CC BY
108
УДК 004.056 DOI: 10.24412/2071-6168-2021-2-311-316
СОВРЕМЕННЫЕ ИНФОРМАЦИОННЫЕ СИСТЕМЫ
АНАЛИЗА И УПРАВЛЕНИЯ РИСКАМИ В СФЕРЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
И.С. Глущенко, Е.М. Баранова, А.Н. Баранов, С.Ю. Борзенкова
В работе представлен обзор работы программных продуктов ГРИФ и Кон-дор+, предназначенных для анализа и управления рисками ИБ, а также для управления политикой безопасности предприятия; предложено возможное решение для недостатков данных программных продуктов в разрезе построения модели актуальных угроз ИБ.
Ключевые слова: система анализа и управления рисками ИБ, политика безопасности, актуальные угрозы ИБ, модель угроз, информационная безопасность.
На сегодняшний день одними из самых популярных решений в области организации информационной безопасности на предприятии остаются программные продукты ГРИФ и Кондор+. Данные продукты, разработанные компанией Digital Security, с момента своего выхода так и не встретили аналогов на отечественном рынке. В настоящей момент они поставляются в комплексе и направлены на обеспечение комплексной защищенности информационных ресурсов предприятия путем разработки и контроля соблюдения политики безопасности, а также анализа и управления рисками задействованных на предприятии информационных систем. Далее, рассмотрим подробнее каждый программный продукт.
Программное обеспечение ГРИФ представляет собой комплексную систему, предназначенную для проведения анализа и управления рисками информационной системы компании. К основным задачам системы ГРИФ можно отнести следующее:
- анализ вероятности возникновения инцидента, связанного с рисками информационной системы компании
- количественная оценка предполагаемых потерь от возникновения инцидентов
- анализ уровня исходной защищенности информационных ресурсов компании
- планирование организации контрмер, необходимых для достижения достаточной защищенности информационных ресурсов компании
Основные функции программы ГРИФ представлены в табл. 1.
Проведение анализа рисков с помощью системы ГРИФ охватывает все основные этапы, требуемые стандартом ISO 27005:2008, а именно:
- идентификацию активов
- идентификацию угроз
- идентификацию существующих контролей
- идентификацию уязвимостей
- идентификацию последствий.
Отдельно стоит отметить, что при проведении анализа рисков учитываются как технические, так и организационные аспекты защищенности ресурсов информационной системы.
Среди положительных качеств системы ГРИФ можно выделить простоту его использования. Данная система, обладая эргономичным и функциональным интерфейсом, не требует от пользователя специальных знаний в области защиты информации, каждый этап работы снабжен подробными комментариями, что позволяет работать с системой пользователю с любым уровнем компетенций.
Далее, подробнее рассмотрим алгоритм работы ГРИФ. В качестве входных данных, программа принимает следующие параметры:
- перечень информационных ресурсов
- степень критичности информационных ресурсов
- отделы компании, к которым относятся информационные ресурсы
- перечень актуальных угроз, действующих на информационные ресурсы
- перечень уязвимостей, через которые реализуются угрозы
- вероятность реализации угрозы через заданную уязвимость
- степень критичности реализации угроз
Таблица 1
Основные функции ГРИФ_
Реализуемая функция Положительный эффект
Проведение анализа защищенности ценной информации в разрезе каждого отдельного ресурса информационной системы. Позволяет получить информацию об исходной степени защиты по каждому из ресурсов, что позволяет получить более точную стратегию организации защиты информационных ресурсов предприятия.
Прогнозирование реально возможного ущерба для компании в случае возникновения инцидента. Предоставляет возможность адекватного расчета бюджета компании на обеспечение достаточной защищенности информационных ресурсов с учетом возможных потерь при возникновении инцидента, при этом сводя нежелательные расходы средств предприятия к минимуму.
Построение полной модели информационной системы предприятия. Полная модель ИС предприятия позволяет проводить дальнейший анализ с учетом всех особенностей архитектуры конкретной системы.
Анализ уровня риска в отдельности по каждому ресурсу информационной системы. Подобный подход к анализу риска позволяет рационально расставить приоритеты при планировании и организации стратегии защиты информационных ресурсов предприятия.
