Гвоздик Ярослав Михайлович, руководитель группы аттестационных испытаний информационно-управляющих систем ООО «Газинформсервис» Учреждение Российской академии наук Санкт-Петербургский институт информатики и автоматизации РАН (СПИИРАН) МЕТОД ОЦЕНКИ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ АВТОМАТИЗИРОВАННЫХ СИСТЕМ

ЦЕЛЬ РАБОТЫ - повышение качества, полноты и оперативности представления информации, необходимой и достаточной для принятия обоснованных и своевременных решений по защите информации в автоматизированных системах на основе современных математических методов и методик проведения оценки НАУЧНАЯ ЗАДАЧА - разработка метода оценки систем защиты информации (СЗИ) АС требованиям нормативных, руководящих документов Российской Федерации в области защиты информации, обеспечивающего повышение качества, полноты и оперативности принятия владельцами АС обоснованных и своевременных решений по их защите. ОБЪЕКТ ИССЛЕДОВАНИЯ системы защиты информации автоматизированных систем. ПРЕДМЕТ ИССЛЕДОВАНИЯ модели и методы анализа систем защиты информации.

Существующее положение делТребуемое положение дел Требования нормативных и руководящих документов РФ в области защиты информации носят разрозненный характер, и не охватывает все аспекты защиты информации в современных автоматизированных системах. Необходимо провести анализ требований нормативных, руководящих документов в области защиты информации. Разработать подход к формированию согласованной системы критериев оценки СЗИ АС. Неточность моделей функционирования систем защиты информации современных автоматизированных систем и методов проведения их оценки не соответствует возрастающим требованиям к качеству проведения мероприятий по их оценке. Необходимо провести анализ и разработать методические принципы создания моделей оценки систем защиты информации АС. Разработать метод оценки систем защиты информации АС с использованием современного математического аппарата. Возрастание количества объектов контроля, делает невозможным привлечение ведущих экспертов ФСТЭК России на все необходимые мероприятия. На основе метода разработать методику оценки систем защиты информации АС; Апробировать метод и методику оценки систем защиты информации АС. Противоречия, порождающие задачи диссертационного исследования

ЗАДАЧИ ИССЛЕДОВАНИЯ: провести анализ требований нормативных, руководящих документов РФ в области защиты информации; разработать подход к формированию критериев оценки СЗИ АС; провести анализ и разработать методические принципы создания моделей оценки систем защиты информации АС; разработать метод оценки систем защиты информации АС с использованием современного математического аппарата; разработать методику оценки систем защиты информации АС; апробировать метод оценки систем защиты информации АС. ОСНОВНЫЕ НАУЧНЫЕ РЕЗУЛЬТАТЫ 1. Метод оценки системы защиты информации АС. 2. Методика оценки системы защиты информации АС.

АКТУАЛЬНОСТЬ ТЕМЫ Общее количество вредоносных программ, атакующих АС *10 3 Рост числа официально зарегистрированных атак на автоматизированные системы (по данным Снижение требований к квалификации злоумышленников, необходимой для успешного осуществления атак (Cnews Analytics на основе данных CERT Coordination Center)

МЕТОД ОЦЕНКИ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ АС МЧС РОССИИ Метод оценки систем защиты информации АС состоит из следующих этапов: Построение многоуровневой иерархической структуры требований безопасности и формирование системы критериев оценки СЗИ АС. Построение многоуровневой структуры моделей для решения задачи оценки. Построение многоуровневой иерархической структуры требований безопасности и формирование системы критериев оценки СЗИ АС. В диссертационной работе анализировались: -Руководящие документы ФСТЭК (Гостехкомиссии) России по защите АС и СВТ от НСД. -Руководящий документы ФСТЭК (Гостехкомиссии) России «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий». -ГОСТ Р ИСО/МЭК ТО «Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем». -ГОСТ Р ИСО/МЭК «Практические правила управления ИБ»; -ГОСТ Р ИСО/МЭК «Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности» и т.д. По результатам анализа сделан вывод, что для оценки СЗИ АС необходимо использовать требования следующих документов: Руководящий документы ФСТЭК (Гостехкомиссии) России «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» (технические требования); ГОСТ Р ИСО/МЭК ТО «Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем» (организационные требования).

Функциональные требования безопасности (ПЗ и/или ЗБ) Класс N Класс СемействоN Семейство Компонент N Компонент Элемент N Элемент Технические требования (РД «Общие критерии») Организационные требования (19791:2006) Класс N Класс СемействоN Семейство Компонент N Компонент Элемент N Элемент Система критериев оценки системы защита АС Для формирование требований и критериев оценки СЗИ АС в части требований к техническим регуляторам безопасности предлагается использовать РД «Общие критерии», а в части требований к регуляторам безопасности организационного уровня использовать положения ГОСТ Р ИСО/МЭК ТО

Построение многоуровневой структуры моделей для решения задачи оценки. Принципы создания модели оценки СЗИ. Принцип 1- первичность структуры критериев оценки перед видом модели. Суть принципа заключается в том, что модель оценки СЗИ АС создается как множество взаимоувязанных, согласованных на выбранной иерархической структуре критериев частных моделей и в полной мере должна соответствовать структуре критериев оценки. Принцип 2 – согласованность входов модели вышестоящего уровня выходам нижестоящих моделей по типу передаваемых значений величин и их градации. Принцип 3 – соответствие количества градаций оцениваемых величин уровню «уверенной» оценки эксперта. Принцип 4 – рациональный выбор модели в соответствии с градациями и инциденциями конкретного критерия.

