Унификация подходов к управлению уровнем информационной безопасности в организациях различного профиля Текст научной статьи по специальности «Компьютерные и информационные науки»

УПРАВЛЕНИЕ В СОЦИАЛЬНЫХ И ЭКОНОМИЧЕСКИХ СИСТЕМАХ

УДК 004.056

И. М. Ажмухамедов, О. М. Князева

УНИФИКАЦИЯ ПОДХОДОВ К УПРАВЛЕНИЮ УРОВНЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В ОРГАНИЗАЦИЯХ РАЗЛИЧНОГО ПРОФИЛЯ

Разработана унифицированная методика управления уровнем информационной безопасности, которая включает в себя два этапа: оценку текущего уровня информационной безопасности на основе нечетких продукционных правил и синтез управляющих решений на основе применения нечеткого когнитивного моделирования для вывода сервисов информационной безопасности на необходимый целевой уровень. Алгоритм оценки уровня информационной безопасности представлен в виде итерационного процесса, включающего в себя следующие этапы: вербальная оценка уровня повреждений; поиск соответствующих правил в базе знаний; оценка состояния сервисов безопасности на текущем уровне иерархии согласно найденным правилам; идентификация и исключение из рассмотрения блоков, содержащих повреждения, уровень которых не позволяет идентифицировать повреждения некоторых блоков на следующем уровне; вычисление интегральной оценки сервисов безопасности и обобщенного показателя информационной безопасности объекта информатизации в целом. Методика оценки уровня информационной безопасности не предусматривает решение задачи выработки управляющих решений для вывода сервисов информационной безопасности на необходимый целевой уровень, поскольку в ней не содержится информация о причинно-следственных связях между наблюдаемыми повреждениями информационных активов и средств защиты информации и угрозами и уязвимостями, сделавшими возможной реализацию атак, которые привели к наблюдаемым повреждениям. Для решения задачи второго этапа была построена модель, отражающая связи между повреждениями информационных активов и средств защиты информации, угрозами и уязвимостями. Оценка уровня информационной безопасности на основе нечетких продукционных правил дает возможность лицу, принимающему решения, вырабатывать обоснованное суждение о необходимости синтеза управляющих решений для вывода сервисов безопасности на заданный целевой уровень, а нечеткая когнитивная модель позволяет синтезировать данные управляющие решения. Методика управления уровнем информационной безопасности была апробирована в ряде организаций. Результаты апробации позволили сделать вывод о возможности использования методики в организациях различного профиля деятельности.

Ключевые слова: информационная безопасность, сервисы безопасности, угрозы, уязвимости, повреждения, меры защиты, лингвистическая переменная, нечеткие числа.

Введение

Существенное влияние на процесс обеспечения информационной безопасности организации оказывает профиль ее деятельности. Это связано с тем, что он определяет:

- виды информации, с которой работает организация (коммерческая тайна, профессиональная тайна, служебная тайна, персональные данные и т. д.);

- способы обработки информации и каналы ее передачи;

- уровень доступа посторонних лиц на территорию организации и т. д.

Отметим, что каждая организация вынуждена искать свои методы и способы управления уровнем информационной безопасности. Унификация подходов позволила бы снизить трудоемкость данного процесса.

Постановка задачи

С учетом вышесказанного была определена задача исследований - разработка унифицированной методики управления уровнем информационной безопасности (ИБ).

Методика управления уровнем информационной безопасности

Управление уровнем ИБ является итерационным процессом и включает в себя два этапа:

- оценка текущего уровня ИБ (сервисов «Конфиденциальность», «Целостность», «Доступность»);

- синтез управляющих решений для вывода сервисов ИБ на необходимый целевой уровень.

Рассмотрим решение задач каждого этапа более подробно.

Оценка текущего уровня информационной безопасности. В основе предлагаемого нами подхода к оценке текущего уровня ИБ лежит применение нечетких продукционных правил (НИИ).

Будем считать, что состояние сервисов ИБ характеризуется интенсивностью повреждений информационных активов (ИА) и средств защиты информации (СЗИ). Отметим, что под повреждением имеется в виду нарушение нормального (соответствующего требованиям ИБ) режима функционирования, а под ИА, согласно ГОСТ Р ИСО/ТО 13569-2007, понимаются информационные ресурсы и средства обработки информации.

