Разработка системы исследования информационной безопасности организации на основе метода анализа иерархии Текст научной статьи по специальности «Компьютерные и информационные науки»

ВОПРОСЫ ЗАЩИТЫ ИНФОРМАЦИИ

УДК 004.023

РАЗРАБОТКА СИСТЕМЫ ИССЛЕДОВАНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИИ НА ОСНОВЕ МЕТОДА АНАЛИЗА ИЕРАРХИИ

Е.А. Арефьева, М.А. Сафронова, А.В. Никитина

Рассмотрен подход к построению системы оценивания информационной безопасности предприятия на основе метода анализа иерархии.

Ключевые слова: информационная безопасность, оценка рисков, метод анализа иерархии.

В современных условиях исследование и оценка риска информационной безопасности имеют большое значение в деятельности любой фирмы, предприятия, банка и иных учреждений. Вследствие неправильной и/или неадекватной оценки риска, связанного с возникновением и осуществлением угроз информационной безопасности, организации и их руководители несут существенный ущерб. В связи с этим возникает вопрос, как правильно оценить степень риска и соответственно выбрать адекватный вариант защиты. Как показывает практика, преградами на пути принятия мер по обеспечению информационной безопасности являются ограниченность бюджета и сложность для ИТ-менеджера обоснования необходимости вложения средств в повышение уровня защищённости информационной безопасности.

Существуют различные методики и программные комплексы анализа и контроля риска, основанные на качественном (например, ГРИФ компания Digital Security - Россия), количественном (например, RiskWatch компания RiskWatch - Америка) и качественно-количественном (например, CRAMM компания Insight Consulting - Великобритания, Microsoft и др.) методах. Во всех методиках можно выделить свои преимущества и недостатки. В настоящее время универсальной, единой и приемлемой для всех организаций методики оценки и анализа рисков информационной

безопасности не существует. Однако выявление возможных угроз и обеспечение информационной безопасности являются одной из важнейших задач в обеспечении эффективной деятельности фирмы, организации, предприятия. Наибольший интерес с точки зрения управления рисками вызывает методика СЯЛММ, так как она сочетает в себе качественные и количественные методы, позволяет идентифицировать различные риски, осуществляется на основе экспертного анализа, а в результате оценки риска она не только даёт оценку угроз, но и генерирует различные варианты контрмер. Однако в каждой организации есть своя специфика управления информационными ресурсами, и, как следствие, это накладывает отпечаток на оценку рисков информационной безопасности и разработку плана осуществляемых мероприятий. Решение этой проблемы возможно путем совместного применения методики СЯЛММ с методами экспертного опроса с целью лучшей ее адаптации к потребностям конкретного предприятия.

Разрабатываемая информационная системы исследования информационной безопасности (ИСИИБ) предназначена для автоматизации процесса исследования информационной безопасности в организации.

Целью создания информационной системы является повышение эффективности работы ИТ-менеджеров службы информационной безопасности за счёт повышения качества принимаемых управленческих решений на основе методологии экспертного анализа.

Объект автоматизации - исследование информационной безопасности в коммерческом банке путём проведения экспертного опроса на основе метода анализа иерархий (МАИ).

Для создания функциональной модели, отражающей структуру и функции системы, а также потоки информации и материальных объектов, преобразуемые этими функциями, используется методология ГОЕБО. Разработанная модель ГОЕБО со всеми уровнями структурной декомпозиции может быть представлена на единственной диаграмме в виде дерева узлов, дополняющего перечень узлов (рис. 1).

Основными задачами ИС ИСИИБ являются:

- формирование и ведение базы пользователей-экспертов;

- проведение и статистический анализ индивидуального экспертного опроса на предмет оценки приоритетов необходимых мероприятий для повышения уровня информационной безопасности;

- статистический анализ группового экспертного опроса с целью ранжирования рекомендованных мероприятий.

В ИСИИБ должны быть автоматизированы следующие функции:

- формирование и регистрация группы экспертов. Данная функция предназначена для авторизации пользователя, предоставления ему логина и пароля;

- оценка значимости критериев, угроз, мероприятий по обеспечению информационной безопасности (ИБ). Данная функция необходима для определения приоритетности одного элемента системы над другим;

- формулирование рекомендации. Данная функция позволяет руководителю принять наиболее рациональное решение для обеспечения ИБ;

- оценка веса каждого элемента системы. Данная функция предназначена для оценивания и ранжирования каждого элемента системы;

- определение согласованности экспертов. Данная функция служит для определения коэффициента конкордации, т.е. насколько эксперты схожи во мнении;

- формирование сводных данных. Данная функция даёт представление о групповых экспертных оценках;

- определение значимости критериев. Данная функция позволяет определить веса критериев, на основании которых будет происходить ранжирование угроз;

- определение значимости угроз. Данная функция позволяет определить веса угроз, на основании которых будет происходить ранжирование мероприятий по обеспечению ИБ;

- определение значимости мероприятий. Данная функция позволяет определить веса мероприятий, что даст представление о том, какие из них способны обеспечить наиболее полную и правильную защиты ИБ с учётом приоритетов имеющихся угроз.

