CC BY
27
УДК 004.054.53
А.С. Голдобина, Ю.А. Исаева, В.В. Селифанов, А.М. Климова, П.С. Зенкин
Построение адаптивной трехуровневой модели процессов управления системой защиты информации объектов критической информационной инфраструктуры
Рассматривается трехуровневая модель процессов управления системой защиты информации на примере объектов критической информационной инфраструктуры. Критические информационные инфраструктуры Российской Федерации во избежание реализации различных инцидентов безопасности нуждаются в постоянном анализе и обновлении правил работы. Авторами был предложен алгоритм, позволяющий делать своевременную выработку решений путём имитации процессов работы систем. Моделирование системы позволяет провести оценку эффективности системы и сделать необходимые предложения по повышению уровня защищенности. Ключевые слова: трёхуровневая модель, система управления, оценка эффективности, система защиты информации.
doi: 10.21293/1818-0442-2018-21-4-51-58
В связи с появлением новых требований к обеспечению безопасности объектов критической информационной инфраструктуры Российской Федерации необходимо обновление правил работы и реагирования систем защиты информации на различные инциденты. Так как объекты критической информационной инфраструктуры представляют собой сложные информационные системы, то эффективность работы системы защиты информации зависит от качества процессов ее управления.
Основное назначение процессов управления -это своевременная выработка и реализация управляющего воздействия на управляемый объект (средства защиты информации, персонал, операционные системы, программное обеспечение и др.). Показателем эффективности является вероятность своевременного принятия и реализации правильного решения.
Одним из наиболее эффективных инструментов, дающих возможность оценки работы системы защиты информации объектов критической информационной инфраструктуры и процессов их управления до принятия решения о реализации конечного варианта технического проекта, является моделирование.
Оно позволяет получить достаточно полное представление о реакции системы защиты на различные ситуации и наглядно демонстрирует ее работу. В процессе моделирования можно увидеть работу каждого объекта в определенный момент времени [17]. Это позволит заранее увидеть и предотвратить нежелательные действия или последствия работы системы с неверными входными данными и позволит избежать значимых экономических потерь [11].
Для оценки работы систем защиты информации объектов критической информационной инфраструктуры Российской Федерации была разработана адаптивная трехуровневая имитационная модель, представляет собой однофазную систему массового обслуживания разомкнутого типа с неограниченной
входной емкостью, т.е. без отказов в обслуживании, с ограничением по времени пребывания заявок в системе, определяемым критическим временем длительности цикла управления и абсолютной надежностью.
Рассматриваемая модель имитирует процессы работы систем на предприятии. Модель состоит из потоков данных, поступающих в обработку системы. Такая детализация является важным аспектом разработки характеристик будущих систем или модернизации уже существующих систем защиты информации [21]. Так как работа критической информационной инфраструктуры должна быть постоянной и непрерывной, имитационное моделирование процессов управления позволит построить систему, способную к максимальным нагрузкам, из расчета всех параметров, которые будут указаны в модели.
В процессе работы имитационная модель способна показать, какие места системы не смогут выдержать предполагаемой нагрузки или какие места используются не в полную силу [22]. Данные функции позволят не только изменять параметры разрабатываемой системы, но и понять, как лучше организовать архитектуру системы.
Анализ нормативной базы в области безопасно -сти критической информационной инфраструктуры, а именно Федерального закона № 187 «О безопасно -сти критической информационной инфраструктуры Российской Федерации» и приказов ФСТЭК России № 21, 17 и 239, показал, что большинство объектов защиты имеют трехуровневую структуру, где каждый уровень представлен совокупностью объектов управления.
Исходя из анализа примерной структуры объекта исследования и учитывая необходимость минимизации времени реакции системы управления, на изменение принятия решения, целесообразно использовать трехуровневую структуру для построения адаптивной имитационной модели, не исключая нижний уровень ввода (вывода) данных, что с точки зрения управления процессами безопасности увели-
чит эффективность работы модели и физической системы управления [19].
Сама трехуровневая модель представляет собой следующую архитектуру:
- уровень операторского управления или пункты управляющего воздействия (третий уровень);
- уровень автоматического ввода (вывода) данных или автоматизированные пункты управления (второй уровень);
- уровень ввода (вывода) данных исполнительных устройств или пункты приема исходных данных (первый уровень).
Принцип работы трехуровневой архитектуры представлен на рис. 1.
Формалшшанный отчет о состоянии
ИБ: функционал управления отдельными процессами обеспечения
1. Уровень сбора информации
С6ор: первичная обработка информации для передачи на второй уровень от средств и систем защиты информации, контроль состояния ПО АРМ
Рис. 1. Принцип работы трехуровневой архитектуры
Трёхуровневая архитектура модели и будущей системы позволит не только наблюдать подробные изменения работы моделируемой системы, но и позволит системе распределять рабочие нагрузки, что приведет к повышению работоспособности системы защиты информации [9].
