CC BY
65
УДК 004.054
ОЦЕНКА ЭФФЕКТИВНОСТИ УПРАВЛЕНИЯ СИСТЕМОЙ ЗАЩИТЫ ИНФОРМАЦИИ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ
Алёна Алексеевна Старикова
Управление Федеральной службы по техни ческому и экспортному контролю по Сибирскому федеральному округу, 630091, Россия, г. Новосибирск, ул. Красный пр ., 41, старший государственный инспектор 6-го отдела, тел. (913)007-78-72, e-mail: [email protected]
Диана Георгиевна Макарова
Сибирский государственный университет геосистем и технологий, 630108, Россия, г. Ново си-бирск, ул. Плахотного, 10, ассистент кафедры наносистем и оптотехники, тел. (383)343-91-11, email: [email protected]
Рассматривается процесс оценки эффективности управления системой защиты информации в государственных информационных системах. Оценка эффективности управления системой защиты основана на оценке вероятности своевременного сбора всей необходимой информации для принятия решения. Применение данного способа продемонстрировано на конкретной государственной информационной системе.
Ключевые слова: информация, защита информации, государственные информационные системы, оценка эффективности управления.
EVALUATION OF THE EFFICIENCY OF MANAGING THE INFORMATION PROTECTION SYSTEM IN STATE INFORMATION SYSTEMS
Alyona A. Starikova
The office of the Federal service for technical and export control in the Siberian Federal district, 630091, Russia, Novosibirsk, 41 Krasny Prospect, high state inspector of the 6-th Department, tel. (913)007-78-72, e-mail: [email protected]
Diana G. Makarova
Siberian State University of Geosystems and Technologies, 630108, Russia, Novosibirsk, 10 Plakhotnogo St., Assistant of Nanosystems and Optical Devices Department, tel. (383)343-91-11, e-mail: [email protected]
The process of evaluating the effectiveness of managing the information security system in government information systems is considered. Evaluation of the effectiveness of protection system management is based on the assessment of the probability of timely collection of all necessary information for decision making. The application of this method is demonstrated on a specific state information system.
Key words: information, information protection, state information systems, assessment of management effectiveness.
На сегодняшний день в Российской Федерации приняты нормативные правовые акты, регламентирующие необходимость защиты информации, содержащейся в государственной информационной системе. Федеральный закон (далее - ФЗ) №149 от 27 июля 2006 г. «Об информации, информационных технологиях
и о защите информации» обязывает владельца информации и оператора информационной системы, обеспечивать защиту информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст.14 п.9) путем принятия правовых, организационных и технических мер, направленных на соблюдение конфиденциальности информации ограниченного доступа и реализацию права на доступ к общедоступной информации (ст. 16). В соответствии с ФЗ №149 утверждены требования о защите информации Приказом ФСТЭК России от 11 февраля 2013 г. №17, которые являю тся обязательными к исполнению.
Обеспечение защиты информации, содержащейся в государственных информационных системах (далее - ГИС), заключается в проведении следующих мероприятий:
- формирование требований к защите информации, содержащейся в ГИС;
- разработка системы защиты информации (далее - СЗИ) в ГИС;
- внедрение СЗИ в ГИС;
- аттестация ГИС по требованиям защиты информации и ввод ее в действие;
- обеспечение защиты информации в ходе эксплуатации аттестованной ГИС;
- обеспечение защиты информации при выводе из эксплуатации аттестованной ГИС или после принятия решения об окончании обработки информации.
При этом если формирование требований к защите информации, разработка и внедрение СЗИ, аттестация и ввод в действие ГИС, обеспечение защиты информации при выводе из эксплуатации ГИС, являются краткосрочными процессами относительно всего срока эксплуатации ГИС, то обеспечение защиты информации в ходе эксплуатации ГИС является долгосрочным процессом, осуществляемым оператором системы.
В ходе эксплуатации ГИС перед оператором встают следующие задачи:
- управление СЗИ в ГИС;
- выявление инцидентов и реагирование на них;
- управление конфигурацией ГИС и ее СЗИ;
- контроль за обеспечением уровня защищенности информации, содержащейся в ГИС.
Для контроля за обеспечением защищенности информации, содержащейся в ГИС, на этапе аттестации ГИС осуществляется оценка эффективности СЗИ и на этапе обеспечения защиты информации в ходе эксплуатации ГИС - оценка эффективности управления СЗИ в ГИС.
Таким образом, под оценкой эффективности управления СЗИ в ГИС можно понимать оценку действий оператора, управляющего системой защиты информации в ходе эксплуатации ГИС.
Существует большое количество способов оценки эффективности управления, в основе которых оценка квалификации лиц, принимающих решение, оценка вероятности правильного принятия решения и другие. Так как процесс управления начинается со сбора необходимой информации, то вероятность свое-
временного сбора всей необходимой информации для принятия решения является одним из основных показателей эффективности управления системой защиты информации.
В данной статье предложен способ оценки эффективности управления системой защиты в ГИС, основанный на оценке вероятности своевременного сбора всей необходимой информации для принятия решения.