Рис. 1. Дерево узлов ИСИИБ

Основой системы является методика СЯЛММ, предоставляющая комплексный подход к оценке рисков. Использование данной методики предполагает разделение всей процедуры на 4 этапа.

114

Исследование информационной безопасности проводится в несколько этапов.

1. Формализованное описание границ информационной системы, её основных функций, пользователей и персона.

2. Оценивание критериев оценки ценности ресурсов, которые представляют собой множество критериев К={Кк} (к= 14). Множество критериев К={Кк} включает:

К1 - невозможность нормальной работы организации;

К2 - падение конкурентоспособности;

К3 - ущерб для репутации;

К4 - финансовые потери.

3. Оценивание угроз и уязвимостей, которое происходит путём оценки угроз на основе сделанных оценок критериев. Угрозы заданы множеством У={Уу} (у = 14), включающим:

У1 - угрозы конфиденциальности данных и программ;

У2 - угрозы целостности данных, программ, аппаратуры;

У3 - угрозы доступности данных;

У4 - угрозы отказа от выполнения транзакций.

4. Определение адекватных контрмер, которые заданы множеством мероприятий М={Мт} (т = 1,6). Множество мероприятий М={Мт} включает:

М1 - препятствие;

М2 - управление доступом;

М3 - маскировка;

М4 - регламентация;

М5 - принуждение;

М6 - побуждение.

В результате исследования информационной безопасности выделяются критерии, угрозы безопасности и мероприятия по их предотвращению. Для определения значимости элементов системы в конкретной организации с целью определения их приоритетности необходимо использование метода анализа иерархий (МАИ).

Итак, для оценки веса каждого элемента системы при исследовании информационной безопасности с учётом мнения одного или нескольких экспертов целесообразно использовать МАИ, целью которого является вычисление количественной характеристики влияния элементов уровня критериев и уровня угроз по отношению к элементам уровня мероприятия, т.е. установление приоритетов.

Эксперты имеют достаточно точное представление о проблеме для определения в любой паре элементов (У1, У]), ^ степени значимости одного элемента над другим по отношению к любому из критериев множест-

ва К. Далее аналогичные действия проводятся для каждой пары (1УП, М|), Щ при определении степени значимости одного элемента над другим по отношению к любой из угроз множества У.

Иерархическое представление проблемы с использованием МАИ приведено на рис. 2.

Рис. 2. Иерархическое представление проблемы

Для каждого уровня иерархии необходимо сравнить приоритеты элементов по отношению к элементам верхнего уровня иерархии.

Вначале необходимо определить приоритеты критериев, ответив на вопрос «В какой степени Кг более важен при достижении цели, чем К]». Оценивание происходит по школе Саати от 1 до 9.

Если при сравнении Кг с Б^ получено а^ = 1/Ь., то при обратном сравнении будет получено а^ = 1/Ь. В результате получается матрица попарных сравнений А=(ац):

А=

/а11 а12 а13 а14\

а21 а22 а23 а24

а31 а32 а33 а34

\а41 а42 а43 а44/

116

Далее необходимо определить индекс согласованности (ИС), который даёт представление о степени нарушения согласованности мнений эксперта.

Индекс согласованности рассчитывается по формуле

Тт~ ^-тах — п

ис =-—,

п — 1

где Атах - максимальное собственное значение матрицы; п - число объектов.

Для получения собственного вектора, соответствующего максимальному собственному значению матрицы А, необходимо выполнить следующие действия.

1. Для каждой строки матрицы А надо вычислить среднее геометрическое её членов по формуле, получая при этом числа аь а2, а3, а4 и вектор а = (а1;а2, а3,а4)

41 * а\2 * Щз * Ща>

где п - число объектов, п=4; 1 — номер строки, 1 = 1,4.

2. Элементы вектора а необходимо нормировать таким образом, чтобы их сумма была равна 1, то есть надо сформировать нормированный вектор 5 = (51;52, 53,54).Элементы нормированного вектора являются соответствующими приоритетами критериев и вычисляются по формуле

ГЬа

] "1]

1л Щ 1л Щ

где п - число объектов, п=4; 1 — номер строки, 1 = 1,4.

3. Для каждого столбца ) матрицы А необходимо составить сумму его элементов Ьц по формуле

Ь] — а1] + Ь ап]

1=1

где п - число объектов, п=4; 1 — номер строки, 1 = 1,4; ] — номер столбца, ] = 1,4.

4. Максимальное собственное значение матрица вычисляется по формуле

Ъг »в! + I- Ьп * 5П = Атах. Далее необходимо рассчитать отношение согласованности по формуле

ИС

ОС = —, СИ'

где ИС - индекс согласованности; СИ - случайный индекс.

Отношение согласованности должно быть не больше 10 %, в противном случае матрица попарных сравнений считается несогласованной.

