом;

у — двоичная переменная, принимающая значение «1», если i-е средство защиты информации может быть использовано в инфраструктуре защиты информации, и «0» — в противном случае, причем i-е средство защиты в системе может быть использовано только один раз.

Ограничение (6) обеспечивает обязательность защиты /-го информационного актива.

Модель максимизации уровня защищенности информационных активов описывает альтернативную задачу по отношению к раннее рассмотренной исходной задаче. В этом случае ограничение на уровень качества защиты информации становится критерием, а критерий исходной задачи — ограничением.

R = 11 ajrjjxjj---> max (10)

jei j eJ

Таким образом, в данной модели требуется максимизировать уровень качества системы защиты информации (СЗИ) при соблюдении следующих ограничений:

S = 11 SjjXjj +1 Sy < Sdop (11)

jei jeJ iei

1 x,= 1, У, e J (12)

jei

[1, если 1 x , > 0 y, = \ jeJ j (13)

[0, в противном случае

Xj e{ 0;1} (14)

где Sdop — допустимая стоимость системы

защиты информации.

Выбор оптимальной системы защиты информации должен основываться только

на множестве недоминированных вариантов. Иными словами, увеличение затрат на защиту информации должно сопровождаться повышением качества защиты.

Целесообразно совместное использование предлагаемых моделей. Так, при ограничении на допустимые затраты на защиту может быть найдено максимальное значение качества инфраструктуры защиты информации. Однако в некоторых случаях эта задача может иметь не одно, а несколько решений (профилей защиты). Для выбора из числа найденных оптимальных решений того решения, которое требует минимальных затрат на защиту, следует решить вторую задачу. В ней в качестве ограничения должно присутствовать найденное в первой задаче значение качества инфраструктуры защиты информации.

В концептуальной модели инфраструктуры защиты информации предусмотрено, что наряду с реализацией основных функций защиты, определяемых типовыми требованиями, система должна обладать свойствами, обеспечивающими защиту от основных угроз. Следовательно, система показателей информационной безопасности должна базироваться на оценке свойств системы защиты. При этом система показателей должна обеспечивать оценку как по частным свойствам, так и комплексную оценку информационной безопасности в целом, что показано на рис.2.

Анализ информационной инфраструктуры бизнес-процессов, условий их реализации, а также вероятных угроз позволил сформировать систему показателей информационной безопасности бизнес-процессов, представленную на рис. 3.

Наряду с количественной оценкой защищенности бизнес-процессов необходимо учитывать ценность информационных ресурсов бизнес-процессов. Оценка инфраструктурной части промышленного предприятия должна являться составной частью оценки бизнеса в целом. Для учета специфики российских компаний оценку стоимости информационных активов целе-

№2 2006

Защита от

нсд

Защита от перехвата при передаче

Защита от случайных помех и сбоев

Защита от информационного вмешательства в бизнес-процесс

Обобщенный показатель защищенности от НСД

Обобщенный

показатель

перехвата

Обобщенный показатель защищенности от помех и сбоев

Обобщенный показатель защищенности от вмешательства

Оценить \ защищенность Имитировать работу СЗИ

і

Комплексный показатель защищенности Имитационная модель функционирования СЗИ

Рис. 2. Взаимосвязь обобщенных показателей защиты информации и комплексного показателя информационной защищенности бизнес-процессов

Вероятность несанкционированного доступа (НСД) к информации

Основные показатели информационной безопасности

Вероятность

перехвата

Вероятность уничтожения (повреждения) при сбоях

Вероятность несанкционированного вмешательства в бизнес-процесс

- нарушитель из числа штатных сотрудников

- нарушитель из числа посторонних лиц

- перехват E-mail | -сбой

| электропитания

- перехват

телефонного ! - сбой программного

разговора | обеспечения

-перехват носителей І -форс-мажор

информации

- корректировка бизнес-планов

- корректировка клиентской базы

-корректировка

договоров

-вмешательство в ценовую политику

Рис. 3. Основные показатели информационной безопасности

сообразно проводить затратным методом. При этом обычно выделяют единовременные и текущие затраты. К единовременным относятся затраты на формирование политики безопасности предприятия: организационные затраты и затраты на приобретение и установку средств защиты. Неизбежные затраты — это те, которые необходимы даже если уровень угроз бе-

зопасности достаточно низкий. Это затраты на поддержание достигнутого уровня защищенности информационной среды предприятия.