Уровень повреждений обычно определяется лицом, принимающим решение (ЛИР), на основании наблюдений и формулируется им в виде лингвистических оценок. Для формализации таких оценок введем лингвистическую переменную «Уровень фактора» и терм-множество ее значений ()Ь, состоящее из 5 элементов:

0Ь= {Низкий (Н), Нижесреднего (НС), Средний (С),Выше среднего (ВС), Высокий (В)}.

В качестве семейства функций принадлежности для ()Ь будем использовать пятиуровневый классификатор, в котором функциями принадлежности нечетких чисел, заданных на отрезке [0, 1] □ 7?, являются трапеции

(ХХ(аи а2, аъ, а4)},

где а\ и а4 - абсциссы нижнего, аг и аз - абсциссы верхнего основания трапеции.

Суть данного нечеткого классификатора в том, что если о факторе неизвестно ничего, кроме того, что он может принимать любые значения в пределах 01-носителя (принцип равнопредпоч-тительности), а надо провести ассоциацию между качественной и количественной оценками фактора, то предложенный классификатор делает это с максимальной достоверностью [1].

Для формализации экспертных суждений, отражающих влияние наблюдаемых повреждений ИА и СЗИ на уровень сервисов безопасности, используем набор НИИ, которые образуют базу знаний (БЗ), вида

= = 5 ■)]),

где Д, Б] е ()Ь - лингвистические оценки уровня повреждения ИА и СЗИ и оценки состояния сервисов безопасности соответственно; символ «=» используется в качестве оператора сравнения; условия Оел, = Д определяют уровень г-го повреждения ИА или СЗИ; выводы Щ = определяют состояние у-го сервиса безопасности; О, отражает степень уверенности эксперта в выводе и, согласно шкале Харрингтона, имеет следующие вербальные интерпретации: 0,00-0,20 - невозможно; 0,20-0,37 - маловероятно; 0,37-0,63 - возможно; 0,63-0,80 - весьма возможно; 0,80-1,0 - точно.

С целью учета ситуации при формировании БЗ, когда при высоком уровне одних повреждений невозможно определить уровень других, была построена иерархия повреждений, состоящая из 4 уровней и включающая в себя 13 блоков (рис.). Отметим, что внутри одного уровня иерархии повреждения не влияют друг на друга; повреждения, находящиеся на более низких уровнях иерархии, при определенных условиях могут влиять на возможность идентификации повреждений более высоких уровней.

Иерархию повреждений можно легко адаптировать к специфическим особенностям организаций путем изменения блоков, входящих в иерархию повреждений; связей между блоками; наборов критических повреждений и т. д.

Для заполнения БЗ предлагается использовать следующий алгоритм:

1. Эксперты определяют «атомарные» правила вида

Если[о№ = д,.]То[(а)К. =5,)] •

(1)

Данные правила отражают влияние каждого уровня повреждения элементов в блоках иерархии на сервисы безопасности. Общее количество атомарных правил при этом составляет 295.

2. Для оценки влияния повреждений £-го блока, наблюдаемых ЛПР, в целом на у-й сервис безопасности К) > воспользуемся «блоковыми» правилами вида

шах

п{от}„

={агё(пипг(5г))}

=

где IV - количество повреждений в к-м блоке; - уровень наблюдаемых повреждений

М - количество сервисов безопасности, на которые влияют повреждения £-го блока; 5г - определяемое согласно соответствующему атомарному правилу значение сервиса безопасности К7

при уровне повреждения Вез{, равном ог; От - степень уверенности эксперта в оценке влияния

повреждения имеющего уровень ог, нау-й сервис безопасности.

Полученная таким образом совокупность «блоковых» правил и образует БЗ. При этом БЗ является полной, поскольку для каждого набора уязвимостей определен логический вывод; неизбыточной, поскольку ликвидация хотя бы одного правила делает БЗ неполной; непротиворечивой, поскольку исключена ситуация, когда два и более правил БЗ имеют одинаковые левые и разные правые части.

Важным этапом создания БЗ является определение множества «узловых» повреждений блоков и их «критических» уровней. Под «узловыми» понимаются повреждения, которые при достижении определенного («критического») уровня не позволяют идентифицировать повреждения некоторых блоков на следующем уровне.

Определение «критических» уровней «узловых» повреждений блоков на каждом уровне иерархии осуществляется экспертами.

Для составления БЗ в качестве экспертов были привлечены представители правоохранительных и контролирующих органов государственной власти, а также преподаватели профильных кафедр Астраханского государственного технического университета (АГТУ).