Управление рисками при помощи выбора контрмер Позволяет рассчитывать расходы на организацию средств защиты информационных ресурсов, при этом достигая оптимального соотношения цены и качества.
Стоит отметить, что перечни угроз и уязвимостей, а также вероятность реализации и степень критичности получаются напрямую из модели угроз.
На первом этапе алгоритма программы происходит расчет уровня угрозы по конкретной уязвимости ТЬ на основе степени ее критичности и вероятности реализации угрозы через рассматриваемую уязвимость. Для дальнейших расчетов выбираются три базовые угрозы: угрозы конфиденциальности, целостности и доступности информационного ресурса. В то же время, программа предполагает возможность проведение расчетов по одной базовой угрозе. Расчет уровня угрозы по конкретной уязвимости ТЬ по трем базовым угрозам производится по формулам (1) - (3):
ТЬ = Щ Р(У) с (1)
с
ТЬ = ТЬ =
100 100
ERi P(V) i (2)
100 100
ERa P(V) a (3)
100 100
где Ri,c,a - критичность реализации угрозы (конфиденциальности, целостности или доступности); P(V)c,i,a - вероятность реализации угрозы через данную уязвимость; Thc,i,a -уровень угроз.
Далее производится расчет уровень угрозы по всем уязвимостям CTh, через которые возможна реализация данной угрозы на конкретном информационном ресурсе. Расчет производится по формулам (4) - (6):
CThc = 1 -П (1 - Thc,,) (4)
j=1
CTh = 1-П (1 - Thj j) (5)
j=1
CTha = 1-П (1 - Tha,,) (6)
a, j
j =1
где СТИо,1,а - суммарный уровень угрозы.
На следующем этапе производится расчет общего уровня угроз по конкретному информационному ресурсу по следующим формулам (7-9):
СТИЯс = 1 -П (1 - СТИс,) (7)
1=1
С1Щ = 1 -П (1 - СТкг}) (8)
1=1
СТИЯа = 1 -П (1 - СТИа 1) (9)
1=1
где СТИЯс,а - общий уровень угроз по конкретному ресурсу.
После того, как был получен общий уровень угроз по ресурсу, производится расчет риска по ресурсу Я по следующей формуле (10):
( (( СТИЯ ■ Д ^ ( СТИЯ ■ Д ^ ( СТИЯ„ ■ д ^
R =
1
1-
W 100
1
100
1
100 УУУ
100 (10)
где Dc,i,a - критичность ресурса; R^ - суммарный риск по трем угрозам.
После того, как были подсчитаны риски по каждому из ресурсов, производится расчет общего риска по всей информационной системе с помощью следующей формулы (11):
CR I = IRc, j + IR j + IRa, j (11)
j=1 j=1 j=1
где CR^ - суммарный риск по информационной системе по трем видам угроз. Таким образом, к выходным данным системы ГРИФ относятся: оценка риска реализации угрозы в разрезе каждого информационного ресурса; суммарная оценка реализации по всем угрозам для каждого информационного
ресурса;
оценка риска реализации угрозы для информационной системы после задания контрмер;
суммарная оценка реализации по всем угрозам для информационной системы после задания контрмер;
оценка эффективности контрмеры и комплекса контрмер. Далее, подробнее рассмотрим программный продукт КОНДОР+, который поставляется в одном комплексе решений с системой ГРИФ и является ее логическим продолжением. Главной целью рассматриваемой программы является управление политикой информационной безопасности компании на основе проведенного анализа рисков и угроз. Руководящим документов для системы КОНДОР+ является стандарт ISO 17799, в котором отражены основные требования к формированию и соблюдению политики безопасности компании.
КОНДОР+ предоставляет пользователю инструментарий для разработки основных положений политики информационной компании, для управления процессом внедрения этих положений на практике, а также для постоянного контроля соблюдения ее положений. Основные функции рассматриваемой программы представлены в табл. 2
Таблица 2
Основные функции КОНДОР+_
Реализуемая функция Положительный эффект
Определение «узких» мест в политике безопасности информационной системы. Позволяет своевременно находить слабые места в действующей политике безопасности компании для того, чтобы своевременно устранить их и тем самым избежать нежелательных материальных потерь.