Общие затраты на безопасность складываются из затрат на предупредительные мероприятия, затрат на контроль и восполнение потерь (внешних и внутренних). С изменением уровня защищенности инфор-

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

мационной среды изменяются величины составляющих общих затрат и, соответственно, их сумма — общие затраты на безопасность. В ряде случаев не включаются единовременные затраты на формирование политики информационной безопасности предприятия, если такая политика уже выработана.

При оценке затрат на систему безопасности на любом предприятии необходимо учитывать процентное соотношение общих затрат на безопасность и общего объема продаж.

Основным показателем экономической эффективности затрат на инфраструктуру защиты информации промышленного предприятия, как любого инвестиционного проекта, является чистая приведенная стоимость (ЫРУ) в заданный период времени Т

NPV = h

t =1

Aif (R) -Aoft (R) (1 + E )t

(15)

где:

Aif (R) — изменение входного денежного потока в t-й подпериод с учетом проведения мероприятий по защите информации;

Aoft(R) — изменение выходного денежного потока с учетом проведения мероприятий по защите информации;

КЯ — внеоборотные и оборотные информационные активы инфраструктуры защиты информации;

Е — годовая норма прибыли на капитал.

Организация инфраструктуры защиты информации на промышленном предприятии влияет на результаты его хозяйственной деятельности и должна отвечать следующим граничным условиям (табл.1), где:

АРГ(Я) — годовой прирост прибыли в результате мероприятий по защите информации;

Рг (Я) — прибыль при условии проведения мероприятий по защите информации за год;

РГ — прибыль в условиях отсутствия защиты информации (базовый вариант) за год; СЯ — годовые эксплуатационные затраты на защиту информации;

Ерг — стоимость производственных фондов;

РУТ — прогнозная стоимость предприятия в Т-й год (базовый вариант) в условиях отсутствия мероприятий по защите информации;

АРУТ (Я) — прогнозная стоимость предприятия с учетом проведения мероприятий по защите информации;

Таблица 1

Граничные условия эффективности затрат на инфраструктуру

защиты информации

Основные показатели хозяйственной деятельности предприятия Граничные условия

Прибыль годовая Ar (R) ^ Cr + E ■ Kr

Стоимость предприятия h ift + Aif (R) - of - Aof (R) + PVT + APVT(R) ^ = ift - of + PVT h (1 + E )t (1 + E )T ~ 1=1(1 + E )t (1 + E )T

Рентабельность Pr + APr (R) - CR ^ Pr Fpr + KR Fpr

№2 2006

ift — входной денежный поток; oft — выходной денежный поток;

Aift — изменение входного денежного потока в t-й год с учетом проведения мероприятий по защите информации;

Aoft — изменение выходного денежного потока в t-й год с учетом проведения мероприятий по защите информации.

Качественный уровень формируемой инфраструктуры защиты информации на промышленном предприятии определяется комплексным показателем информационной защищенности, построенным на основе оптимизации частных показателей информационной защищенности.

В соответствии с концептуальной моделью принципиальная задача формирования инфраструктуры защиты информации на промышленном предприятии может быть сформулирована в двух постановках:

R > Rtr;

S ^ min, (16)

R ^ max;

где Я — комплексный показатель информационной защищеннос-

ти, Яг — показатель информационной защищенности требуемого уровня, в — ресурсы на защиту информации в стоимостном выражении, ЗсСор — допустимая стоимость системы защиты информации.

Очевидно, что целям создания надежной инфраструктуры защиты информации соответствует постановка (16), т. к. именно она обеспечивает требуемый уровень информационной защищенности бизнес-процессов. При этом предполагается, что выделяемые ресурсы будут, по возможности, минимизированы, но их в любом случае будет достаточно для обеспечения условия Я > Яг.

Однако практика показывает, что построение инфраструктуры защиты инфор-

мации проходит, как правило, в условиях фиксированного выделения финансовых ресурсов, что в общем случае может и не обеспечить требуемый уровень защищенности. Поэтому задача формирования инфраструктуры защиты информации заданного уровня может быть сформулирована на основе синтеза постановок (16)-(17). В этом случае имеет место поэтапное решение задачи.