Исходя из свойств атрибутов безопасности критической информационной инфраструктуры, имитационная модель должна иметь адаптивные свойства, которые обеспечат приспособление моделируемой
системы к новым, измененным свойствам и параметрам. Это позволит изменять характеристики данных, поступающих на вход модели, и регулировать работу имитируемой системы [10].
Алгоритм, вложенный в основу моделирования, заключается в выполнении на пункте управления третьего уровня таких функций управления, как сбор, обработка, анализ, адаптивный выбор порядка доопределения данных и оценки эффективности воздействия [20], доопределение данных об объектах воздействия, оценка возможностей своей группы ТС и принятие решения на осуществление воздействия, а на пункте управления второго уровня - функций доопределения данных об объектах воздействия и оценки эффективности воздействия всех своих ТС на все объекты воздействия [1].
Схема работы трехуровневого алгоритма показана на рис. 2.
Формальная запись действий 'О,- алгоритма управления означает '-е действие на ,-м уровне управления.
Этот алгоритм позволяет формировать управляющие решения, основываясь на полученных данных, в ходе анализа работы системы защиты информации. Данные, полученные с первого уровня адаптивной двухуровневой имитационной модели, передаются на второй уровень модели, который формирует управляющие воздействия и является пунктом управления.
301 - моделирование (имитация) формирования на пункте управления операторского уровня команд на сбор данных о подчиненных средствах, средствах защиты и сложившейся обстановке;
302 - имитация передачи команд на сбор данных по линиям связи на пункты управления второго уровня автоматического ввода данных;
203 - имитация формирования на ПУ второго уровня автоматического ввода данных базы данных технических средств (ТС) своей группы, средств защиты и сложившейся обстановки;
204 - имитация передачи на ПУ третьего уровня ввода данных исполнительных устройств, данных о ТС своей группы, средствах защиты и сложившейся обстановке;
305 - имитация сбора на ПУ третьего уровня ввода данных исполнительных устройств, данных о состоянии своих групп ТС, средствах защиты и сложившейся обстановке;
306 - имитация формирования базы данных своих групп ТС, средствах защиты и сложившейся обстановке;
307 - имитация анализа данных о своих группах ТС, средствах защиты и сложившейся обстановке на полноту;
308 - имитация ранжирования средств защиты;
309 - имитация оценки возможностей своих групп ТС по осуществлению воздействия на объекты;
3О10 - имитация распределения проранжиро-ванных объектов воздействия между группами ТС в соответствии с их возможностями по осуществлению воздействия;
ИБ
Ъ,
Моделирование формирования на ГГУ операторского уровня команд на сбор данных
-А. -1/'
и
Имитация передачи команд на сбор да нных по линиям связи на
ПУ втосого уровня
Имитация формирования на ПУ второго уровня автоматического ввода данных
о4
Имитация передачи на ПУ третьего уровня
ввода данных испсл нитель ных устройств
ъ
Имитация сбора на ПУ третьего уровня ввода данных исполнительных _устройств_
LA, -V
Имитация
формирования базы данных своих групп ТС, средствах
.■защиты н сложившейся _пбстанпнк-р_
Ъ,
Имитация анализа данных о своих группах ТС, о средствах защиты
Имитация ранжирования средств защиты
Ъ9
Имитация оценки
возможностей своих
групп ТС по
1
осуществлению
воздействия на
объекты
V
3Ою Имитация распределения проранжнро ванных
объектов воздействия между
группами ТС
—N -и
Имита ция формирования задания группам ТС для осуществления
воздействия на выбранные объекты
—%.