Иерархия повреждений: ПО - программное обеспечение; НСД - несанкционированный доступ

Получение экспертных данных осуществлялось методом комиссии. Каждому эксперту предоставлялся список атомарных правил вида (1) с заполненными левыми и пустыми правыми частями:

Если [Повреждения каналов передачи данных = Н] То [(_) (Сервис «Доступность»

(сД) =_)];

Если [Повреждения каналов передачи данных = Н] То [(_) (Сервис «Целостность»

(сЦ) =_)];

Если [Повреждения каналов передачи данных = НС] То [(_) (Сервис «Доступность» (сД) =_)];

Если [Повреждения файлов на рабочих станциях = В] То [(_) (Сервис «Доступность» (сД) =_)];

Если [Повреждения файлов на рабочих станциях = В] То [(_) (Сервис «Целостность» (сЦ) =_)].

Эксперту необходимо было оценить (с определенной степенью уверенности) влияние каждого повреждения (левая часть правила) на сервисы безопасности (правая часть правила).

Итоговые значения уровней сервисов безопасности были определены коллективно - путем проведения экспертами открытой дискуссии.

Эксперты определили также «критические» значения «узловых» повреждений блоков на каждом уровне иерархии:

- для элементов блока физических повреждений серверов ИС «критическое» значение оказалось равным ВС;

- для элементов блока физических повреждений рабочих станций ИС - ВС;

- для повреждений системного ПО серверов - С;

- для повреждений системного ПО рабочих станций - С;

- для повреждений пользовательского ПО серверов - ВС;

- для повреждений пользовательского ПО рабочих станций - ВС.

На основании изложенного алгоритм оценки уровня ИБ может быть представлен в виде итерационного процесса, включающего в себя следующие этапы: вербальная оценка уровня повреждений; поиск соответствующих правил в БЗ; оценка состояния сервисов безопасности на текущем уровне иерархии согласно найденным правилам; идентификация и исключение из рассмотрения блоков, содержащих «узловые» повреждения, уровень которых выше критического; вычисление интегральной оценки сервисов безопасности и обобщенного показателя ИБ объекта информатизации в целом.

Оценка состояния сервисов безопасности на каждом уровне иерархии определяется как минимум значений, полученных в результате применения «блоковых» правил рассматриваемого уровня:

К1 = тт*(*г*)], (2)

где К1] -у-й сервис безопасности на 1-м уровне.

Интегральная оценка сервисов безопасности Щ находится как минимум значений критериев ИБ, найденных на каждом из уровней иерархии повреждений, которые удалось идентифицировать:

К1 ^ЛО-ЦЦтЦ^^ = '

Для нахождения обобщенного показателя ИБ объекта информатизации в целом предлагается использовать мультипликативную свертку интегральных оценок сервисов безопасности:

¡=1 '

где К0 - обобщенный показатель ИБ объекта информатизации в целом.

Применение мультипликативной свертки обусловлено тем, что она, в отличие от аддитивной, более чувствительна к критериям, имеющим низкие значения.

Синтез управляющих решений. Предложенная методика оценки уровня ИБ не предусматривает решение задачи выработки управляющих решений для вывода сервисов ИБ на необ-

ходимый целевой уровень, поскольку в ней не содержится информация о причинно-следственных связях между наблюдаемыми повреждениями ИА и СЗИ и угрозами и уязвимо-стями, сделавшими возможной реализацию атак, которые, в свою очередь, привели к наблюдаемым повреждениям.

Таким образом, для решения задачи второго этапа необходима модель, отражающая связи между повреждениями ИА и СЗИ, угрозами и уязвимостями.

При построении такой модели необходимо иметь в виду, что процесс обеспечения ИБ характеризуется рядом особенностей (неполнота и неопределенность исходной информации о составе и характере угроз; невозможность количественного измерения большинства параметров процесса; большое число частных показателей и т. д.). Учесть указанные особенности позволяет нечеткое когнитивное моделирование, неоспоримыми достоинствами которого являются возможность формализации численно неизмеримых факторов и возможность использования неполной, нечеткой и даже противоречивой информации [2-4]. В качестве нечеткой когнитивной модели процесса обеспечения ИБ предлагается принять кортеж [1,5]:

/5 = <в, £, 5, Я, £Ъ,

где в - ориентированный граф, не содержащий горизонтальных ребер в пределах одного уровня иерархии; - набор качественных оценок уровней каждого фактора в графе; 5 - множество весов ребер графа Б, отражающих степень влияния концептов на заданный элемент следующего уровня иерархии; Я - набор правил для вычисления значений концептов на каждом из уровней иерархии в; О, - индекс схожести, характеризующий степень соответствия значения фактора той или иной качественной оценке из терм-множества лингвистической переменной ОЬ.