В каждом отдельном случае (на каждом конкретном предприятии) стоимость (ценность) информационных активов, а следовательно, и ущерб от реализации информационных угроз могут различаться в абсолютных значениях, однако это не значит, что относительная ценность информационных активов для каждого отдельного предприятия различна. Поэтому комплексный показатель информационной защищенности, смысл которого заключается в средневзвешенной вероятности отражения информационных угроз, может иметь вполне определенное значение.

Комплексный показатель информационной защищенности в интервалах, установленных методом половинного деления, может быть определен на основании данных табл. 2.

В соответствии с концептуальной моделью инфраструктуры защиты информации бизнес-процессов, на основе структуры свойств и системы показателей информационной безопасности разработаны модели оценки и оптимизации инфраструктуры защиты информации бизнес-процессов, взаимосвязь которых показана на рис. 4

Данная совокупность моделей располагается на двух уровнях: на уровне показателей защищенности и на уровне комплексной оценки и оптимизации. Модели уровня показателей защищенности реализуют оценку частных показателей информационной безопасности. Модели уровня комплексной оценки и оптимизации предназначены для:

• формирования комплексного показателя защищенности;

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

Таблица 2

Характеристика значений комплексного показателя информационной

защищенности

Значение комплексного показателя информационной защищенности (Я) Характеристика состояния системы информационной безопасности

Менее 0,50 Слабая защита Блокируется незначительная часть угроз. Потери очень значительны. Фирма за короткий период (до года) теряет положение на рынке. Для восстановления положения требуются крупные финансовые займы.

0,51-0,75 Средняя защита Неотраженные информационные угрозы приводят к значительным потерям положения фирмы на рынке и в прибыли. Фирма теряет существенную часть клиентов.

0,76-0,87 Повышенная защита Блокируется значительная часть угроз. Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и количество клиентов изменяются незначительно.

0,88-0,95 Сильная защита Ущерб от реализации угроз не затрагивает положение фирмы на рынке и не приводит к нарушению финансовых операций.

0,96-0,98 Очень сильная защита Раскрытие информации принесет ничтожный экономический ущерб фирме.

0,99-1 Особая защита Отражаются практически все информационные угрозы.

Уровень комплексной оценки и оптимизации

Уровень показателей защищенности

Рис. 4. Взаимосвязь моделей оценки и оптимизации инфраструктуры защиты информации

№2 2006

• имитации функционирования инфраструктуры защиты информации;

• оптимизации и выбора варианта инфраструктуры защиты информации.

Структура комплекса моделей отражает взаимосвязь и влияние отдельных компонент в процессе оценки, оптимизации и выборе инфраструктуры защиты информации.

В частности, модели уровня показателей защищенности являются первоначальными для указанного процесса. Исходные данные для этих моделей, как показано на рис. 3, являются исходными данными для имитационной модели, которая, наряду с моделью формирования комплексного показателя, является центральной на уровне комплексной оценки и оптимизации.

В соответствии с концептуальной моделью разработан метод получения комплексной оценки информационной защищенности бизнес-процессов.

Одним из основных законов развития систем защиты информации является взаимосвязь показателей. При изменении одного показателя, даже наиболее важного, его влияние на рост обобщенного показателя постепенно затухает из-за ограничений, создаваемых другими показателями, которые остаются неизменными. Постоянный темп роста обобщенного показателя может иметь место при одновременном и пропорциональном изменении всех показателей, входящих в систему. Значит, если оценивается уровень конкретной инфраструктуры защиты информации с определенными значениями показателей, то каждый из них имеет постоянную весомость. Если в новой инфраструктуре защиты информации, по сравнению с базовой, изменен хотя бы один показатель, то изменяются весомости всех показателей, входящих в иерархию. Из системологии известно, что описанное выше явление затухания влияния одного показателя на обобщенный обычно характеризуется показательными или экспоненциальными зависимостями, имеющими участок насыщения. С учетом изложенного получено выражение для

расчета комплексного показателя информационной защищенности.

%

0 _

П г

2Р

(18)

где N — число показателей, находящихся на нижнем уровне иерархии;

К — коэффициент весомости показателя /-го свойства.

