Оценка эффективности системы защиты информации автоматизированных систем управления Текст научной статьи по специальности «Компьютерные и информационные науки»

Библиографические ссылки

1. Капто А. С. Кибервойна: генезис и доктри-нальные очертания // Вестник Российской академии наук. 2013. Т. 83, № 7. С. 616-625.

2. Исаев С. В. Анализ динамики интернет-угроз сети Красноярского научного центра СО РАН // Вестник СибГАУ. 2012. Вып. 3 (43). С. 20-25.

References

1. Kapto A. S. Kiberwoina: genesis i doktrinalnye ochertaniya // Vestnik rossiiskoi akademii nauk. 2013, Tom 23, № 7 , рр. 616-625.

2. Isaev S. V. Analiz dinamiki internet-ugroz seti Krasnoyarskogo nauchnogo centra SO RAN. Vestnik SibGAU. 2012, № 3 (43), рр. 20-25.

© Исаев С. В., 2013

УДК 001.891.572

ОЦЕНКА ЭФФЕКТИВНОСТИ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ АВТОМАТИЗИРОВАННЫХ СИСТЕМ УПРАВЛЕНИЯ

И. В. Кадушкин1, В. Н. Мухин2

1 Федеральное государственное казенное учреждение «3 Центральный научно-исследовательский институт»

Министерства обороны Российской Федерации Россия, 107564, г. Москва, Погонный пр-д, 10. E-mail: [email protected]

2ОАО «Научно-производственное предприятие «Рубин» Россия, 440000, г. Пенза, ул. Байдукова, 2. E-mail: [email protected]

Предложен методический подход по оценке эффективности систем защиты информации. Рассмотрена возможность применения указанного метода в автоматизированных системах управления.

Ключевые слова: защита информации, автоматизированная система управления, информационные и программные ресурсы.

EFFICIENCY ESTIMATION OF INFORMATION PROTECTION SYSTEMS OF AUTOMATED CONTROL SYSTEMS

I. V. Kadushkin1, V. N. Muhin2

federal state government institutions "3 Central Research Institute" Ministry of Defence of the Russian Federation 10, Pogonnyi pr-d, Moscow, 107564, Russia. E-mail: [email protected] 2Joint-Stock Company "Scientific-Industrial Enterprise "Rubin" 2, Baidukova str., Penza, 440000, Russia. E-mail: [email protected]

The methodical approach to assess the effectiveness of information security systems is proposed. The possibility of applying the method specified in automated control systems is assumed.

Keywords: information security, automated control system, information and program resources.

В настоящее время в Российской Федерации практической основой обеспечения защищенности ряда АСУ остается выполнение требований руководящего документа «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» (Гостехкомиссия России, 1992 г.). В общем случае комплекс программно-технических средств и организационных (процедурных) решений по защите информации от НСД реализуется в рамках системы защиты информации от НСД (СЗИ НСД), условно состоящей из следующих четырех подсистем:

- управления доступом;

- регистрации и учета;

- криптографической;

- обеспечения целостности.

Указанный документ содержит общие критерии оценки безопасности АСУ. Данные критерии дают возможность сравнения результатов независимых оценок безопасности. Это достигается предоставлением общего набора требований к функциям безопасности и к мерам доверия, применяемым к ним во время оценки безопасности. В процессе оценки достигается определенный уровень уверенности в том, что функции безопасности таких систем, а также предпринимаемые меры доверия отвечают предъявляемым требованиям.

Результаты оценки помогут потребителям решить, являются ли системы достаточно безопасными для их предполагаемого применения и приемлемы ли прогнозируемые риски при их использовании.

Методы и средства защиты информации

Комплекс оценки качества функционирования информационных систем (свидетельство Роспатента № 2000610272)

Однако необходимо акцентировать внимание заказчиков и разработчиков, что данный документ - это один из множества важных и взаимосвязанных документов в области безопасности информационных технологий, а выполнение его требований - это лишь необходимое, но далеко не достаточное (!) условие информационной безопасности.

Самое главное - методология количественной оценки рисков заказчика, их прагматический анализ и количественные нормативы требуемой защищенности систем - остаются за пределами стандартов, хотя именно подобные расчеты представляются наиважнейшими с точки зрения системного анализа и обретения количественной уверенности в достигаемой информационной безопасности применительно к тем или иным сценариям эксплуатации систем.

В развитие указанного руководящего документа специалистами 3 Центрального научно-исследовательского института МО РФ был разработан ГОСТ РВ 51987-2002 [1; 2], предлагающий как обязательные вероятностные показатели безопасности информации и формулировки требований, так и модели для оценки степени достигаемой безопасности. Для различных сценариев функционирования систем это позволит решать практические вопросы оценки, оптимизации и управления рисками.

Для количественной оценки эффективности средств контроля и восстановления целостности информационных и программных ресурсов АСУ предлагается использование модели для оценки защищенности системы от опасных программно-технических воздействий [2], поддерживаемой комплексом оценки качества функционирования информационных систем (свидетельство Роспатента № 2000610272) [3].