Индекс схожести О. двух нечетких чисел: А(аи а2, аъ, а4) и В(Ь\, Ь2, Ь4) с соответствующими функциями принадлежности и цв(х) находим по следующим формулам [1]:

п_ Рш Рри<

р— »

+ Р ОШ

где

а4

Р СШ =

4

Ьг

Здесь роМ - площадь нечеткого числа В (Ь\, Ь2, Ьз, ¿4), характеризующего результат, лежащая вне эталонного нечеткого числа А(аи а2, аъ, а4), а р,„ - площадь, лежащая внутри этого же нечеткого числа).

Вершины графа в на нижнем, пятом, уровне отражают механизмы и СЗИ 2, з, ...}• Четвертый уровень представлен угрозами ИБ С/Ср,2, з,...} и уязвимостями 2, з, ...}•

На 3-м уровне расположены концепты, соответствующие атакам на ИС — 2, з, ...}•

Второй уровень представлен повреждениями элементов информационных систем (ИС) и СЗИ Ое^и, 2, з, ...}•

Первый уровень образуют частные сервисы безопасности: сК - конфиденциальность; сЦ - целостность; сД - доступность.

Вершина нулевого уровня К0 графа С соответствует интегральному критерию ИБ объекта информатизации в целом.

Нечеткая когнитивная модель легко адаптируется к специфическим особенностям организаций путем изменения в графе в множества вершин и связей.

Для описания состояния концептов графа в предлагается использовать лингвистическую переменную «Уровень фактора» и терм-множество ее значений ()Ь.

Вычисление текущих значений факторов в графе в предлагается производить по приведенным ниже формулам (3)-(9):

йг>иггП(лп/(л))(3)

¡=1

где - остаточный (после применения мер защиты />, ) уровень /-й уязвимости; UZi - исходный (до применения СЗИ) уровень /-й уязвимости; иг ] = 1, в случае наличия уязвимости, [/2 у = 0, в случае отсутствия уязвимости; N - количество мер защиты р,, влияющих на /-ю уязвимость; р1 - интенсивность г-й защитной меры, влияющей на /-ю уязвимость; ои е [0; 1] -коэффициент снижения уровня /-й угрозы в результате применения г-й защитной меры р1.

Для нахождения инверсии приращения фактора ^ предлагается использовать выражение

/иу(^) = (1-Ц(^)), (4)

где - функция принадлежности нечеткого числа, соответствующего лингвистическому значению ОЬР приращения фактора /<\

1Ю1 = иСгХ[{1тШТ, (5)

¡=1

где ЬЮ] - остаточный (после применения мер защиты Хг) уровень /-й угрозы; иС] - исходный (до применения СЗИ) уровень у-й угрозы; иС] = 1, в случае наличия угрозы, иС] = О, в случае отсутствия угрозы; L - количество мер защиты , влияющих на]-ю угрозу; г, - интенсивность г-й защитной меры, влияющей на /-ю угрозу; Р;е [0;1] - коэффициент снижения уровня 7-й угрозы в результате применения г-й защитной меры г,.

А] = • иг,} , (6)

где А] - уровень/-й атаки; 112— уровень г-й уязвимости,

{О - если для реализации угрозы иС] не требуется наличие уязвимости \]Ъ{, 1-если для реализации угрозы требуется наличие уязвимости \JZi-

= тах,{ А, • р^г], (7)

где Оея, - уровень /-го повреждения; е ОЬ - интенсивность влияния г-й атаки на у-е повреждение.

К] = ■ пИ,}), (8)

где К] - уровень /'-го частного сервиса безопасности; Г)е$г - уровень г-го повреждения, влияющего на /-й сервис безопасности; т^ £ О^ - интенсивность влияния г-го повреждения на /-й сервис безопасности.

= (9)

¡=1

где Ко - уровень комплексной безопасности ИС; К] - уровень/-го частного сервиса безопасности.

Состояния мер защиты р1, входящих в систему комплексного обеспечения ИБ (СКОИБ), определяет ЛПР.

Если р1 не представляет собой совокупность отдельных мер защиты информации (такие Pi назовем «атомарными»), то ЛПР задает лингвистическую оценку непосредственно pi.