Отличительной чертой разработанного метода является то, что коэффициенты весомости не рассматриваются как постоянные величины. Действительно, чем труднее обеспечить заданное значение показателя, тем важнее его роль. Чем ближе показатель к своему предельному значению, тем меньше его весомость.

Сформулированная оптимизационная задача направлена на решение вопроса определения порядка оптимизации частных показателей защищенности от потенциальных угроз, т. е. какие показатели и насколько должны быть улучшены, как эти изменения в целом повлияют на уровень информационной безопасности бизнес-процессов. Для этого необходимо исследовать функцию многих переменных, чтобы определить, как изменение одного из аргументов Г; влияет на функцию и найти такое свойство, показатель которого при изменении его на некоторую величину 5 дает наибольший прирост функции защищенности АН0. Поставленная задача относится к классу задач оптимизации проектно-конструкторских решений. Для ее разрешения удобно использовать хорошо известный метод наискорейшего градиентного подъема. При этом градиент функции защищенности определяется из выражения:

дтаа'Оо) _

дО дЯп

дЯп

дг1 ’ дг2

дг ■ <19) Г д2 д1п /

Исследование частных приращений функции защищенности и ранжирование показателей по наибольшему приросту определяют порядок их оптимизации, как показано на рис. 5. Расчеты были выполнены с помощью специального программного

/_1

! _1

к

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

средства, разработанного на базе языка MS Visual C++.

Для комплексной оценки предлагаемых мер и средств защиты информации бизнес-процессов разработана имитационная модель. Данная модель реализует имитацию атак на информационную инфраструктуру бизнес-процессов в соответствии с общей концептуальной моделью. В то же время

указанная модель является структурным элементом схемы взаимосвязей показателей защищенности.

Попытки возможных атак имитируются в виде дискретно поступающих транзак-тов, целью которых является захват некоторого информационного ресурса. Такими ресурсами могут быть бухгалтерские, коммерческие, финансовые элементы инфор-

График выбора оптимальных показателей

1,000000

0,800000

0,600000

0,400000

0,200000

0,000000

0,956000 0,813440

0,812000

0,494000 0,497180

0,004940

0,9564440

R1

R2

R3

R4

Рис. 5. Пример последовательности оптимизации показателей информационной защищенности

№2 2006

мации, документы планирования, а также информация, циркулирующая в сети организации.

Совокупность поступающих транзактов создает входные потоки попыток атак на объекты защиты. При этом существенными свойствами потоков являются:

• тип источника атаки;

• время поступления транзактов-атак, подчиняющееся заданному закону распределения;

• максимально возможное число атак;

• время поступления первого транзак-та-атаки;

• число одновременно поступающих транзактов-атак.

Основные ограничения и допущения, принятые в модели:

• предполагается, что возможны все описанные в концептуальной модели типы угроз (несанкционированный доступ к информации, перехват информации при ее передаче (получении), уничтожение (повреждение) информации в результате различных видов сбоев в информационной инфраструктуре, несанкционированное вмешательство в бизнес-процесс);

• каждая атака может иметь целью любой информационный ресурс или их комбинацию;

• потоки транзактов-атак являются пу-ассоновскими с известными законами распределения времени между двумя транзак-тами потока;

• время захвата информационного ресурса является случайной величиной с известным законом распределения;

• величина возможного ущерба в случае доступа на определенное время к конкретному информационному ресурсу является константой.

Имитационная модель реализована в системе Arena 8.0 Professional и структурно состоит из блока имитации субъектов защиты, имитирующего нагрузку атак, блока имитации мер и средств защиты, имитирующего функционирование этих средств, и блока имитации объектов защиты, ими-

тирующего доступ к информационным ресурсам в случае преодоления мер и средств защиты.

При этом блок имитации мер и средств защиты реализован в виде следующих модулей:

• защиты от НСД к информации;

• защиты от перехвата информации;

• защиты от сбоев;

• защиты от вмешательства в бизнес-процесс.

Существенно, что в модели реализован механизм оценки рисков, характеризующий ущерб от «захвата» соответствующих информационных ресурсов. Механизм основан на методах управления рисками промышленного предприятия. В данном случае ущерб определяется в зависимости от количества удавшихся попыток, типа и времени «захвата» информационного ресурса, его ценности в информационной инфраструктуре бизнес-процесса.