3В12
Имитация передачи на ПУ второго уровня • данных об объектах, назначенных для осуществления воздействия
Имитация приема на ПУ второго уровня данных об объектах, назначенных для осуществления воздействия
Рис. 2. Схема работы трёхуровневого алгоритма
3БП - имитация формирования задания группам ТС для осуществления воздействия на выбранные объекты;
- имитация передачи на пункты управления второго уровня данных об объектах, назначенных для осуществления воздействия;
2Б13 - имитация приема на пунктах управления второго уровня данных об объектах, назначенных для осуществления воздействия;
2Б14 - имитация анализа данных о ТС своей группы, объектах воздействия и условиях обстановки на полноту;
2Б15 - имитация при необходимости доопределения данных об объектах воздействия, включающего следующие действия:
2Б16 - имитация распределения объектов воздействия для осуществления доопределения данных между пунктом управления второго уровня и пунктами управления первого уровня, входящими в состав одной группы;
2Б17 - при этом проводят имитацию распределения каждого объекта воздействия для доопределения данных о нем на два пункта управления, на одном из которых будет осуществляться непосредственное измерение первичных характеристик, а на другом - удаленное измерение первичных характеристик;
2Б18 - имитация доопределения на пункте управления второго уровня данных о выделенной части объектов воздействия, которое включает следующие действия:
2Б19 - имитация определения первичных характеристик;
2Б20 - имитация измерения первичных характеристик;
2Б21 - имитация передачи значений первичных характеристик, предназначенных для одного или нескольких других пунктов управления одной группы в качестве удаленно измеренных, на эти пункты управления;
2Б22 - имитация приема удаленно измеренных на другом пункте управления значений первичных характеристик своих объектов воздействия;
2Б23 - имитация вычисления вторичных характеристик;
2Б24 - имитация селекции объектов по характеристикам;
2Б25 - одновременно с имитациями доопределения на пунктах управления второго уровня данных о выделенной части объектов воздействия -имитация формирования команды на доопределение данных о своих ТС, средствах защиты и сложившейся обстановке;
2Б26 - имитация передачи команды на доопределение данных по линиям связи на пункты управления первого уровня, входящие в состав одной группы;
:Б27 - имитация формирования на пунктах управления первого уровня базы данных своего ТС, средствах защиты и сложившейся обстановке;
:Б28 - имитация доопределения данных об объектах воздействия, которое включает следующие действия:
:Б29 - имитация определения первичных данных;
:Б30 - имитация измерения первичных данных;
1Б31 - имитация передачи значений первичных характеристик, предназначенных для одного или нескольких других пунктов управления одной группы в качестве удаленно измеренных, на эти пункты управления;
1Б32 - имитация приема удаленно измеренных на другом пункте управления значений первичных характеристик своих объектов воздействия;
1Б33 - имитация вычисления вторичных данных;
1Б34 - имитация селекции объектов по полученным данным;
1Б35 - имитация передачи на ПУ второго уровня данных о своем ТС, средствах защиты и сложившейся обстановке;
2Б36 - имитация сбора на ПУ второго уровня доопределенных данных о состоянии ТС своей группы, средствах защиты и сложившейся обстановке;
2Б37 - имитация уточнения базы данных ТС своей группы, средствах защиты и сложившейся обстановке.
2Б38 - имитация идентификации средств защиты;
2Б39 - имитация классификации средств защиты;
2Б40 - имитация определения приоритетов объектов воздействия;
2Б41 - имитация формирования списка объектов воздействия в соответствии с полученными значениями их приоритетов;
2Б42 - имитация оценки эффективности осуществления воздействия на внесенные в список приоритетных объектов воздействия штатными ТС;
2Б43 - имитация формирования случайным образом списка ТС, значения эффективности которых оказались достаточными для осуществления воздействия на объекты из сформированного списка;
2Б44 - имитация распределения объектов для осуществления воздействия между ТС путем последовательного попарного соотнесения объектов воздействия и ТС из соответствующих сформированных списков;
2Б45 - имитация формирования целеуказания штатным ТС для осуществления воздействия на выбранные объекты;
2Б46 - имитация формирования команд управления в виде управляющих сигналов;
2Б47 - имитация передачи команд управления техническим средствам;
2Б48 - имитация канала связи.
Результаты экспериментов
Построение и эксплуатация систем защиты информации новых объектов защиты нуждается в исследовании для определения эффективных подходов на всех стадиях жизненного цикла [16]. Одним из важнейших направлений здесь является оценка эффективности управления защитой информации [15]. При этом основной целью управления будет являться своевременная выработка и реализация управляющего воздействия на управляемый объект. При решении поставленной задачи необходимо учесть, что подобные системы только начинают создавать-
ся, единых подходов нет - не только к обеспечению защиты информации, но и к построению самих систем и их компонентов [12]. Поэтому необходимо разработать инструменты для определения подходов к построению систем защиты, так и для определения показателей её эффективности [18].