Анализ риска невыполнения положений политики безопасности, а также ранжирование положений по степени критичности их соблюдения. Дает возможность определить приоритетные положения политики безопасности, выполнению которых следует уделить особое внимание.
Управление рисками, возникающими в связи с невыполнением положений политики безопасности. Позволяет прогнозировать возможные потери при невыполнении тех или иных положений политики безопасности компании.
КОНДОР+ содержит в себе длинный перечень вопросов, ответы на которые позволяют выявить положения политики безопасности, не соблюдаемые в компании на данный момент. Пройдя данный опрос, специалист в области безопасности получает подробный отчет о состоянии политики безопасности, подкрепленный анализом рисков невыполнения этих положений и количественной оценкой возможных потерь.
Как и ГРИФ, рассматриваемая программа обладает доступным и легким в освоении интерфейсом, включающим комментарии ко всем элементам и инструментам, к которым у пользователя могут возникнуть вопросы. Таким образом, данный программный продукт не требует от пользователя особых навыков и специализированного обучения.
Помимо прочего, КОНДОР+ предлагает гибкий редактор отчетов, позволяющий получить на выходе документацию требуемого уровня детализации. Так, может быть получен как отчет, полностью охватывающий всю политику безопасности компании, так и выборочные разделы стандарта ISO 17799. Для большей наглядности все типы выходных документов сопровождаются диаграммами.
Далее, рассмотрим подробнее алгоритм оценки рисков невыполнения требований стандарта ISO 17799, используемый в программе КОНДОР+. Стоит отметить, что для проведения данного анализа необходимо предварительно определить выполненные и невыполненные требования данного стандарта.
Для каждого требования стандарта ISO 17799 установлено определенное весовое значение, дающее оценку его эффективности. Под эффективностью требования в данном случае понимают степень влияния требование на информационную систему. Эффективность требований оценивается экспертами и располагается в диапазоне от 1 до 100.
Максимальный риск невыполнения требований стандарта Vmax определяется суммарной эффективностью всех требований и рассчитывается по следующей формуле (12):
Vmax = I^V , (12)
i=1
где vi- вес i-го требования; n - общее количество требований.
Риск невыполнения требований стандарта определяется отношением суммарной эффективности невыполненных требований к суммарной эффективности всех требований стандарта. Таким образом, риск невыполнения требований стандарта рассчитывается по следующей формуле (13):
n
IV .
/ : невып, i /1 О \ R _ J=1__(13)
V ,
max
где R - риск невыполнения требований; Vневып - вес невыполненного требования; n -количество невыполненных требований.
Рассчитанный риск невыполненный требований стандарта ISO 17799 показывает, насколько невыполненные требования значимы для информационной системы компании. Очевидно, что для снижения рисков необходимо, чтобы компанией выполнялось как можно большее количество требований. При этом особое внимание следует уделить требованиям, имеющим наибольшее влияние на информационную систему.
Как уже отмечалось ранее, программные продукты ГРИФ и КОНДОР+, дополняя друг друга, на сегодняшний день практически не имеют аналогов на отечественном рынке. Они являются незаменимыми инструментами для специалистов в области информационной безопасности, значительно упрощающим процедуру контроля безопасности информационных ресурсов компании.
Стоит также отметить, что в основе функционирования обоих программных продуктов лежит процедура построения модели угроз. В рамках работы системы ГРИФ для оценки рисков необходимо предварительно установить, какие угрозы являются актуальными для рассматриваемого предприятия. В свою очередь, КОНДОР+, являясь логическим продолжением системы ГРИФ, также опирается в своей работе на модели угроз. Однако, именно в процедуре получения модели угроз и кроется главный недостаток рассматриваемого комплекса программных продуктов.
Упомянутый выше недостаток кроется в том факте, что в рамках системы ГРИФ процедура получения модели угроз осуществляется лишь одним экспертом. Очевидно, что данный подход позволяет заметно сократить время работы специалиста ИБ в системе, заметно сокращая сроки получения модели. Но, стоит отметить, что модель угроз является основой для проведения дальнейшего анализа рисков возникновения инцидентов, степени защищенности информационных ресурсов и др. Исходя из этого, очень важно, чтобы полученная на начальном этапе модель угроз была адекватна и отражала действительное положение дел, ведь в противном случае проведение любого дальнейшего анализа не будет иметь прикладного смысла.