Основными выходными параметрами имитационной модели являются:

■ число удавшихся попыток атак на информационную инфраструктуру бизнес-процессов;

■ коэффициент доступа к каждому типу информационного ресурса;

■ суммарный риск, характеризующий величину ущерба от удавшихся попыток атак.

Для решения практических задач синтеза системы защиты информации разработаны инструментальные методы организации информационной инфраструктуры защиты бизнес-процессов. В частности, разработан математический алгоритм сравнения вариантов системы защиты информации, который представляет собой ряд последовательных этапов, обеспечивающих отбор подмножества недоминируемых вариантов и выявление лучшего.

Предложена система мониторинга защиты информационных активов предприятия, представляющая собой комплекс мер и мероприятий (организационных, технических и правовых), направленных на проведение наблюдений, оценки и

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

прогноза изменений в информационной инфраструктуре и ее компонентах.

Как показывает опыт практической работы [1], для эффективной защиты автоматизированной системы организации необходимо решить ряд организационных задач:

• создать специальное подразделение, обеспечивающее разработку правил эксплуатации автоматизированной системы, определяющее полномочия пользователей по доступу к ресурсам этой системы, осуществляющее административную поддержку технических средств защиты информации (правильную настройку, контроль и оперативное реагирование на поступающие сигналы о нарушениях установленных правил доступа, анализ журналов регистрации событий безопасности и т. п.);

• разработать технологию обеспечения информационной безопасности, предусматривающую порядок взаимодействия подразделений организации по вопросам обеспечения безопасности при эксплуатации автоматизированной системы и модернизации ее программных и аппаратных средств;

• внедрить данную технологию путем разработки и утверждения необходимых нормативно-методических и организационно-распорядительных документов (концепций, положений, инструкций и т. п.).

Применение дополнительных средств защиты информации затрагивает интересы многих структурных подразделений организации. Не столько даже тех, в которых работают конечные пользователи автоматизированной системы,сколько подразделений, отвечающих за разработку, внедрение и сопровождение прикладных задач, за обслуживание и эксплуатацию средств вычислительной техники. Поэтому разрабатываемая технология должна обеспечивать:

• дифференцированный подход к защите различных автоматизированных рабочих мест (АРМ) и подсистем (уровень защищенности должен определяться с позиций разумной достаточности с учетом важности обрабатываемой информации и решаемых задач);

• унификацию вариантов применения средств защиты информации на АРМ с одинаковыми требованиями к защите;

• реализацию разрешительной системы доступа к ресурсам автоматизированной системы (АС);

• минимизацию, формализацию (в идеале автоматизацию), реальную выполнимость рутинных операций и согласованность действий различных подразделений по реализации требований разработанных положений и инструкций, не создавая больших неудобств при решении сотрудниками своих основных задач;

• учет динамики развития автоматизированной системы, регламентацию не только стационарного процесса эксплуатации защищенных подсистем, но и процессов их модернизации, связанных с многочисленными изменениями аппаратно-программной конфигурации АРМ;

• минимизацию необходимого числа специалистов отдела защиты информации.

Для внедрения технологии обеспечения информационной безопасности корпоративных бизнес-процессов необходимо разработать:

• Концепцию обеспечения информационной безопасности. Данный документ определяет общую систему взглядов в организации на проблему защиты информации в АС и пути решения этой проблемы с учетом накопленного опыта и современных тенденций ее развития.

• Положение о категорировании. Данный документ определяет порядок катего-рирования защищаемых ресурсов и требования по защите ресурсов различных категорий.

• План защиты АС. Данный документ определяет комплекс конкретных организационно-технических мер по защите информации, а также незаконного вмешательства в процесс функционирования конкретной АС. План защиты включает описание технологии обработки данных в защищаемой подсистеме, анализ угроз и оценку риска нанесения ущерба, правила эксплуатации

№2 2006

системы, необходимый набор инструкций должностным лицам (инструкция пользователю АС, инструкция администратору безопасности АС и т. д.), определяет порядок взаимодействия подразделений и должностных лиц при внесении изменений в списки пользователей и программно-аппаратную конфигурацию АРМ, а также определяет распределение обязанностей и порядок составления, ведения и использования формуляров защищаемых ресурсов (информации, АРМ, задач и программных средств) в процессе развития АС.