Если р1 представляет собой комплекс отдельных мер защиты информации р1. (такие меры защиты назовем «молекулярными»), то ЛПР задает лингвистическую оценку р1., входящих в р1. Состояние р, в этом случае определяется на основе следующих правил:

р{ = пип{р'}], если |р'}] действуют одновременно (параллельно), р1 = П(р';) > если {Р]\ действуют последовательно, образуя рубежы защиты,

где р, - текущее значение, отражающее состояние г-й «молекулярной» меры защиты; р1. - /'-я мера защиты, входящая в г'-ю «молекулярную» меру защиты; М - количество р1. образующих Р, ; а, е[0;1] - коэффициент влияния р. нар, .

Поскольку повреждение СЗИ Р, - это нарушение его нормального (соответствующего требованиям ИБ) режима функционирования, то состояние Р, можно определить как инверсию уровня его повреждения, оцененного в методике оценки уровня ИБ.

Для применения НКМ на практике необходимо определить множество весов ребер 5 графа в, отражающих степень влияния концептов друг на друга.

Для решения данной задачи в качестве экспертов были привлечены представители правоохранительных и контролирующих органов государственной власти, представители банков и финансово-экономических учреждений, работники организаций, работающих в сфере оказания услуг по обеспечению ИБ, а также преподаватели профильных кафедр АГТУ. Общее количество экспертов составило 9 человек. Итоговые значения были определены коллективно - путем проведения экспертами открытой дискуссии.

Построенная НКМ, так же как и методика оценки уровня безопасности ИА на основе НПП, позволяет оценить уровень ИБ. Полученная при этом оценка будет ниже (не выше) чем оценка, полученная на основе НПП, поскольку при переходе от одного уровня к другому в графе в НКМ учитываются максимальные значения уровней угроз, уязвимостей, атак и повреждений.

Данная методика была реализована в виде программного продукта, при помощи которого ЛПР может оценить состояние ИБ и принять обоснованные решения по управлению ее уровнем.

Предложенные методики в совокупности позволяют управлять уровнем ИБ. Методика оценки уровня ИБ на основе НПП дает возможность ЛПР вырабатывать обоснованное суждение о необходимости синтеза управляющих решений для вывода сервисов безопасности на заданный целевой уровень, а нечеткая когнитивная модель дает возможность ЛПР синтезировать данные управляющие решения.

Пример практического применения методик в коммерческой компании, предоставляющей ГГ-услуги

Проиллюстрируем применение предложенных методик для управления уровнем ИБ в компании ООО «АпГрейд». Основными видами деятельности организации являются: разработка ПО и консультирование в этой области; деятельность по созданию и использованию баз данных и информационных ресурсов; техническое обслуживание и ремонт офисных машин и вычислительной техники.

Оценка текущего уровня информационной безопасности ООО «АпГрейд». Итерация 0. Специалистом по ИБ ООО «АпГрейд» (ЛИР) были оценены повреждения на 0-м уровне иерархии: А\ = НС; Д, = С;В2 = ВС; В3 = В; С, = Н; г, = НС; ^ = Н; Е, = Н; Е2 = Н, где, в соответствии с иерархией повреждений, - повреждения каналов передачи данных; В] - повреждения инженерно-технических средств (мер) защиты информации; В2 - повреждения аппаратных средств (мер) защиты информации; В3 - повреждения организационно-правовых средств (мер) защиты информации; С1 - повреждения носителей с резервными копиями данных; 2\ - повреждения жестких дисков серверов; 2\2 - повреждения элементов обработки данных серверов; Е\ - повреждения жестких дисков рабочих станций; Е2 - повреждения элементов обработки данных рабочих станций.

Далее был осуществлен поиск соответствующих правил в БЗ:

Если ([А, = НС]) То ([{1,0} (сД = В)] & [{1,0} (сЦ = ВС)]);

Если ([»! = С] & [В2 = ВС] & [В3 = В]) То ([{0,9} (сД = С)] & [{0,85} (сЦ = С)] & [{0,9} (сК = Н)]);

Если ([С! = Н]) То ({1,0} (сД = В)] & [{1,0} (сЦ = В)]);

Если (й = НС] & [г2 = Н]) То ([{0,95} (сД = В)] & [{0,85} (сЦ = В)]);

Если ([Я! = НС] & [Е2 = Н]) То ([{1,0} (сД = В)] & [{1,0} (сЦ = В)]).

Результат оценки состояния сервисов безопасности на 0-м уровне иерархии:

сД = {тах(0,9) = 0,9} (тт(В; С; В; В; В)); сЦ = {тах(0,85) = 0,85} (тт(ВС; С; В; В; В)); сК = {тах(0,9) = 0,9} (тш(Н) = Н).