Далее необходимо выполнить сравнительный анализ предпочтительности элементов третьего уровня иерархии (угрозы) в соответствии с элементами второго уровня (критерии). Алгоритм действий аналогичен сравнительному анализу предпочтительности элементов второго уровня иерархии (критерии) по отношению к степени влияния на первый уровень. То есть необходимо найти вектор приоритетов множества угроз У={У1} по каждому из критериев К] £ К ^ = 1,4). Вектор приоритетов множества угроз для критерия] можно представить в виде Б(К^) = {^(К})], 1 = ] = 1,4.

Итоговые веса ш для элемента У1 множества У необходимо вычислить по формуле

п п

Щ = ^^^ »^(К)).

] =1 ¡=1

Наконец необходимо выполнить сравнительный анализ предпочтительности элементов четвёртого уровня иерархии (мероприятия) в соответствии с элементами третьего уровня (угрозы). Алгоритм действий аналогичен сравнительному анализу предпочтительности элементов третьего уровня иерархии (угрозы) по отношению к степени влияния на второй уровень (критерии).

Итоговые веса ъ\ вычисляются с учётом приоритетов угроз, влияющих на выбор мероприятий.

Информацию, полученную от экспертов, необходимо проверить на согласованность. Оценить её можно с помощью коэффициента конкорда-ции W, т.е. общего коэффициента ранговой корреляции для группы, состоящей из ш экспертов. Коэффициент конкордации рассчитывается по формуле

12* Б Щ =-,

ш2(п3 — п)

где 8 - сумма квадратов отклонений суммы рангов по п факторов от их средней геометрической; ш - количество экспертов, ш=4;п - количество факторов.

Сумма квадратов отклонений суммы рангов по п факторов от их средней геометрической вычисляется по формуле

1=1 \) = 1 / 1=1 \) = 1 / где - ранг ьго фактора у единицы: £ II = 1-1 ^ 4 •

Групповая экспертная оценка рассчитывается как среднее арифметическое индивидуальных экспертных оценок по каждому элементу всех экспертов.

На основе изложенного подхода разработан программный модуль на базе СУБД MS Access с использованием SQL, языка макросов и Visual Basic; и апробирован на примере коммерческого банка. Демонстрация работы системы представлена на рис. 3 - 8.

ИС "ИСИИБ" - исследование информационной безопасности в коммерческом банке

Рис. 3. Главное меню ИСИИБ

Zm? * °

Критерии угроз

1. Невозможность нормальной работы

Список критериев

2. Падение конкурентоспособности

3. Ущерб для репутации

^ Оценить угрозы по К1

Просмотреть результаты индивидуального экспертного опроса

Рис. 4. Определение весов критериев

Рис. 5. Определение весов угроз по каждому критерию

119

Рис. 6. Определение значимости мероприятий по каждой угрозе

Рис. 7. Итоговая индивидуальная оценка значимости

Рис. 8. Итоговая групповая оценка значимости

120

Таким образом, на выходе имеется перечень мероприятий с оценкой их значимости, определенной экспертно специалистами организации, что позволяет принимать управленческие решения по снижению рисков информационной безопасности с учетом состояния дел и специфики исследуемой организации.

Список литературы

1. Саати Т.Л. Принятие решений. Метод анализа иерархий. М.: Радио и связь, 1989. 316 с.

2. Саати Т.Л. Об измерении неосязаемого. Подход к относительным измерениям на основе главного собственного вектора матрицы парных сравнений // Журнал "Cloud Of Science". 2015. Т. 2. № 1 [Электронный ресурс]. URL: http://cloudofscience.ru/sites/default/files/pdf/CoS 2 5.pdf (дата обращения 01.11.2016).

3. Милославская Н.Г. Проверка и оценка деятельности по управлению информационной безопасностью: учеб. пособие для вузов. М.: Горячая линия - Телеком, 2012. 166 с.

4. IT Expert Управление рисками. Метод CRAMM [Электронный ресурс] / IT Expert. М., 2002-2016. URL: http://www.itexpert.ru/rus/ ITEMS/77-33 (дата обращения 01.11.2016).

Арефьева Елена Анатольевна, канд. техн. наук, доц., ar_el_an@,mail.ru, Россия, Тула, Тульский государственный университет,

Сафронова Марина Алексеевна, канд. техн. наук, доц., [email protected], Россия, Тула, Тульский государственный университет,

Никитина Алена Валерьевна, студент, ar_el_an@,mail.ru, Россия, Тула, Тульский государственный университет

DEVELOPMENT OF INFORMA TION SECURITY RESEARCH ORGANIZA TION ON THE BASIS OF THE METHOD OF ANALYSIS HIERARCHY

E.A. Arefeva, M.A. Safronova, A. V. Nikitina

An approach to the construction of a system of evaluation of information security of the enterprise based on method of analysis hierarchy is considered.

Key words: information security, risk assessment, method of hierarchy analysis.

Arefeva Elena Anatol'evna, candidate of mathematical sciences, docent, ar_el_an@,mail. ru, Russia, Tula, Tula State University,

Safronova Marina Alekseevna, candidate of mathematical sciences, docent, safrono-vama@rambler. ru, Russia, Tula, Tula State University,

Nikitina Alena Valer'evna, student, ar_el_an@,mail.ru, Russia, Tula, Tula State University