Для решения указанных задач необходимо определить информационную инфраструктуру защиты, т. е. осуществить синтез данной системы, основываясь на общей инфраструктуре бизнес-процессов. Для примера реализации разработанной методологии рассмотрена отечественная фирма (далее Компания), специализирующаяся на поставке продуктов питания, пищевых добавок и оборудования для пищевой промышленности.

В результате анализа деятельности Компании были выявлены шесть базовых технологий работы и четыре общих, а также выделены четыре перспективных технологии работы Компании.

К базовым технологиям относятся:

• поставка оборудования;

• поставка пищевых добавок и продуктов питания импортного производства;

• поставка и внедрение упаковки;

• гарантийное и техническое обслуживание оборудования;

• выдача лицензий;

• разработка технических условий.

Общие технологии — это функциональные модули, описывающие законченный процесс, который повторяется не менее чем в двух базовых технологиях и существует только совместно с ними.

Общие технологии, являющиеся неотъемлемыми частями базовых, включают:

• консультирование;

• растаможивание/ затаможивание товаров;

• рекламу и маркетинг;

• сертификацию.

Текущий этап развития информационной системы Компании предусматривает автоматизацию консультирования, сертификации, а также рекламы и маркетинга.

С учетом стратегии развития деятельности Компании, перспективными технологиями ее работы являются:

• строительство производственных мощностей;

• производство продуктов питания;

• контроль качества продукции;

• реализация продуктов питания собственного производства.

Технологии работы определяются характером деятельности Компании и существуют независимо от ее организационноштатной структуры. Каждая технология работы состоит из последовательно и параллельно выполняющихся функций, которые могут различным образом конфигурироваться под любого исполнителя и любое должностное лицо посредством механизма полномочий. Полномочия регулируют доступ пользователей к прикладным задачам, к информации базы данных и к обобщенным данным, характеризующим состояния процессов деятельности Компании.

Прикладная задача представляет собой программный модуль, поддерживающий некий логически законченный процесс, направленный на учет данных и облегчение выполнения пользователями их обязанностей в рамках технологии работы. Любая технология работы Компании включает несколько прикладных задач, логически увязанных между собой путем использования в каждой следующей прикладной задаче результатов задач предыдущих, хранящихся в корпоративной базе данных.

В качестве примера приведем прикладные задачи по базовой технологии поставки оборудования. К ним относятся:

• учет клиентов Компании (поддержание справочника клиентов в актуальном состоянии);

Е. В. Стельмашонок

Организация информационной защиты бизнес-процессов

№2 2006

• учет оборудования и его спецификаций (поддержание справочника оборудования в актуальном состоянии);

• подготовка прайс-листов на оборудование;

• учет заявок на закупку оборудования;

• подготовка коммерческих предложений;

• поддержка процесса согласования с клиентом предмета сделки;

• формирование, учет и контроль исполнения бизнес-плана на поставку оборудования;

• формирование, учет и контроль схемы оплаты за оборудование;

• формирование схемы линии (перечень требуемого оборудования);

• формирование, учет и контроль состояний договоров (приложений) на поставку, производство, сертификацию, доставку и страхование оборудования;

• обеспечение расчетов с клиентами компании;

• учет информации и документов по этапам поставки оборудования (заказ оборудования, производство, сертификация, страхование, доставка, монтаж, наладка, сдача в эксплуатацию и обучение персонала заказчика выпуску на нем продукции);

• учет платежей клиентов компании;

• поддержка процесса гарантийного обслуживания;

• подготовка материалов, поддерживающих процесс обучения;

• поддержка документооборота между автоматизированными рабочими местами должностных лиц.

Информационная система Компании представляет собой разветвленную сеть, объединяющую локальные и удаленные рабочие места пользователей. Основными элементами ИС являются:

• локальная вычислительная сеть (ЛВС) центрального офиса Компании;

• ЛВС филиала;

• интегрированная база данных.

ЛВС Центрального офиса Компании и филиала реализуется на основе архитектуры «клиент/сервер», объединяющей ав-

томатизированные рабочие места сотрудников служб и подразделений.