Поскольку «узловые» повреждения находятся не на «критическом» уровне (2.\ = НС < ВС;

= Н < ВС; Е\ = НС < ВС; Е2 = Н < ВС), то был осуществлен переход на 1-й уровень иерархии.

Итерация 1. Были оценены повреждения на 1-м уровне иерархии: = Н; б] = С.

В БЗ данным значениям соответствуют следующие правила:

Если ([^ = Н]) То ([{1,0} (сД = В)] & [{1,0} (сЦ = В)]); Если ([Сх = С]) То ([{0,8} (сД = НС)] & [{0,85} (сЦ = С)]).

Результат оценки состояния сервисов безопасности на 1-м уровне иерархии: сД = {тах(0,8) = 0,8} [тш(В;НС) = НС];

сЦ = {тах(0,85) = 0,85} [шп (В; С) = С].

Поскольку б] = С {«узловое» повреждение имеет «критический» уровень), то из дальнейшего рассмотрения исключаются: блок повреждений пользовательского ПО рабочих станций; блок повреждений программных средств СЗИ, установленных на рабочих станциях. Несмотря на это, на следующем уровне иерархии остаются блоки для рассмотрения, поэтому был осуществлен переход на 2-й уровень.

Итерация 2. Оценка повреждений на 2-м уровне иерархии показала, что Н\ = Н; 7] = Н; 12 = С; Уз = В; За, = С.

Поиск соответствующих правил в БЗ дал следующий результат:

Если ([#! = Н]) То ([{1,0} (сД = В)] & [{1,0} (сЦ = В)]); Если ([7, = Н] & [У2 = С] & [73 = В] & [Л = С]) То ([{0,7} (сД = С)] & [{0,8} (сЦ = С) & [{0,9} (сК = НС)]).

Оценка состояния сервисов безопасности на 2-м уровне иерархии:

сД = {тах(0,7) = 0,7} [пип(В; С) = С];

сЦ = {тах(0,8) = 0,8} [тш(В; С) = С] ; сК = {тах(0,9) = 0,9} [тт(НС) = НС].

Поскольку «узловые» повреждения ниже «критического» значения (Н\ = Н < ВС), то был осуществлен переход на 3-й уровень иерархии.

Итерация 3. Оценка повреждений на 3-м уровне иерархии: = Н.

Соответствующее правило БЗ имеет вид:

Если ([^ = Н]) То ([{1,0} (сД = В)] & [{1,0} (сЦ = В)]).

Результат оценки состояния сервисов безопасности на 3-м уровне иерархии:

сД = {тах(1,0) = 1,0} [1шп(В) = В];

сЦ = {тах(1,0) = 1,0} [тт(В) = В].

Поскольку текущий (3-й) уровень последний, то был осуществлен переход к вычислению интегральной оценки сервисов безопасности по формуле (2):

сК = {тах(0,9) =0,9} [тт(Н; НС; НС) = Н]; сЦ = {тах(0,85; 0,85; 0,8) = 0,85} [тт(С; С; С; В) = С]; сД = {тах(0,8) = 0,8} [тт(С; НС; С; С) = НС].

Полученные значения отражают текущий уровень ИБ в ООО «АпГрейд».

Результаты оценки оказались неудовлетворительными для ЛИР, поэтому было принято решение о повышении уровня ИБ и осуществлен синтез управляющих решений для вывода сервисов ИБ на необходимый целевой уровень.

Синтез управляющих решений для ООО «АпГрейд». Для решения задачи синтеза управляющих решений специалист по ИБ ООО «АпГрейд» оценил состояние СЗИ, имеющихся в организации:

Р\ - процедура защиты документов при их хранении - гшп( р], р]):

- регламент защиты документов при их хранении - НС;

- р] - контроль защиты документов при их хранении - НС;

Р2 - процедура контроля за работой пользователей ИС и обслуживающего персонала -гтп(р2,р2у.

- р2 - организационные средства контроля за работой пользователей ИС и обслуживающего персонала - С;

- р2 - технические средства контроля за работой пользователей ИС и обслуживающего персонала - Н;

Р3 - использование сертифицированного лицензионного ПО - В;

Р4 - процедура разграничения доступа к ИА - пип( р4,р4, р4):

- р4~ организационные меры разграничения доступа к ИА - С;

- рА- технические меры разграничения доступа к ИА - НС;

- р4 - программно-аппаратные меры разграничения доступа к ИА - С;

Р5 - техническая поддержка аппаратных средств - С;

Рб - поддержка программных средств - С и т. д.

