МЕТОД УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В КОРПОРАТИВНЫХ ИНФОРМАЦИОННЫХ СЕТЯХ

Аннотация

Статья посвящена разработке метода управления рисками информационной безопасности в корпоративных информационных сетях. Метод основан на оценке эффективности реализуемых защитных мер в условиях существующих финансовых ограничений. Для решения задач оптимизации на этапе управления рисками используется генетический алгоритм.

Полный текст

Введение В настоящее время эффективность функционирования современных предприятий напрямую зависит от степени защищенности корпоративных информационных сетей (КИС), посредством которых осуществляется автоматизация бизнес-процессов. Роль деструктивных факторов для современных КИС значительно выросла, а их растущая сложность только усугубляет ситуацию. В связи с этим защита информации должна рассматриваться как неотъемлемая составляющая корпоративных информационных сетей современных предприятий. Известны два основных подхода [1] к обеспечению информационной безопасности КИС - обеспечение базового уровня информационной безопасности (ИБ), а также подход, основанный на оценке и управлении рисками ИБ. Основными задачами первого подхода являются: убедиться в том, что компоненты КИС удовлетворяют всем обязательным требованиям стандартов и нормативных документов, а также в том, что компоненты КИС защищены от всех видов основных угроз. Подход, основанный на оценке и управлении рисками ИБ, как правило, реализуется после обеспечения базового уровня безопасности КИС. Он приобретает особую значимость и актуальность при построении эффективных систем защиты информации с позиции ожидаемого ущерба. В настоящей статье рассматривается вопрос защиты КИС с позиции оценки и управления рисками. Под риском ИБ понимают потенциальную опасность нанесения ущерба организации в результате реализации некоторой угрозы с использованием уязвимости [2]. Основными факторами риска ИБ являются: возможность реализации угрозы, возможность использования уязвимости, ущерб от реализации угрозы. Выделяют два подхода к оценке рисков ИБ - качественную оценку [2-3] и количественную оценку [4-5]. Преимуществами методов количественной оценки рисков ИБ являются их хорошая интерпретируемость в рамках экономических моделей и простота применения математического аппарата для формирования оптимальной совокупности защитных мероприятий. В связи с этим данные методы в последнее время приобретают особую актуальность. Однако практическое применение методов количественной оценки и управления рисками ИБ в КИС часто затрудняется следующими обстоятельствами: - данные методы сложны в использовании и требуют глубокого анализа всех процессов, происходящих в КИС; - количественные оценки факторов риска часто являются неточными, поскольку зависят от глубины анализа КИС и квалификации эксперта; кроме этого эксперты часто не могут сформировать точные оценки в связи с нечеткой природой оцениваемых объектов, недостаточностью и неопределенностью исходной информации; - факторы риска часто имеют не количественный, а качественный характер, их сложно оценить в количественном виде; - отсутствует статистика по реализации ряда угроз, что затрудняет применение аналитических методов для оценки вероятности их реализации. В связи с этим большую актуальность приобретает разработка методов количественной оценки и управления рисками ИБ, преодолевающих выше перечисленные сложности. Решению данной задачи посвящена настоящая статья. Нечеткая количественная оценка рисков ИБ в КИС Нечеткая количественная оценка рисков ИБ в КИС осуществляется на основе моделей и методов, предложенных автором в [5-9]. Разработанная модель КИС включает в себя информационные активы, автоматизированные рабочие места (АРМ), серверы, телекоммуникационное оборудование и ИТ-сервисы. Модель представляет собой следующий набор элементов: , (1) где - множество информационных активов; - уровни конфиденциальности, целостности и доступности информационных активов; TO - компонент технического обеспечения КИС, включающий в себя АРМ, серверы, телекоммуникационное оборудование и уровни их критичности; - множество ИТ-сервисов; - их уровни критичности (по доступности); - логическая структура КИС, представленная в виде графа, вершинами которого являются сегменты КИС и телекоммуникационное оборудование, а ребра соответствуют каналам связи в КИС; - модель использования информационного обеспечения КИС, определяющая факты хранения и обработки информации на АРМ и серверах КИС, факты предоставления информации конкретным ИТ-сервисом и информационные потоки в ; - модель предоставления ИТ-сервисов, определяющая