Группы автоматизированных рабочих мест выделяются по функциональному признаку, с учетом выполнения выделенных базовых, общих и перспективных бизнес-процессов, перспективной организационной структуры Компании и ориентируются на дерево функций перспективной деятельности Компании.

В состав информационной системы Компании включены следующие АРМ:

• АРМ руководителя:

□ директора,

□ заместителей директора (начальников служб);

• АРМ коммерческой службы:

□ группы оборудования,

□ группы пищевых добавок,

□ группы упаковки,

□ отдела продуктов питания,

□ группы ВЭС и растаможивания;

• АРМ технической службы:

□ группы ТУ и патентов,

□ группы сертификации,

□ группы рекламы и маркетинга;

• АРМ финансовой службы:

□ бухгалтера,

□ финансового отдела,

□ экономического отдела;

• АРМ службы обеспечения:

□ юриста,

□ специалиста по работе с персоналом,

□ общего отдела,

□ отдела безопасности,

□ отдела информатизации;

• АРМ службы логистики:

□ службы клиентов,

□ транспортного отдела,

□ склада;

• АРМ службы производства:

□ службы технического обслуживания,

□ группы строительства,

□ производственного отдела,

□ группы качества продукции.

№2 2006

В процессе выполненного объединения потоков входящих и исходящих документов сформированы четыре типовые группы документов:

• договорные документы;

• первичные бухгалтерские документы;

• документы поддержки бизнес-процессов;

• отчетные документы.

Каждая группа документов в зависимости от технологии работы характеризуется уникальным, присущим только ей перечнем документов. Например, для технологии поставки оборудования входящими и исходящими документами будут следующие:

• договорные документы;

• первичные бухгалтерские документы;

• документы поддержки бизнес-процессов.

Процедуры документооборота предназначены для автоматизации процессов разработки, согласования и исполнения документов между службами и должностными лицами Компании. Каждая процедура документооборота определяет схему взаимодействия АРМ по каждой группе входящих и исходящих документов, а также этапность и направленность действий исполнителей и должностных лиц.

По результатам имитационного моделирования может быть построено выражение для определения комплексного показателя защищенности:

Я = 0,144Р + 0,494Р + 0,318Р ,

’ нсл > пепехвятя 1 сбоя

перехвата

+ 0,043Р .

’ вмешательства

Кортеж значимости частных показателей защищенности имеет вид:

г ^ г ^ г ^ г

рвгвЬуа! вЬо! пэС утввЬа!

где:

Грегега — показатель защищенности от перехвата информации,

гзьо1 — показатель защищенности от уничтожения (повреждения) информации при сбоях,

гп,зс1 — показатель защищенности от несанкционированного доступа,

гтпезШ — показатель защищенности от несанкционированного вмешательства в бизнес-процесс.

Если задано (обосновано) требуемое значение коэффициента информационной защищенности, то текущее значение Я должно быть не ниже Яг. В противном случае необходима оптимизация показателей защищенности.

Результаты имитационного моделирования показали, что моделируемая система защиты обеспечивает уровень защищенности не выше 0,4, а с учетом статистической обработки данных математическое ожидание коэффициента информационной защищенности составляет всего лишь 0,63. Интерпретация указанных значений позволяет сделать вывод о том, что данные значения не обеспечивают гарантированного уровня защищенности.

В случае необходимости обеспечения требуемого уровня защищенности не ниже 0,9 последовательность оптимизации частных составляющих коэффициента защищенности будет иметь вид, показанный на рис. 7.

Для обеспечения комплексного показателя защищенности на уровне не ниже 0,9 порядок оптимизации частных показателей должен быть следующим:

1) первым оптимизируемым показателем должен быть показатель защищенности от перехвата до значения Я=0,494;

2) следующим оптимизируемым показателем должен быть показатель защиты от сбоев до уровня Я=0,812;

3) третьим оптимизируемым показателем должен быть показатель от НСД до значения Я=0,9.

При необходимости дальнейшего повышения уровня защищенности оптимизация Я может осуществляться за счет показателя защищенности от вмешательства в бизнес-процесс.

Литература

1. Гайкович В., Ершов Д. Основы безопасности информационных технологий. — М.: МИФИ, 1995.

Е. В. Стельмашонок