В результате применения программного продукта, реализующего описанную выше методику синтеза управляющих решений для вывода сервисов ИБ на необходимый целевой уровень, на основании информации от ЛИР были получены следующие оценки сервисов ИБ:

- уровень конфиденциальности - Н (индекс схожести Q = 1);

- уровень целостности - НС (индекс схожести Q = 0,96);

- уровень доступности - НС (индекс схожести Q = 0,96).

Было выявлено, что низкий уровень конфиденциальности в первую очередь связан с нарушениями в организации пропускного режима. Эти нарушения могут быть результатом реализации угрозы «Подкуп персонала», которая реализуется через уязвимость «Мотивированность персонала на совершение деструктивных действий». Уровень данной уязвимости может быть снижен путем соответствующей работы с персоналом и путем усиления контроля за работой сотрудников.

На уровень целостности и доступности наибольшее влияние оказали повреждения каналов передачи данных. К этим повреждениям, согласно НКМ, может привести сбой, который, в свою очередь, может произойти из-за низкой надежности каналов. Повысить надежность можно путем усиления работы службы технической поддержки и путем заземления основного и вспомогательного оборудования, используемого при обработке информации.

Полученные данные послужили основанием для разработки рекомендаций по усилению мер, направленных на обеспечение конфиденциальности, целостности и доступности информации. Был усилен контроль над работой сотрудников, проведены тренинги для сотрудников, посвященные ИБ; заземлено основное и вспомогательное оборудование, используемое при обработке информации; усилена специалистами служба технической поддержки и внесены изменения в должностные инструкции работников данной службы.

Реализация указанных превентивных мер защиты, а также ликвидация существующих повреждений ИА и СЗИ позволили повысить уровень конфиденциальности, целостности и доступности до состояния ВС.

Аналогичная работа была проведена в АГТУ (образовательное учреждение), в ООО «Электроспецмонтаж» (коммерческая компания, предоставляющая услуги по электромонтажу), в Астраханском центре «Аэронавигация Юга» (государственная корпорация по организации воздушного движения). Полученные результаты позволили сделать вывод о возможности применения предлагаемой методики в организациях различного профиля.

Заключение

Таким образом, унификация походов позволила разработать методику, которая может быть применена в организациях различного профиля.

Методика позволяет:

- оценить текущий уровень ИБ в организации;

- в случае неудовлетворительных результатов оценки синтезировать управляющие решения для вывода сервисов ИБ на необходимый целевой уровень.

СПИСОК ЛИТЕРАТУРЫ

1. Ажмухамедов И. М. Системный анализ и моделирование слабоструктурированных и плохофор-мализуемых процессов в социотехнических системах / И. М. Ажмухамедов, О. М. Проталинский // Инженерный вестн. Дона // URL: http://www.ivdon.ru/magazine/archive/n3y2012/916.

2. Авдеева 3. К. Когнитивное моделирование для решения задач управления слабоструктурированными системами (ситуациями) / 3. К. Авдеева, С. В. Коврига, Д. И. Макаренко // Когнитивный анализ и управление развитием ситуаций (CASC'2006): Тр. 6-й Междунар. конф. / под ред. 3. К. Авдеевой, С. В. Ковриги. М.: Ин-т проблем управления РАН, 2006. С. 41-54.

3. Максимов В. И. Когнитивные технологии для поддержки принятия управленческих решений / В. И. Максимов, Е. К. Корноушенко, С. В. Качаев // Технологии информационного общества 98 - Россия»: материалы конф. // URL: http://www.iis.ru/events/19981130/maximov.ru.html.

4. Борисов В. В. Нечеткие модели и сети / В. В. Борисов, В. В. Круглов, А. С. Федулов. М.: Горячая линия - Телеком, 2012. 284 с.

5. Ажмухамедов И М. Динамическая нечеткая когнитивная модель оценки уровня безопасности информационных активов вуза / И. М. Ажмухамедов // Вестн. Астрахан. гос. техн. ун-та. Сер.: Управление, вычислительная техника и информатика. 2012. № 2. С. 137-142.

Статья поступила в редакцию 5.12.2014, в окончательном варианте - 12.12.2014

ИНФОРМАЦИЯ ОБ АВТОРАХ

Ажмухамедов Искандер Маратович - Россия, 414056, Астрахань; Астраханский государственный технический университет; канд. техн. наук, доцент; доцент кафедры «Информационная безопасность»; [email protected].