При подходе, реализованном в системе ГРИФ, не всегда удается добиться требуемых результатов. Успех построения модели угроз, и, как следствие, успех проведения комплексного анализа ИБ, в рассматриваемом случае напрямую зависит от компетенции лишь одного эксперта, что, в условиях отсутствия в системе оценки компетентности задействованного эксперта, может привести к возможным неточностям в объективности полученных оценок актуальных угроз. Исходя из этого, можно сделать вывод, что полагаться лишь на одного специалиста, вне зависимости от того, насколько высок уровень его квалификации, не является рациональным подходом к процедуре построения модели угроз, которая лежит в основе всей дальнейшей работы в рассматриваемых системах.
Очевидным решением обозначенной выше проблемы является разработка отдельного программного модуля, который включал бы в себя все недостающие системе ГРИФ функции по обработке экспертных оценок, а именно:
определение минимальной необходимой группы экспертов;
оценка компетентности задействованных при построении модели угроз экспертов;
оценка согласованности мнений экспертов по каждому представленному вопросу;
проверка адекватности полученных экспертных оценок;
формирование единого экспертного заключения.
Подобный программный модуль позволит скомпенсировать недостатки рассматриваемых систем. Благодаря подобному подходу к построению модели актуальных угроз ИБ можно будет гарантировать адекватность полученных результатов моделирования и успех дальнейшего анализа при соблюдении норм и процедур его проведения.
Список литературы
1. ГОСТ Р ИСО/МЭК 17799-2005. Информационная технология. Практические правила управления информационной безопасностью.
2. Баранова Е.М., Варывдин В. А. Информационная система для классификации и кластеризации инцидентов внутри организации// Интеллектуальные и информационные системы. интеллект - 2019. Труды Всероссийской научно-технической конференции. 2019. С. 271-276.
3. Кузьмин И.Е., Сафронов А. А., Баранова Е.М., Борзенкова С.Ю. Разработка системы вычисления степени согласованности мнений экспертов в сфере информационной безопасности методом нахождения коэффициента конкордации // Известия Тульского государственного университета. Технические науки. 2020. Вып. 5. С. 11-18.
4. Программные средства проверки политики безопасности на соответствие ISO 17799. [Электронный ресурс] URL: https://www.ixbt.com/cm/iso17799-cobra-kondor012004.shtml (дата обращения: 29.11.20).
Глущенко Илья Сергеевич, студент, ilya.glushchenko@,gmail.com, Россия, Тула, Тульский государственный университет,
Баранова Елизавета Михайловна, канд. техн. наук, доцент, elisafme@,yandex.ru, Россия, Тула, Тульский государственный университет,
Баранов Андрей Николаевич, канд. техн. наук, доцент, an111111 @mail.ru, Россия, Тула, Тульский государственный университет,
Борзенкова Светлана Юрьевна, канд. техн. наук, доцент, tehnolaramhler. ru, Россия, Тула, Тульский государственный университет
MODERN INFORMATION SYSTEM RISK ANALYSIS AND MANAGEMENT IN THE FIELD
OF INFORMA TION SECURITY
I.S. Glushchenko, E.M. Baranova, A.N. Baranov, S.Yu. Borzenkova
The paper presents an overview of the software products VULTURE and Condor+, designed to analyze and risk management, information security, and security policy management of the company; proposed a possible solution for the disadvantages of these software products in the context of building models of actual security threats.
Key words: is risk analysis and management system, security policy, current is threats, threat model, information security.
Glushchenko Ilya Sergeevich, student, lya.glushchenko@,gmail. com, Tula, Russia, Tula State University,
Baranova Yelizaveta Mikhailovna, candidate of technical sciences, docent, [email protected], Tula, Russia, Tula State University,
Baranov Andrey Nikolaevich, candidate of technical sciences, docent, an111111 @,mail. ru, Tula, Russia, Tula State University,
Borzenkova Svetlana Yrievna, candidate of technical sciences, docent, tehnol a ramhler. ru, Tula, Russia, Tula State University