Таким образом, применение указанного методического подхода позволяет решить следующие актуальные задачи:

- проведение прагматического анализа систем и средств защиты информации;

- определение количественных нормативов требуемой защищенности автоматизированных систем управления.

Подобные расчеты представляются наиважнейшими с точки зрения системного анализа и обретения количественной уверенности в достигаемой информационной безопасности применительно к тем или иным сценариям эксплуатации систем.

Библиографические ссылки

1. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации : руководящий документ / Гостехкомиссия России. М. : Военное издательство, 1992.

2. ГОСТ РВ 51987-2002. М. : Издательство стандартов, 2002.

3. Безкоровайный М. М., Костогрызов А. И., Львов В. М. Инструментально-моделирующий комплекс для оценки качества функционирования информационных систем «КОК» : монография. 2-е изд. М. : Вооружение. Политика. Конверсия. 2002. 305 с.

References

1. Rukovodjashii dokument «Avtomatizirovannye sistemy upravlenija. Zashchita ot nesankcionirovannogo dostupa k informacii. Klassifikacija avtomatizirovannyh sistem i trebovanija po zashchite informacii» (Guidance

document «Automated systems. Protection from unauthorized access to information. Classification of automated systems and requirements for protection of information»). Мoscow, Voennoe izdatelstvo, 1992.

2. GOST RV 51987-2002. Moscow, Izdatelstvo standartov, 2002.

3. Bezkorovainyi М. М., Kostogryzov А. I., Lvov V. М. Instrumetalno-modeliruyishchij kompleks dlya ocenki kachestva funkcionirovanija informacionnyh sistem (Instrumental-and-modeling system for assessing the quality of information systems «KOK»). Moscow, Voorugenie. Politika. Konversiya. 2002, 305 р.

© Кадушкин И. В., Мухин В. Н. 2013

УДК 691.391

СИСТЕМА АВТОМАТИЗИРОВАННОГО КОНТРОЛЯ ДОСТУПА И УПРАВЛЕНИЯ ПЕРИФЕРИЙНЫМИ УСТРОЙСТВАМИ

И. Н. Кирко, В. П. Кушнир

Сибирский федеральный университет Россия, 660074, Красноярск, ул. Киренского, 26. Е-mail: [email protected]

Проведен анализ существующей информационной системы, разработана модель возможных факторов риска информационной безопасности при использовании периферийных устройств на серверах и рабочих станциях, обоснована необходимость разработки и внедрения системы.

Ключевые слова: контроль доступа, аудит, периферийные устройства.

SYSTEM OF AUTOMATIC ACCESS AND PERIPHERAL DEVICE CONTROL

I. N. Kyrko, V. P. Kushnir

Siberian Federal University 26 Kirenskiy str., Krasnoyarsk, 660074, Russia. Е-mail: [email protected]

The analysis of the current information system has been conducted. The model ofpossible risk factors in information security while using peripheral devices on servers and workstations has been developed. The necessity of further development and implementation of the system is proved.

Keywords: Access Control, Audit, Peripheral Devices.

Система «Контроль-ПУ» представляет собой решение, основанное на программном комплексе (ПК) DeviceLock, разработанном ЗАО «Смарт-Лайн Инк». Система «Контроль-ПУ» допускает использование возможностей ПК DeviceLock в соответствии с потребностями контроля доступа, актуальными для ООО «Элдокрип».

Основные функции проектируемой системы:

1) контроль доступа пользователей к периферийным устройствам (ПУ) и съемным машинным носителям (СМН);

2) аудит доступа пользователей к ПУ и СМН;

3) обеспечение теневого копирования информации, записываемой пользователем на ПУ и СМН;

4) возможность централизованного управления СЗИ;

5) возможность контроля ПУ и СМН при отсутствии соединения с сервером;

6) возможность создавать список доверенных устройств (в том числе и ограниченный по времени);

7) обеспечение защищенного обмена политиками безопасности между рабочими станциями центрального офиса и филиалами компании.

Особенности существующей системы:

- распределенная по городу структура сети;

- 30 рабочих станций, работающих под управлением ОС Microsoft Windows XP Professional SP2;

- обмен информацией между рабочими станциями центрального офиса и филиалами происходит через открытую сеть Internet.

Для обеспечения защищенного обмена политиками безопасности между рабочими станциями центрального офиса и филиалами компании предлагается использовать аппаратно-программный комплекс шифрования «Континент».

Для реализации функций 1-6 предложено использовать средство контроля доступа к устройствам и портам ввода-вывода DeviceLock.

Состав компонентов системы «Контроль-ПУ» определяется составом функциональных компонентов ПК DeviceLock, который включает в себя следующие основные компоненты:

- DeviceLock Service;

- DeviceLock Enterprise Server;

- консоли управления (DeviceLock Management Console, DeviceLock Enterprise Manager).