Князева Оксана Михайловна -Россия, 414000, Астрахань; ООО «С1рОгас1е»; старший инженер; [email protected].

Abstract A unified method of the level of information security control is developed; it includes two stages: assessment of the current level of information security based on the fuzzy production rules and synthesis of the control decisions based on the application of fuzzy cognitive modeling to bring information security services to the desired target level. The algorithm for assessment of the level of information security is presented in the form of the iterative process, involving the following steps: verbal assessment of the level of damage; search for the relevant rules in the knowledge base; assessment of the state security services at the current level of the hierarchy according to the rules; identifying and excluding from consideration of the blocks containing the damage, the level of which does not allow identification of some blocks at the next level; calculation of integral evaluation of security services and generalized index of information security of the information object in general. The proposed method of assessment of the level of information security does not provide the solution of generating control solutions for information security services output to the desired target level, since it does not contain information about the cause-and-effect relationships between the observed damage information assets and means of information security threats and vulnerabilities and have made it possible implementation attacks, which in turn led to the observed damage. To solve the problem of the second phase was a model showing the links between the damage information assets and means of information security, threats and vulnerabilities. Assessing the level of information security based on the fuzzy production rules enables the decision maker make an informed judgment about the need for synthesis of control solutions for the withdrawal of security services to the specified target level, and the fuzzy cognitive model allows to synthesize the data management decisions. The technique level management of information security has been tested in several organizations in the various fields of activity. The obtained results led to the conclusion on the applicability of the proposed methodology in organizations in the various fields.

Key words: information security, security services, threat, vulnerability, damage, protection, linguistic variable, fuzzy numbers.

1. Azhmukhamedov I. M., Protalinskii O. M. Sistemnyi analiz i modelirovanie slabo strukturi-rovannykh i plokho formalizuemykh protsessov v sotsiotekhnicheskikh sistemakh [System analysis and modeling of the poorly structured and badly formalized processes in sociotechnical systems]. Inzhenernyi vestnikDona. Available at: http://www.ivdon.ru/magazine/archive/n3y2012/916.

2. Avdeeva Z. K., Kovriga S. V., Makarenko D. I. Kognitivnoe modelirovanie dlia resheniia zadach uprav-leniia slabostrukturirovannymi sistemami (situatsiiami) [Cognitive modeling for solution of the issues of control of poorly structured systems (situations)]. Kognitivnyi analiz i upravlenie razvitiem situatsii (CASC'2006). Trudy 6-i Mezhdunarodnoi konferentsii. Pod redaktsiei Z. K. Avdeevoi, S. V. Kovrigi. Moscow, Institut problem uprav-leniia RAN, 2006. P. 41-54.

3. Maksimov V. I. Kornoushenko E. K., Kachaev S. V. Kognitivnye tekhnologii dlia podderzhki priniatiia upravlencheskikh reshenii [Cognitive technologies for managerial decision making support]. Tekhnologii infor-matsionnogo obshchestva 98 - Rossiia. Materialy konferentsii. Available at: http://www.iis.ru/events/ 19981130/maximov.ru.html.

I. M. Azhmukhamedov, О. M. Knyazeva

UNIFICATION OF THE APPROACHES TO CONTROL OF THE LEVEL OF INFORMATION SECURITY IN DIFFERENT ORGANIZATIONS

REFERENCES

4. Borisov V. V., Kruglov V. V., Fedulov A. S. Nechetkie modeli i seti [Fuzzy models and networks]. Moscow, Goriachaia liniia - Telekom, 2012. 284 p.

5. Azhmukhamedov I. M. Dinamicheskaia nechetkaia kognitivnaia model' otsenki urovnia bezopasnosti in-formatsionnykh aktivov vuza [Dynamic fuzzy cognitive model of assessment of the level of university information security]. Vestnik Astrakhanskogo gosudarstvennogo tekhnicheskogo universiteta. Seriia: Upravlenie, vychislitel'naia tekhnika i informatika, 2012, no. 2, pp. 137-142.

Azhmukhamedov Iscandar Maratovich - Russia, 414056, Astrakhan; Astrakhan State Technical University; Candidate of Technical Sciences; Assistant Professor; Assistant Professor of the Department "Information Security"; [email protected].

Knyazeva Oksana Mikhailovna - Russia, 414000, Astrakhan; Ltd. "CIpQrade"; Senior Engineer; [email protected].

The article submitted to the editors 5.12.2014, in the final version - 12.12.2014

INFORMATION ABOUT THE AUTHORS