WWW.DISSERS.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА

загрузка...
   Добро пожаловать!

Pages:     | 1 || 3 | 4 |   ...   | 5 |

Основной задачей стандартов является описание требований, которые необходимо выполнить для обеспечения базового уровня защищенности ИС. Подходы к решению этой задачи различаются. Так ISO/IEC 17799 описывает общие принципы построения систем ИБ, в BSI обсуждаются «частные» случаи организации защиты, NIST рассматривает вопросы управления рисками. Выбор подходящего стандарта для внедрения обуславливается потребностями организации. При этом обеспечение соответствия требованиям стандарта является важным условием для дальнейшего анализа рисков и повышения экономической эффективности систем защиты.

Среди основных существующих подходов к анализу рисков выделяются табличные методы, анализ с использованием нечеткой логики, применение теории игр, построение моделей потенциальных нарушителей. Каждый из них обладает своими достоинствами и недостатками, которые были сформулированы в рамках работы.

Значение риска позволяет оценить уровень защищенности ресурсов без обсуждения стоимости системы защиты. Для оценки экономической эффективности в основном используются такие показатели как: Возврат от инвестиций, Совокупная стоимость владения, Чистая приведенная стоимость, основными недостатками которых является сложность в оценке исходных данных для проведения расчетов.

Автором были проанализированы наиболее популярные инструментальные средства анализа рисков, такие как инструменты базового уровня (справочные материалы, COBRA), CRAMM, DS Office, «Авангард». Был изучен их функционал, описаны особенности.

В результате проведенного анализа и выявленных недостатков были сформулированы следующие предпосылки и требования к разрабатываемому методу анализа и управления рисками.

  1. Уровень информационной безопасности защищаемой системы должен соответствовать требованиям стандарта (ISO 17799, ГОСТ Р 15408-2002 и др.).
  2. Требуется проводить накопление собственной статистики организации по инцидентам в области ИБ и использовать ее в качестве исходных данных для анализа.
  3. Необходимо, чтобы исходные оцениваемые параметры описывали конкретного действующего, а не предполагаемого противника. Это позволит увеличить достоверность результатов оценивания.
  4. Необходимо исключить использование качественных шкал при оценке параметров рисков и перейти к реальным числовым величинам в денежном выражении (непрерывная шкала).
  5. Риск должен быть выражен количественно, в денежных единицах измерения.
  6. Необходимо ввести экономический показатель эффективности системы защиты, зависящий только от параметров, определяющих функционирование системы защиты.
  7. Метод должен позволять оперативно учитывать меняющиеся внешние условия, используя экономический показатель как индикатор приемлемости (целесообразности) измененного варианта системы защиты.

Вторая глава содержит подробное описание разработанного автором метода анализа и управления рисками. Основное отличие модели заключается в том, что она оперирует данными по конкретным противникам организации, которые выявлены службой безопасности на сегодняшний день. Это дает возможность повысить достоверность экспертных оценок по сравнению с моделями потенциальных нарушителей. При этом в анализе рисков участвуют только те ресурсы, которые интересуют этих противников, и которые в связи с этим можно оценить денежно.

Условные обозначения.

  • t (trespasser) – конкретный противник организации, мотивированный на получение выгоды от реализации угрозы деструктивного воздействия на определенную информацию;
  • i (information) – информация, интересующая противника;
  • r (resource) – ресурс организации (физический, технический, персонал, в том числе носители информации);
  • d(i), d(r) (doing) – действие противника по отношению к информации или ресурсу;
  • s(i1...i), s(r1…r) (security facility) – средство (мера) защиты (СЗ) по отношению к информации или ресурсам;
    • n(s) – количество ресурсов, защищаемых СЗ;
  • M(i, t) (method)– способ реализации угрозы (РУ) противником в отношении информации. Включает определенный способ доступа и способ использования информации (ИИ);

    • Ma(i, t) (access) – способ доступа противника к информации; доступ осуществляется через ресурсы r с помощью действий d(r).
    • Mr(i, t) (realization) – способ использований информации противником; ИИ производится с помощью действия d(i):
  • o(M) (occurrence) – инцидент в области ИБ;

o(M) = (o(Ma); o(Mr)), где

    • N(M) = N(o(M)) (number) – количество инцидентов в области ИБ с использованием способа РУ, зафиксированных в статистических данных;
    • N(Ma), N(Mr) – количество инцидентов в области ИБ с использованием способа доступа и способа ИИ:

N(Ma) = Ns(Ma) + Nf(Ma), N(Mr) = Ns(Mr) + Nf(Mr), где

      • Ns(Ma), Ns(Mr) (success) – количество успешных атак в области ИБ с использованием способа доступа и способа ИИ;
      • Nf(Ma), Nf(Mr) (failure) – количество предотвращенных атак в области ИБ с использованием способа доступа и способа ИИ;
  • G(M) (gain) – экспертная оценка выгоды, получаемой противником от РУ;
  • V(M) (value) – оценка стоимости для противника РУ: V(M) = V(Ma) + V(Mr);
    • V(Ma) – оценка стоимости получения доступа способом Ma;
    • V(Mr) – оценка стоимости использования информации способом Mr;

Для расчета оценок стоимости используются следующие экспертные оценки:

      • Ve(s(i)), Ve(s(r)) – экспертная оценка стоимости «взлома» средства защиты s на ресурсе r и для информации i.
      • Ve(r, d(r)) – экспертная оценка затрат противника на осуществление действия d на ресурс r, не связанных со «взломом» средств защиты.
      • Ve(i, d(i)) – экспертная оценка затрат противника на осуществление действия d над информацией i после получения доступа.
  • O(i, t) (opposition) – экспертная оценка возможных финансовых потерь противником t, получившим и реализующим информацию i, вследствие контрдействий владельца информации, применения им компрометирующей информации, данных службы безопасности, полученных методами агентурной и технической разведки;
  • P(M) (probability)– оценка вероятности РУ способом М. Оценка вероятности РУ рассчитывается на основании статистики инцидентов, анализа мотивации противника и психологической предрасположенности противника;
    • P1(M) – компонента вероятности, рассчитанная на основании статистики инцидентов, рассчитывается как вероятность выполнения двух совместных событий: получения доступа и использование информации;
    • P2(M) – компонента вероятности, рассчитанная на основании анализа мотивации противника; а именно оценок выгоды от РУ, затрат на РУ, потерь от контрдействий;
    • P3(M) – компонента вероятности, оцениваемая экспертами и показывающая психологическую предрасположенность противника на РУ;
  • L(M) (loss) – оценка финансовых потерь владельца информации от РУ способом M:

L(M)= L(Mа) + L(Mr), где

    • L(Ma) – оценка финансовых потерь за счет нарушения средств защиты, ресурсов в процессе получения доступа.
    • L(Mr) – оценка финансовых потерь за счет использования информации противником.

Для расчета оценок финансовых потерь используются следующие статистические данные:

      • L(o(Ma)) (occurrence loss) – ущерб владельца от нарушения ресурсов в процессе успешного доступа в инциденте o(M);
      • L(o(Mr)) – ущерб владельца от успешного ИИ в инциденте o(M) (судебные издержки, командировки, смена персонала и т.д.).

Для расчета оценок финансовых потерь организации от деструктивных действий противника используются следующие экспертные оценки:

      • Le(r, d(r)) (expert) –оценка потерь от действия d на ресурс r;
      • Le(i, d(i)) – экспертная оценка финансовых потерь за счет использования информации противником.
  • R (risk) – риск; R – нериск;
    • R(M) – оценка риска РУ способом М, является произведением вероятности РУ на ущерб от РУ;
    • R(i) – оценка риска для информации i, рассчитывается как максимальный риск РУ для данной информации;
    • R(M) – оценка нериска РУ способом М, является произведением вероятности нереализации угрозы на ущерб от РУ.
    • R(i) – оценка нериска для информации i, соответствует минимальному нериску РУ для данной информации.
  • C (cost) – оценка суммарной стоимости средств (мер) защиты;
    • C(s) – оценка финансовых затрат на средство защиты s.

Для расчета оценок финансовых затрат используются следующие экспертные оценки:

      • Ci(s) (install) – экспертная оценка стоимости покупки, установки и настройки СЗ (внедрения меры защиты) на один ресурс;
      • Cu(s) (use) – экспертная оценка стоимости эксплуатации СЗ в год;
      • Cr(s) (removal) – экспертная оценка стоимости вывода из эксплуатации СЗ;
  • I(s) (indirect gain) – экспертная оценка косвенной выгоды от внедрения СЗ;
  • Profit (profitability) – оценка рентабельности системы ИБ организации. Автором предлагается оценивать выгоду суммарными нерисками по информации, подвергающейся угрозам противников, в сумме с косвенной выгодой от внедрения средств защиты.

Процедура анализа и управления рисками.