При выборе показателя эффективности защиты информации будем исходить из того, что эффективность управления защитой информации оценивается с помощью показателя эффективности управления [13]. Показатель эффективности характеризует степень соответствия рассматриваемой системы своему назначению [14]. Исходя из основного целевого назначения системы управления - своевременной выработки и реализации правильного управляющего воздействия на управляемый объект, показателем эффективности управления защитой информации целесообразно выбрать вероятность своевременного принятия и реализации правильного решения, обеспечивающего оптимальное использование возможностей подчиненных технических средств. Её можно представить в следующей форме:
^э = р[(1рк > 1р), (1мк > 1м ), (^кр)] , (1)
где р - вероятность того, что вся необходимая для принятия решения информация будет собрана и правильное решение будет своевременно принято и реализовано; 1Рк - фактически собираемое и обрабатываемое количество информации об объектах воздействия; 1р - количество требуемой информации об объектах воздействия; 1мк - фактически собираемое и обрабатываемое количество информации о компонентах системы защиты, привлекаемых для выполнения задач; 1м - количество требуемой информации о компонентах системы защиты, привлекаемых для выполнения задач; т - время цикла управления; ткр -критическое (требуемое) время цикла управления.
Приведенное соотношение (1) количественно характеризует противоположные факторы, отражающие, с одной стороны, необходимость сбора и обработки больших объемов информации, а с другой - отводимое на это ограниченное время.
При решении задачи определения показателя эффективности управления защитой информации (далее - ЗИ) целевой составляющей будет являться количество информации об объектах воздействия 1рк, которая фактически собирается и обрабатывается в процессе управления для решения стоящей задачи, и его соотношение с количеством требуемой информации об объектах воздействия 1Р, а на время цикла управления т накладывается ограничение. Значение ограничения выбирается близким к ткр, исходя из опыта построения подобных систем управления, а также на основе анализа эффективности применения рассматриваемых средств.
Считается, что информация о компонентах системы защиты информации 1м, а также о критическом времени цикла управления ткр при выполнении стоящей задачи всегда известна в системе управления из результатов анализа конкретной задачи. По-
этому для оценки параметров процессов управления компонентами системы защиты информации необходимо определять количество требуемой для управления информации об объектах воздействия 1Р.
Значение количества информации об объектах воздействия р и информации о компонентах системы защиты, привлекаемых для выполнения задач 1мк, привлекаемых для выполнения задачи, которая фактически собирается и обрабатывается в процессе управления для решения задач, а также реальное время цикла управления т и соотношение этих величин с требуемыми значениями рассчитать аналитическим методом крайне затруднительно ввиду большой сложности исследуемых процессов управления (многомерность, большое количество параметров, стохастичность, параллельность протекания процессов), поэтому они определяются с помощью имитационного моделирования процессов управления. При этом в имитационной модели для оценивания показателя эффективности управления защитой информации будем использовать следующую мультипликативную форму:
^э = Рсв.сб х Рпр х Рсв.пр х Рр , (2)
где Рсвсб - вероятность своевременного сбора всей необходимой для принятия решений информации; Рпр - вероятность правильного принятия решений; Рсв.пр - вероятность своевременного и правильного принятия решений; Рсвр - вероятность своевременной реализации принятых решений. Под своевременной реализацией принятых решений понимается своевременное доведение соответствующих команд до компонентов системы защиты информации.
Порядок оценки показателя эффективности при этом может быть следующим:
- вводятся исходные данные:
- вычисляется сумма величин весовых коэффициентов важности К базового аргумента, вычисляется весовой коэффициент К;
- анализируется соответствие вариантов решений и ситуаций;
- учитывается коэффициент важности первого аргумента;
- вычисляется число совпадений вариантов решений и ситуаций;
- анализируются результаты оценки числа совпадений вариантов решений и ситуаций и по наибольшему числу совпадений выбирается лучшее решение;
- оценивается время, затраченное на принятие решения /-м лицом, принимающим решения (далее -ЛПР) в/-й ситуации;
- одновременно с оценкой времени, затраченного на принятие решения /-м ЛПР в /-й ситуации, оценивается время реализации решений //
- одновременно с оценкой времени, затраченного на принятие решения /-м ЛПР в ■-й ситуации, оценивается время затраченное на сбор всей необходимой для принятия решения информации в ■-й ситуации;
- определяется количество своевременно принятых для /-й ситуации решений Я/, одновременно
определяется количество своевременно реализованных решений;
- с определением количества своевременно принятых для /-й ситуации решений Я/ одновременно определяется количество своевременно реализованных решений С/;