деревья зависимостей ИТ-сервисов КИС с точки зрения доступности и факты реализации ИТ-сервисов на базе конкретного технического обеспечения. Разработанная модель КИС позволяет достаточно глубоко анализировать процессы, происходящих в КИС, учитывать взаимодействие активов. Данная модель используется непосредственно для оценки факторов риска ИБ. Для каждой угрозы из множества угроз в КИС, нечеткая оценка риска ИБ осуществляется в виде нечеткого числа в следующем виде: , (2) где - нечеткая количественная оценка ущерба от реализации угрозы ; - нечеткая количественная оценка возможности реализации угрозы ; - нечеткая количественная оценка возможности использования уязвимости . Для нечеткой количественной оценки ущерба в условиях разброса экспертных мнений и качественного характера частных показателей используются разработанный метод количественной оценки частных показателей ущерба, основанный на методе анализа иерархий, а также методы теории нечетких множеств (в частности, разработанный алгоритм FZ_STAT формирования функции принадлежности на основе множества экспертных оценок), и алгоритм нечеткой экспертной оценки критичности активов [9]. Для нечеткой количественной оценки возможности реализации угрозы в условиях разброса экспертных мнений и качественного характера частных показателей, разработан метод [6; 8], основанный на построении опросных листов (аналогичных CRAMM), количественной оценки частных показателей с помощью метода анализа иерархий, а также множестве экспертных оценок, на базе которых формируется функция принадлежности. Для количественной оценки возможности использования уязвимости разработана нечетко-продукционная модель представления знаний и схема нечеткого логического вывода [7], позволяющая эксперту формировать нечеткие оценки частных показателей, принимать решения в условиях отсутствия части информации об уязвимости, учитывающая важность частных показателей. Предложенных подход позволяет формировать количественные оценки рисков ИБ в условиях выше перечисленных сложностей. Метод управления рисками ИБ в КИС Управление рисками информационной безопасности в КИС включает в себя реализацию следующих основных шагов. 1. Оценка рисков ИБ с учетом множества защитных мер. Предлагается рассматривать модель защитных мер КИС в следующем виде: (3) где - множество защитных мер; - задаваемое в виде матрицы отображение, определяющее уровни снижения возможности использования уязвимостей множества в результате реализации защитных мер - данные уровни определяются в виде нечетких чисел ; - задаваемое в виде матрицы отображение, определяющее уровни снижения возможности реализации угроз множества в результате реализации защитных мер -данные уровни определяются в виде нечетких чисел . Отображения задаются в виде матриц и определяют уровни снижения ущерба от реализации угроз множества в результате реализации защитных мер по конфиденциальности, целостности и доступности соответственно. Данные уровни определяются в виде нечетких чисел соответственно. Значения коэффициентов , формируются экспертным путем. Под будем понимать возможность использования уязвимости с учетом множества защитных мер Z, под - возможность реализации угрозы с учетом множества защитных мер Z, под - ущерб, связанный с реализацией угрозы с учетом множества защитных мер , а под - уровень риска с учетом множества защитных мер . Ниже вводится метод нечеткой количественной оценки риска ИБ для угрозы с учетом множества защитных мер . Шаг 1. Оценка возможности использования уязвимости с учетом множества защитных мер , где - возможность использования уязвимости без учета реализации защитных мер; - возможность использования уязвимости с учетом реализации защитной меры , для которой значение является минимальным. Шаг 2. Оценка возможности реализации угрозы с учетом множества защитных мер Z где - возможность реализации угрозы без учета реализации защитных мер, - возможность реализации угрозы с учетом реализации защитной меры , для которой значение является минимальным. Шаг 3. Оценка уровня ущерба, связанного с реализацией угрозы с учетом множества защитных мер Z , где - количественная оценка суммарного ущерба, наносимого угрозой по конфиденциальности после реализации множества защитных мер Z; - количественная оценка суммарного ущерба, наносимого угрозой по целостности после реализации множества защитных мер Z; - количественная оценка суммарного ущерба, наносимого угрозой по доступности после реализации множества защитных мер Z, а также , где - количественная оценка суммарного ущерба, наносимого угрозой по конфиденциальности после реализации защитной меры , для которой значение является максимальным; - уровень критичности актива по конфиденциальности; - множество активов, для которых угроза нарушает конфиденциальность; - процент разрушения актива по конфиденциальности в результате реализации угрозы , при этом , где - количественная оценка суммарного ущерба, наносимого угрозой по целостности после реализации защитной меры , для которой значение является максимальным; - уровень критичности актива по целостности; - множество активов, для которых угроза нарушает целостность; - процент разрушения актива по целостности для угрозы . Кроме того , где - количественная оценка суммарного ущерба, наносимого угрозой по целостности после реализации защитной меры , для которой значение является максимальным; - уровень критичности актива по доступности; - множество активов, для которых угроза нарушает доступность; - процент разрушения актива по доступности в результате реализации угрозы . Шаг 4. Оценка уровня риска по угрозе с учетом множества защитных мер Шаг 5. Уровень риска по множеству угроз с учетом множества защитных мер определяется в виде . 2. Оценка эффективности множества защитных мер. Будем осуществлять оценку экономической эффективности защитной меры через коэффициент «стоимость/эффективность»: , где - выгоды от реализации защитной меры . Данное значение определяется следующим образом: , где - суммарный уровень риска по всем угрозам без учета реализации защитных мер в единицу времени, выраженный в виде нечеткого числа в денежном эквиваленте; - суммарный уровень риска по всем угрозам с учетом реализации защитной меры в единицу времени, выраженных в виде нечеткого числа в денежном эквиваленте; аналогичным образом - это единовременные затраты на реализацию защитной меры , выраженные в виде нечеткого числа в денежном эквиваленте, оценки которых формируются экспертным путем; а - дополнительные постоянные затраты на реализацию защитной меры в единицу времени, выраженные в виде нечеткого числа в денежном эквиваленте. Различные виды постоянных затрат, связанных с реализацией защитной меры , характеризуются множеством частных показателей затрат . Для количественной оценки частных показателей постоянных затрат в денежном эквиваленте применяется метода анализа иерархий. Пусть - множество всех возможных защитных мер, которые потенциально возможно использовать для защиты КИС; - множество защитных мер предполагаемых к реализации в КИС в конкретной ситуации. Тогда оценка экономической эффективности множества защитных мер осуществляется в виде . Множество защитных мер экономически эффективнее множества защитных мер , если . В случае , множество защитных мер является убыточным для владельца КИС, следовательно, реализовывать его нецелесообразно. В случае множество защитных мер окупается в срок, не превышающий рассматриваемую единицу времени (например, в течение года). Срок окупаемости множества защитных мер определяется как . 3. Выбор эффективного множества защитных мер. Поставим в соответствие каждому множеству вектор выбираемых для реализации защитных мер в КИС. Здесь Обозначим через экономическую эффективность выбранных для реализации защитных мер. , где Обозначим через суммарный риск, вычисленный с учетом множества реализуемых защитных мер: , где . Пусть Постановки задач по управлению рисками ИБ будут выглядеть следующим образом. Задача №1. Найти такой вектор , чтобы Задача №2. Найти такой вектор , чтобы где - максимальный срок окупаемости проекта; E - максимальные затраты на его реализацию. Поставленные задачи по управлению рисками ИБ предлагается решать с помощью генетического алгоритма. Решение задач предлагается кодировать в виде строк-особей, заданных в бинарном виде с помощью вектора , где M - количество всевозможных защитных мер, которые потенциально возможно использовать для защиты КИС, . Фитнес-функция генетического алгоритма определяется выражениями для первой постановки задачи или для второй постановки задачи. Заключение Методы оценки и управления рисками ИБ в КИС находят широкое применение для построения систем защиты информации с позиции ожидаемого ущерба. Однако их применение сдерживается нечеткостью и неопределенностью исходной информации, нечетким и качественным характером частных показателей, влияющих на возможность реализации угроз и использования уязвимостей, а также определяющих ущерб. Метод управления рисками ИБ в КИС, предложенный в данной статье позволяет эффективно решать оптимизационные задачи по управлению рисками ИБ на основе ранее разработанного метода нечеткой количественной оценки рисков ИБ в КИС, что преодолевает данные сдерживающие факторы.