  1. Выявление конкретных противников t,. Их характеристика.
  2. Описание структуры организации:
  1. описание значимых ресурсов r, ;
  2. описание информации i, ;
  3. описание действий противника над ресурсами d(r), и над информацией d(i), ;
  4. описание используемых средств защиты s(i,…,i), s(r,…,r), для информации и ресурсов.
  1. Получение экспертных оценок:
  1. Ve(r, d(r)), Ve(i, d(i)) - затраты противника на осуществление действий над ресурсами и информацией, не связанных со «взломом» СЗ:

,,, ;

  1. Vе(s(r)), Vе(s(i)) - затраты противника на «взлом» СЗ ресурса и информации соответственно; ;
  2. Ci(s), Cu(s), Cr(s) - затраты владельца информации на СЗ, ;
  3. I(s) - косвенная выгода от внедрения СЗ s, ;
  4. Le(r, d(r)), Le(i, d(i)) – ущерб владельца от деструктивных действий противника по отношению к ресурсами и информации:

,,,.

  1. Описание способов РУ.
  1. Выявление способов доступа. Доступ реализуется через некоторые ресурсы с помощью определенных действий:

; Ma(i, t) = {(r, d(r))|, };

  1. Выявление способов использования информации.

; Mr(i, t) = (i; d(i)),,.

  1. Определение способов реализации угроз как комбинации способов доступа и способов использования информации.

;

.

  1. Экспертная оценка параметров, характеризующих способы РУ : G(M), P3(M), O(i, t), где, и по умолчанию O(i, t) = 0.
  1. Фиксация значений:
  1. фиксируется конкретная информация i, ;
  2. фиксируется конкретный противник t, ;
  3. фиксируется конкретный способ РУ, а именно - M(i, t) = (Ma; Mr),.
  1. Анализ статистических данных об инцидентах в области ИБ.
  1. Описание инцидентов в области ИБ: o(M),, o(M) = (o(Ma); o(Mr)).
  2. Указание ущерба владельца по каждому инциденту: L(o(Ma)), L(o(Mr)).
  3. Подсчет количества успешных и предотвращенных атак по инцидентам: Ns(Ma), Nf(Ma), Ns(Mr), Nf(Mr).

Дальнейшие расчеты производятся при наличии достаточного объема статистических данных:

Ns(Ma) + Nf(Ma) = Na > 0,

Ns(Mr) + Nf(Mr) = Nr > 0,

по умолчанию Na = Nr = 10.

  1. Расчет оценки компоненты вероятности РУ на основании статистики инцидентов:

P1(M) = P1(Ma) P1(Mr),

,.

  1. Анализ мотивации противника на реализацию угрозы.
  1. Расчет стоимости РУ для противника:

V(M) = V(Ma) + V(Mr);

где V(Ma) – оценка стоимости получения доступа, вычисляется как сумма экспертных оценок осуществления деструктивных действий и «взлома» средств защиты ресурсов, входящих в данный способ доступа, а также информации, к которой осуществляется доступ:

;

V(Mr) – оценка стоимости использования информации, равная экспертной оценке выполнения действия над информацией после получения доступа:

V(Mr) = Ve(i, r(i)).

  1. Расчет оценки компоненты вероятности РУ на основании анализа мотивации противника:

.

Расчет производится только при наличии значений всех компонент формулы P2(M). При отсутствии оценок некоторых компонент P2(M) считается неоцененным, что учитывается при расчете общей оценки вероятности.

  1. Вычисление общей оценки вероятности РУ.

, = 1,…,3.

Коэффициенты: k1 – статистический, k2 – мотивационный, k3 – психологический.

Коэффициенты рассчитываются следующим образом:

k = 0, если P не оценено, = 1…3;

при Na + Nr N;

k1 = 1 при Na + Nr > N;

k = 1, если P рассчитано, = 2, 3.

N – граничное значение, задается экспертом, по умолчанию N = 10.

  1. Расчет оценок риска и нериска для способа РУ.
  1. Расчет оценки ущерба от РУ для владельца информации:

L(M) = L(Ma) + L(Mr);

где L(Ma) - ущерб владельца от получения доступа, рассчитывается на основании статистики инцидентов (усредненные по статистике успешных инцидентов финансовые потери от получения доступа способом Ma) и на основании суммарных потерь от действий d на ресурсы r, через которые осуществляется доступ:

, ;

L(Mr) - ущерб владельца от ИИ, рассчитываются на основании статистики инцидентов (усредненные по статистике успешных инцидентов финансовые потери от ИИ способом Mr) и на основании экспертной оценки потерь за счет действия по использованию информации:

,

где k1 – статистический коэффициент.

  1. Расчет оценок риска и нериска для способа РУ:

;.

Pages:     | 1 || 3 | 4 |   ...   | 5 |






© 2011 www.dissers.ru - «Бесплатная электронная библиотека»