- одновременно с определением количества своевременно принятых для /-й ситуации решений Я/ определяется количество ситуаций Мсв.инф/, для принятия решения в которых вся необходимая информация была собрана своевременно;
- определяются правильно принятые решения для /-й ситуации;
- определяется количество правильно принятых решений для/-й ситуации Б/,
- определяется общее количество правильно принятых решений;
- определяется общее относительное количество правильно принятых решений;
- определяется относительное количество своевременно и правильно принятых решений;
- определяется общее относительное количество своевременно и правильно принятых решений;
- одновременно с определением общего относительного количества своевременно и правильно принятых решений определяется общее относительное количество своевременно реализованных решений;
- определяется вероятность правильного принятия решений Рпр:
Рпр д г Е
1 м V
1 л пр./
М м ь
(3)
где М - число рассматриваемых ситуаций; ь - количество ЛПР, участвующих в работе для /-й ситуации; £пр/ - число правильно принятых решений для /-й ситуации;
- одновременно с определением вероятности правильного принятия решений определяется вероятность своевременного сбора всей необходимой для принятия решений информации Рсвсб;
- определяется вероятность своевременного и правильного принятия решений Рсвпр:
1 м г>
Р-р -М^/ <4)
М /=1 л пр./
где Я/ - число своевременно и правильно принятых для /-й ситуации решений;
Я/ = Е Я/
где
/=1
Я =1, если < ¿доп, \Я/ = 0, если > ¿доп,
(5)
(6)
где - текущее значение времени, затраченного на принятие решения /-м ЛПР в/-й ситуации; ¿доп - допустимое время на принятие решения; - одновременно с определением вероятности правильного принятия решений и вероятности своевременного и правильного принятия решений определяется вероятность своевременной реализации принятых решений Рсв.р:
P =-
1 с.вр
1 M C ■
— I^
(7)
Q * м^х ^
где С) - число своевременно реализованных правильно и своевременно принятых для у-й ситуации решений;
Q _
Су = 1 Су у = 1,Q , (8)
9=1
где Q - число направлений связи, соответствующее числу исполнителей;
\Cqj- =1, если tqj </доп.р ,
\Cq = 0, если tqj > /доп.р,
(9)
где tj - текущее значение времени, затраченное на реализацию правильно и своевременно принятых решений в j-й ситуации; ^опр - допустимое время на реализацию принятого решения;
- определяется значение показателя эффективности управления защитой информации W3.
В результате работы появляется возможность определить показатель эффективности управления за-шдгой информации, получить следующие результаты:
- статистические характеристики оцениваемых показателей (текущее, минимальное, максимальное, среднее значение);
- графики текущих и средних значений оцениваемых показателей;
- гистограммы и статистические функции распределения значений оцениваемых показателей, которые позволяют проводить оценку эффективности управления системой защиты информации таких компонентов, как:
- контроль и оперативное реагирование за событиями безопасности и действиями персонала;
- анализ и оценка функционирования системы защиты информации, включая выявление, анализ и устранение недостатков в ее функционировании;
- оперативное принятие мер по устранению инцидентов.
Результаты экспериментов
Предложенная модель и способ оценки эффективности позволят оценить предлагаемые технические решения по проектированию систем защиты информации объектов критической информационной инфраструктуры и выбрать оптимальные. В дальнейших исследованиях авторами предлагается апробировать предложенные алгоритмы на конкретных объектах.
Литература
1.Пат. 2326442 РФ, МПК: G 07 C 3 00, G 06 F 17 00. Способ оценки эффективности управления и устройство для его осуществления / В.А. Селифанов (РФ), В.В Сели-фанов (РФ). - № 2007102742/09; заявл. 24.01.2007; опубл. 10.06.2008. - Бюл. № 16. - 19 с.
2.Пат. 2517409 РФ, МПК: G 07 C 3 00, G 06 F 17 00. Способ оценки эффективности управления и устройство для его осуществления / Г.Н. Акиньшина (РФ), Ю.Н. Богданов (РФ), А.М. Леонтьев (РФ), Е.А. Решетняк (РФ), В.А. Селифанов (РФ). - № 2011106224/08; заявл. 17.02.2011; опубл. 27.05.2014. - Бюл. № 15. - 25 с.
3. Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении требований по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» [Электронный ресурс]. - Режим доступа: https://fstec.ru/normotvor-cheskaya/akty/53-prikazy/702, свободный (дата обращения: 15.05.2018).
4. Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» [Электронный ресурс]. -Режим доступа: https://fstec.ru/normotvorcheskaya/akty/53-prikazy/691, свободный (дата обращения: 15.05.2018).
5. Приказ ФСТЭК России от 14 марта 2014 г. № 31 «Об утверждении пребований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» [Электронный ресурс]. - Режим доступа: https://fstec.ru/normotvorcheskaya/akty/53-prikazy/868-prikaz-fstek-rossii-ot, свободный (дата обращения: 15.05.2018).
6. Приказ ФСТЭК России от 21.12.2017 № 235 «Об утверждении пребований к созданию систем безопасности значимых объектов КИИ РФ и обеспечению их функционирования» [Электронный ресурс]. - Режим доступа: https://fstec.ru/normotvorcheskaya/akty/53-prikazy/1589-prikaz-fstek-rossii-ot-21-dekabrya-2017-g-n-236, свободный (дата обращения: 15.05.2018).
7. Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении ^ебований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» [Электронный ресурс]. - Режим доступа: https://minjust.consultant.ru/docu-ments/38914, свободный (дата обращения: 15.05.2018).
8. Федеральный закон от 26.07.2017 № 187 «О безопасности критической информационной инфраструктуры Российской Федерации» [Электронный ресурс]. - Режим доступа: http://www.kremlin.ru/acts/bank/42128, свободный (дата обращения: 15.05.2018).
9. Пат. 2451965 РФ, МПК: G 07 C 3 00, G 06 F 17 00. Способ трёхуровневого управления техническими средствами и система для его осуществления / В.А. Селифанов (РФ). - № 2011114534/08; заявл. 13.04.2011; опубл. 27.05.2012. Бюл. № 15. - 29 с.
10. Пат. 2451966 РФ, МПК: G 07 C 3 00, G 06 F 17 00. Способ адаптивного управления и система адаптивного управления для его осуществления / В.А. Селифанов (РФ). - № 2011118677/ 08; заявл. 10.05.2011; опубл. 27.05.2012. Бюл. № 15. - 31 с.
11. Голдобина А.С. Выбор имитационной модели процессов управления защитой информации для оценки эффективности государственных и муниципальных систем / А.С. Голдобина, Ю.А. Исаева // Инновационное развитие науки и образования: сб. статей междунар. науч.-практ. конф. (Пенза). - 2018. - Т. 2, № 2. - 86 с.
12. Селифанов В.В. Оценка эффективности системы защиты информации государственных информационных систем от несанкционированного доступа // Интеграция науки, общества, производства и промышленности: сб. ст. междунар. науч.-практ. конф. (Новосибирск). - 2016. - 109 с.
13. Надежность и эффективность в технике: справочник: в 10 т. - Т. 1: Методология. Организация, терминология / В.С. Авдуевский, И.В. Аполонов, Е.Ю. Барзелович и др. - М.: Машиностроение, 1986. - 223 с.
14. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения [Электронный ресурс]. -Режим доступа: http://docs.cntd.ru/document/1200058320, свободный (дата обращения: 15.05.2018).
15. Старикова А. А. Оценка эффективности управления системой защиты информации в государственных информационных системах / А.А. Старикова, Д.Г. Макарова // Интерэкспо Гео-Сибирь. - 2017. - Т. 8. - 188 с.
16. Исаев И.И. Анализ методов эффективности защиты информации // Актуальные вопросы эксплуатации систем охраны и защищенных телекоммуникационных систем: сб. матер. Всерос. науч.-практ. конф. - 2017. - Воронеж: Воронеж. ин-т МВД России. - 235 с.
17. Даурцев А.В. Разработка математических моделей оценки показателей эффективности программных систем защиты информации в автоматизированных системах электронного документооборота // Вестник Воронеж. гос. техн. ун-та. - 2011. - Т. 7, № 2. - С. 27-31.
18. Меньших В.В. Получение оценок эффективности системы защиты информации с использованием автоматной модели имитации функционирования защищенной информационной системы / В.В. Меньших, Е.В. Петрова // Информация и безопасность. - 2011. - Т. 14, № 1. - 125 с.
19. Анисимов В.Г. Методика оценки эффективности защиты информации в системе межведомственного информационного взаимодействия при управлении обороной государства / В.Г. Анисимов, А.А. Селиванов, Е.Г. Анисимов // Информация и космос. - 2016. - № 4. - С. 76-80.
20. Звягинцева П.А. Оценка эффективности средств защиты информации / П.А. Звягинцева, О.А. Крыжанов-ская // Интерэкспо Гео-Сибирь. - 2017. - Т. 8. - С. 199.
21. Беляева О.В. Имитационное моделирование систем защиты / О. В. Беляева, В. А. Грицык // Междунар. журнал экспериментального образования. - 2010. -Вып. 5. - С. 67.
22. Цветкова О. Л. Имитационное моделирование зависимости информационной безопасности организации от области деятельности / О.Л. Цветкова, С.А. Заслонов // Вестник Донского гос. техн. ун-та. - 2017. - Т. 18, № 4 (91). - 116 с.