Оценка вероятности своевременного сбора всей необходимой информации для принятия решения определяется по формуле:
Рсв.инф _ = 1 МСВ.ИНф^ , j = 1' М,
где М - количество ситуаций;
1, если tuj < ^ДОП.И
t > t ; lUJ ^ Lдоп.и
tuj - текущее значение времени, затраченное на сбор всей необходимой информации для принятия решения в j-й ситуации; tÄOT.u - допустимое время на сбор информации.
Управление системой защиты информации осуществляется эффективно при
Рсв.инф — 0,5,
иначе управление системой защиты информации - неэффективно.
Для демонстрации применения способа оценки эффективности управления системой защиты в ГИС, основанного на оценке вероятности своевременного сбора всей необходимой информации для принятия решения, рассмотрена ГИС, состоящая из пяти рабочих станций, сервера базы данных, сервера приложений и веб-сервера, на котором расположен веб -сайт. Рабочие станции, сервер базы данных и сервер приложений объединены в локальную сеть при помощи коммутатора, подключенного к веб-серверу. Веб-сервер имеет доступ к сети Интернет посредством маршрутизатора.
На рабочих станциях в качестве операционной системы используется Windows 7 Professional, также на них установлен пакет офисных программ Microsoft Office 2013. В качестве серверной операционной системы используется операционная система Windows Server 2012 R2.
Для определения количества ситуаций (М) и времени, затраченного на сбор всей необходимой информации для принятия решения (tuj), рассмотрен журнал инцидентов, в котором оператор фиксирует порядковый номер, время выявления, время устранения и краткое описание инцидента.
В табл. 1 приведены данные о произошедших инцидентах в рассматриваемой ГИС.
Согласно инструкции администратора безопасности в рассматриваемой ГИС допустимое время реагирования на инциденты (допустимое время на сбор информации ^оп.и) составляет 1 час с момента выявления инцидента.
McB^,J 1о, если tuJ > tn
Таблица 1
Выписка из журнала инцидентов
№ п.п Время выявления Время устранения Краткое описание
1 13.01.2017 09:07 13.01.2017 09:30 Ввод неверного пароля администратора
2 16.01.2017 09:40 16.01.2017 09:57 Ввод нового пароля, не соответствующего требованиям безопасности
3 17.01.2017 10:02 17.01.2017 10:10 Отключение средства антивирусной защиты
4 17.01.2017 15:20 17.01.2017 15:32 Подключение незарегистрированного ^В-накопителя
5 19.01.2017 13:34 19.01.2017 13:50 Доступ к папке с грифом выше грифа текущей сессии
6 23.01.2017 09:00 23.01.2017 12:15 Окончание срока действия лицензии средства антивирусной защиты
В табл. 2 приведены расчеты необходимые для оценки эффективности управления СЗИ в ГИС.
Таблица 2
Расчеты для оценки эффективности управления СЗИ в ГИС
№ п.п ^цоп.и ММсв.инф,,) М Рсв.инф. Вывод
1 23 мин. 1 ч. 1 6 (1+1+1+1+1+0) Эффективно
2 17 мин. 1 /6=0,84
3 8 мин. 1
4 12 мин. 1
5 16 мин. 1
6 3 ч. 15 мин. 0
Как видно из таблицы 2 управление системой защиты информации в рассматриваемой государственной информационной системе осуществляется эффективно.
В ходе исследования было подсчитано количество ситуаций, на которые отреагировал оператор за время эксплуатации ГИС, определены время, затраченное на сбор всей необходимой информации, и допустимое время на сбор информации. По результатам оценки вероятности своевременного сбора всей необходимой информации для принятия решения был сделан вывод об эффективном управлении системой защиты информации в ГИС.
Применение способа оценки эффективности управления системой защиты информации в ГИС, основанного на оценке вероятности своевременного сбора всей необходимой информации для принятия решения, позволяет оператору контролировать процесс обеспечения защищенности информации в ходе эксплуатации государственной информационной системы.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Евстратенко Е. С. Построение системы защиты информации государственной информационной системы с учетом управления рисками информационной безопасности [Текст] / Е. С. Евстратенко, В. В. Селифанов, А. А. Старикова // Научные исследования: от теории к практике: материалы VII Междунар. науч.-практ. конф. (Чебоксары, 13 март 2016 г.) / редкол.: О. Н. Широков [и др.]. - Чебоксары: ЦНС «Интерактив плюс», 2016. - № 1 (7).
2. Селифанов В.А. Способ оценки эффективности управления и устройство для его осуществления / В.А. Селифанов, В.В. Селифанов. Патент на изобретение RUS 2517409 27.05.2014.
3. Селифанов В.В. Испытания системы защиты информации государственной информационной системы // Вестник Науки и Творчества, 2016. - № 4 (4).
4. Селифанов В.В. Классификация автоматизированных систем // Science Time, 2016. -№ 4 (28).
5. Селифанов В.В. Оценка эффективности системы защиты информации государственных информационных систем от несанкционированного доступа [Текст] // Интеграция науки, общества, производства и промышленности: сборник статей Международной научно -практической конференции, 2016. С. 109-113.
© А. А. Старикова, Д. Г. Макарова, 2017
