CC BY
101
СИСТЕМА УПРАВЛЕНИЯ ИНФОРМАЦИОННОМ БЕЗОПАСНОСТЬЮ ПРЕДПРИЯТИЯ
Козунова Светлана Сергеевна
Аспирант, Волгоградский государственный технических университет, Волгоград
АННОТАЦИЯ
Отмечена необходимость разработки полномасштабных систем управления, которые выполняют функции комплексного управления, мониторинга и аудита информационной безопасности. Представлена система управления информационной безопасностью, основанная на принципах конфигурационного управления.
ABSTRACT
There was a need to develop full-scale control sy^ems that perform complex control, monitoring and information security audit. Submitted information security management sy&em based on the principles of configuration management.
Ключевые слова: утечки, потери, управление, архитектура системы.
Keywords:leakage, loss, management sy&em architecture.
Основным способом обеспечения непрерывной деятельности предприятия является организация отказоустойчивости бизнес - процессов, производственных процессов, экономической и управленческой сферы. Однако в связи с ростом автоматизации задач, решаемых в рамках деятельности предприятия, остро стоит вопрос об обеспечении сохранности конфиденциальной информации, коммерческой и государственной тайны. На ряду с применением специализированных средств противодействия кражи информационных ресурсов (ИР) могут быть использованы система управления информационной безопасностью (СУИБ) или система мониторинга защищённости информации (СМИ).
Ежегодно данные отчётов ведущих компаний об утечках информации и их последствиях: частичное или полное приостановление деятельности предприятий, огромные финансовые потери, говорят о необходимости не только обеспечения ИБ, восстановлении информации после сбоя работы систем, но и об обеспечении комплексного управления информационной безопасностью (ИБ). Отчёт компании InfoWatch, опубликованный на официальном сайте в прошлом году (рисунок 1), говорит о росте числа утечек защищаемой информации.
300 700 600 500 400 300 200 100 О
723 654
j/196
359 420
>""291 260
1 57
X h
2004 2006 2008 2010 2012 2014 2016
Рисунок 1. Результаты исследования утечек информации компанией InfoWatch.
Число утечек со 157 (2006 год) выросло до 723 (2015 год) [1]. По данным, представленным в [1], в 2008 году число утечек составило 260, в 2010 - выросло до 359. В 2013 году утечки информации составили 496, а через год (2014) возросли до 654 [1].Можно сделать вывод, что, не смотря на усовершенствование методик по защите информации, улучшение качества систем защиты информации (СЗИ), хакерские навыки по осуществлению взлома СЗИ и выводу из строя за-
щищаемых информационных систем позволяют достигнуть им своей цели: хищения критически важных ИР. При высокой численности утечек конфиденциальной информации, последствия для предприятий критические: невозможность найти виновного в краже информации, финансовые потери, рост социальной инженерии. По данным Zecurion Analytics за 2014 год, максимальный ущерб от одного инцидента ИБ в российских компаниях составил 30 миллионов долларов,
средний ущерб в мире от одной утечки- 25 миллионов долларов [2]. Из информации, представленной выше, следует, что кражи и утечки ИР увеличиваются, а убытки, нанесённые предприятиям, растут. Анализ работ [3-5], показал, что применение СУИБ и СМИ позволяет снизить риски нарушения ИБ и оказать противодействие несанкционированному доступу к информации. Однако часто сложная реализация таких систем приводит к трудностям, возникающим при внедрении и использовании механизмов управления. Таким образом, СУИБ и СМИ должны обладать гибким механизмом администрирования. В [3] отмечено, что современные СУИБ решают специализированную задачу, а не совокупность задач, это не позволяет использовать технологию комплексного управления. Для проектирования и реализации СУИБ предприятия, специалистами используется
определённый метод управления: кибернетический (основан на принципах кибернетики и модели «чёрного ящика»), организационный (утверждённая политика ИБ и система внутренних документов, регламентирующих основные положения ИБ), процессный подход (непрерывность функционирования управленческих процессов), оптимизационный (поиск и применение оптимальных функций управления) [4]. Для достижения эффективного управления ИБ, необходимо применять комплексный подход, представляющий собой совокупность методов управления, описанных выше. Преимущества использования такого подхода к управлению ИБ описаны авторами [5].В качестве исследуемой проблемы предложена СУИБ, архитектура которой представлена на рисунке 2.
Рисунок 2. Архитектура системы управления информационной безопасностью предприятия
Так как СЗИ распределённые и многозадачные, при разработке СУИБ будем использовать концепцию конфигурационного управления, методика которой представлена автором [4].
Разработанная СУИБ представляет собой клиент-серверную систему. Клиентская часть позволяет взаимодейство -вать пользователю (специалисту по защите информации) с СУИБ по средствам пользовательского интерфейса. Для наглядного отображения функций управления в СУИБ существует подсистема графической визуализации. Серверная часть включает в себя БД, компонент системного анализа, компонент диспетчеризации и компонент мониторинга. СУИБ объединяет функционирование четырёх подсистем и шести модулей.
Отличие разработанной СУИБ от ранее предложенных заключается в том, что набор конфигураций, позволяет сформировать систему многоуровневого управления.
Список литературы:
1. Панасенко А. Конфиденциальные данные продолжают утекать. [Электронный ресурс]. - URL: http://www. anti-malware.ru/analytics/Threats_Analysis/Sensitive_data_ continue_leak (дата обращения: 13.06.2016).
2. Zecurion Analytics. Утечки конфиденциальной информации [Электронный ресурс]. - URL: http://www. zecurion.ru/upload/iblock/fe3/Zecurion_Data_leaks_2015.pdf (дата обращения: 13.06.2016).
3. Сердюк Н.Н. Архитектура информационно-аналитической системы управления безопасностью производства / Н. Н. Сердюк// Автоматизированные системы управления и приборы, 2014, №167.
4. Козунова С.С. Информационная система управления информационной безопасностью организации // Наука и Мир. 2016. Т. 1. №4(32). С.59-60.
5. Козунова С.С., Бабенко А.А. Автоматизация управления инвестициями в информационную безопасность предприятия //Вестник компьютерных и информационных технологий. 2015. №3 (129). С.38-44.