Голдобина Анастасия Сергеевна
Магистрант Сибирского гос. ун-та геосистем и технологий, инженер-аналитик ООО «Акстел-безопасность»
Колхидская ул., д. 9, г. Новосибирск, Россия, 630096
Тел.: +7-923-220-80-89
Эл. почта: [email protected]
Исаева Юлия Алексеевна
Магистрант Сибирского гос. ун-та
геосистем и технологий,
специалист по информационной безопасности,
ООО «Первый строительный фонд»
Гоголя ул., д. 188, г. Новосибирск, Россия, 630112
Тел.: +7-913-980-23-09
Эл. почта: [email protected]
Селифанов Валентин Валерьевич
Доцент каф. информационной безопасности Сибирского гос. ун-та геосистем и технологий Ельцовская ул., д. 2/3, г. Новосибирск, Россия, 630001 Тел.: +7-913-905-64-02 Эл. почта: [email protected]
Климова Александра Михайловна
Магистрант Новосибирского гос. технического ун-та,
Немировича-Данченко ул., д. 136, г. Новосибирск,
Россия, 630073
Тел.: +7-999-466-39-66
Эл. почта: [email protected]
Зенкин Павел Сергеевич
Аспирант Томского гос. ун-та систем управления
и радиоэлектроники (ТУСУР)
Ленина пр., д. 40, г. Томск, Россия, 634050
Тел.: +7-906-995-61-15
Эл. почта: [email protected]
Goldobina A.S., Isaeva Yu.A., Selifanov V.V., Klimova A.M., Zenkin P.S.
Building an adaptive three-tier model of management processes for the information security system of critical information infrastructure objects
The article discusses a three-tier model of information security management processes based on the example of objects of critical information infrastructure. Critical information infrastructures of the Russian Federation, in order to avoid the implementation of various security incidents, require constant analysis and updating of work rules. The authors proposed an algorithm that allows making timely development of solutions by simulating the processes of the systems. System modeling allows to assess the effectiveness of the system and make the necessary proposals to improve the level of security. Keywords: three-level model, control system, performance evaluation, information protection system. doi: 10.21293/1818-0442-2018-21-4-51-58
References
1. Pat. 2326442 RF, IPC: G 07 C 3 00, G 06 F 17 00. A method for evaluating the effectiveness of control and a device for its implementation / V.A. Selifanov (RF), V.V. Seli-fans (RF). - No. 2007102742/09; declare 01/24/2007; publ. 10.06.2008, Bull. № 16, 19 p. (in Russ.).
2. Pat. 2517409 RF, IPC: G 07 C 3 00, G 06 F 17 00. A method for evaluating the effectiveness of control and a device for its implementation / G.N. Akinshina (RF), Yu.N. God Dan (RF), A.M. Leontyev (RF), E.A. Reshetnyak (RF), V.A. Selifanov (RF). - No. 2011106224/08; declare February 17, 2011; publ. 05/27/2014, Bull. № 15, 25 p. (in Russ.).
3. Order of the FSTEC of Russia of February 11, 2013 No. 17 «On approval of requirements for the protection of information that is not a state secret contained in state information systems». - Access mode: https://fstec.ru/normo-tvorcheskaya/akty/53-prikazy/702, free (accessed: May 15, 2018) (in Russ.).
4. Order of the FSTEC of Russia dated February 18, 2013 No. 21 «On Approval of the Composition and Content of Organizational and Technical Measures to Ensure the Security of Personal Data when Processing the Information Systems of Personal Data». - Access mode: https://fstec.ru/normo-tvorcheskaya/akty/53-prikazy/691, free Accessed: May 15, 2018) (in Russ.).
5. Order of the FSTEC of Russia dated March 14, 2014 No. 31 «On approval of Requirements for ensuring the protection of information in automated systems for managing production and technological processes at critical facilities, potentially dangerous objects, as well as facilities that pose an increased risk to life and health of people and for the environment». - Access mode: https://fstec.ru/normotvor-
cheskaya/akty/53-prikazy/868-prikaz-fstek-rossii-ot, free (accessed: May 15, 2018) (in Russ.).
6. Order of the FSTEC of Russia of December 21, 2017 No. 235 «On approval of Requirements for the creation of security systems for significant facilities of the Russian Federal Institute of Exercises and ensuring their functioning». - Access mode: https://fstec.ru/normotvorcheskaya/akty/53-prikazy/1589-prikaz-fstek-rossii-ot-21-dekabrya-2017-g-n-236, free (accessed: May 15, 2018) (in Russ.).
7. Order of the FSTEC of Russia of December 25, 2017 No. 239 "On Approval of Requirements for Ensuring the Security of Important Objects of Critical Information Infrastructure of the Russian Federation". - Access mode: https://minjust.consultant.ru/documents/38914, free (accessed: May 15, 2018) (In Russ.).
8. Federal Law of 26.07.2017 No. 187 «On the Security of the Critical Information Infrastructure of the Russian Federation». - Access mode: http://www.kremlin.ru/acts/ bank/42128, free (accessed: May 15, 2018) (in Russ.).
9. Pat. 2451965 RF, IPC: G 07 C 3 00, G 06 F 17 00. A method of three-level control of technical equipment and a system for its implementation, V.A. Selifanov (RF). No. 2011114534/08; declare 04/13/2011; publ. 27.05.2012, Bull. № 15, 29 p. (in Russ.).
10. Pat. 2451966 RF, IPC: G 07 C 3 00, G 06 F 17 00. Adaptive control method and adaptive control system for its implementation / V.A. Selifanov (RF). No. 2011118677/08; declare 05/10/2011; publ. 27.05.2012, Bull. № 15, 31 p. (in Russ.).
11. Goldobina A.S., Isaeva Yu.A. Choosing a simulation model of information security management processes for assessing the effectiveness of state and municipal systems. Innovative development of science and education. Collection of articles of the International Scientific and Practical Conference (Penza), 2018, vol. 2, no. 2, 86 p. (in Russ.).
12. Selifanov V.V. Assessment of the effectiveness of the information security system of state information systems from unauthorized access. Integration of science, society, industry and industry. Collection of articles of the International Scientific and Practical Conference (Novosibirsk), 2016, 109 p. (in Russ.).
13. Reliability and efficiency in technology: Reference book in 10 tons. No. 1. Methodology. The organization of terminology and logic. Moscow: Mashinostroy-Publishing House, 1986, 26 p. (in Russ.).
14. GOST R 50922-2006. Protection of information. Basic terms and definitions. Access mode: http://docs.cntd.ru/ document/1200058320, free (accessed: May 15, 2018) (in Russ.).
15. Starikova A.A., Makarova D.G. Evaluation of the effectiveness of managing the information security system in state information systems. Interexpo Geo-Siberia, 2017, vol. 8, 188 p. (in Russ.).
16. Isaev I.I. Analysis of methods for the effectiveness of information protection. Actual issues of operating security systems and protected telecommunication systems: Coll. materials of the All-Russian scientific-practical conference, 2017, Voronezh: Voronezh Institute of the Ministry of Internal Affairs of Russia, 235 p. (in Russ.).
17. Daurtsev A.V. Development of mathematical models for assessing the performance of software information protection systems in automated electronic document
management systems. Bulletin of the Voronezh State Technical University, 2011, vol. 7, no. 2, p. 27-31 (in Russ.).
18. Smaller V.V., Lesser V.V., Petrova E.V. Obtaining estimates of the effectiveness of the information security system using an automaton model for simulating the functioning of a protected information system. Information and security, 2011, vol. 14, no. 1, 125 p. (in Russ.).
19. Anisimov V.G., Selivanov A.A., Anisimov E.G. Methods of assessing the effectiveness of information protection in the system of interdepartmental information interaction in the management of state defense. Information and space, 2016, № 4, 76 p. (in Russ.).
20. Zvyagintseva P.A., Kryzhanovskaya O.A. Evaluation of the effectiveness of information security. Interexpo Geo-Siberia, 2017, vol. 8, 199 p. (in Russ.).
21. Belyaeva O.V., Grytsyk V.A. Simulation modeling of protection systems. International Journal of Experimental Education, 2010, vol. 5, 67 p. (in Russ.).
22. Tsvetkova O.L., Barriers S.A. Simulation modeling of the information security of an organization as a function of its field of activity. Bulletin of the Don State Technical University, 2017, vol. 18, no. 4 (91), 116 p. (in Russ.).
Anastasiya S. Goldobina
Master Student, Siberian state University of Geosy stems and Technologies, Analyst Engineer LLC «Axxtel-security» 9, Kolkhidskaya st., Novosibirsk, Russian Federation, 630096 Phone: +7-923-220-80-89 Email: [email protected]
Julia A. Isaeva
Master Student, Siberian state University of Geosy stems and Technologies, LLC «The First Building Fund» 188, Gogoly st., Novosibirsk, Russian Federation, 630112 Phone: +7-913-980-23-09 Email: [email protected]
Valentin V. Selifanov
Federal Service for Technical and Export Control, 2/3, El'tsovskaya st., Novosibirsk, Russian Federation, 630001 Phone: +7-913-905-64-02 Email: [email protected]
Aleksandra M. Klimova
Master Student, Department of Computer Science,
Novosibirsk State Technical University
136, Nemirovicha-Danchenko st., Novosibirsk,
Russian Federation, 630073
Phone: +7-999-466-39-66
Email: [email protected]
Pavel S. Zenkin
Postgraduate Student of Tomsk State University of Control Systems and Radioelectronics, 40, Lenin av., Tomsk, Russian Federation, 634050 Phone: +7-906-995-61-15 Email: [email protected]