Функциональные требования безопасности (обобщённый показатель) Класс N Класс СемействоN Семейство Компонент N Компонент Элемент N Элемент Экспертные оценки Нечеткий логический вывод Нечеткая (четкая) комплексная оценка Упрощенный метод анализа иерархий a ij =a i1 a 1j =a i1 /a 1j i = 2,...,п, j = 2,...,п. w = (w 1,w 2,...,w n ) T w i =a 1n /a 1i, i = 1,2,...,п. Модель оценки систем защиты информации АС Критерии оценкиМатематический аппарат оценки

Класс «аудит безопасности» Оценку каждого критерия будем проводить по следующей шкале: не соответствует (Н), частично соответствует (ЧС), соответствует в основном (СВО), соответствует (С) Оценка элемента «FAU_SAR 1.1», который устанавливает требования к предоставлению записей аудита, может иметь следующие варианты: - ФБО не предоставляет возможность (Н); - ФБО предоставляет возможность только одному из уполномоченных пользователей (ЧС); - ФБО предоставляет возможность большинству уполномоченных пользователей, но не всем (СВО); - ФБО предоставляет возможность всем уполномоченным пользователям (С).

Если FAU_SAR 1.1 (Значение оценки) и FAU_SAR 1.2 (Значение оценки) то FAU_SAR 1 (Значение оценки) Форма правила нечёткого вывода 1. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (Н) то FAU_SAR 1 (Н); 2. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (ЧС) то FAU_SAR 1 (Н); 3. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (СВО) то FAU_SAR 1 (Н); 4. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (С) то FAU_SAR 1 (ЧС); 5. Если FAU_SAR 1.1 (ЧС) и FAU_SAR 1.2 (Н) то FAU_SAR 1 (Н); … Редактор нечёткого вывода Fuzzy Logic Toolbox

FAU_SAR (Х1) FAU_SAR.1 (Х11) FAU_SAR.2(Х12)FAU_SAR.3(Х13) Иерархическое дерево критериев семейства FAU_SAR Хс FAU_SAR.1 (Х11) FAU_SAR.2(Х12) FAU_SAR.3(Х13) FAU_SAR (Х1) Х 11 ХСХС ХСХС Х1Х Х Х 13 Матрицы свёртки для семейства «FAU_SAR» Класс FAU "Аудит безопасности" (A) FAU_ARP "Автоматическая реакция аудита безопасности" (A1) FAU_GEN "Генерация данных аудита"(A2) FAU_SAA "Анализ аудита безопасности"(A3) FAU_SAR "Просмотр аудита безопасности" (A4) FAU_SEL "Выбор событий аудита безопасности" (A5) FAU_STG "Хранение данных аудита безопасности" (A6) Класс FAU"Аудит безопасности " (A) A12 35 A1 2 FAU_ARP "Автоматическая реакция аудита безопасности" (A1) FAU_GEN "Генерация данных аудита"(A2) A35 FAU_SAA "Анализ аудита безопасности"(A3) FAU_SEL "Выбор событий аудита безопасности" (A5) A46 FAU_SAR "Просмотр аудита безопасности" (A4) FAU_STG "Хранение данных аудита безопасности" (A6) Структура класса FAU «Аудит безопасности»

Предположим, что в результате сравнения первого объекта со всеми остальными, экспертами были получены следующие результаты а 12 =2, а 13 =1/2, а 14 =3, а 15 =1/4, а 16 =3. Для формирования матрицы парных сравнений используем равенство (1.1) i = 1,2,…,n i = 1,2,…,6 (1.3) После соответствующих расчётов получаем w 1 =3, w 2 =3/2, w 3 =6, w 4 =1, w 5 =12, w 6 =1. (1.1) (1.2) После того как матрица А = (а ij ) n*n при помощи формулы (1.1) сформирована, можно найти весовой вектор w=(w 1,w 2,…,w n ) T. Его компоненты вычисляются по формуле (1.2) Компоненты весового вектора w, найденного с помощью (1.2), составляют последний столбец матрицы А, элементы которой построены на основе формулы (1.1). В нашем случае для нахождения компоненты весового вектора w используем равенство А1А1 А 12 А3А3 А А2А2 1234А5А5 А 12 А 1235 А4А4 А А А6А6 Матрицы свёртки для класса FAU «Аудит безопасности» А 46 А А 1235

N п/п Название Печатный или на правах рукописи Издательство, журнал (N,год) или номер авторского свидетельства Кол-во печатных листов или страниц Фамилия соавторов Статьи в изданиях, рекомендованных перечнем ВАК РФ 1 Подход к построению предметной онтологии информационной безопасности РФ Печатный "Проблемы управления рисками в техносфере" Выпуск 2 (2007г.) 6 Исаков С.Л. 2 Создание и оценка систем защиты информации автоматизированных систем МЧС России Печатный "Проблемы управления рисками в техносфере" Выпуск 7 (2008г.) 6 3 Оценка соответствия информационной безопасности объекта аудита требованиям нормативных документов Печатный Проблемы информационной безопасности. Компьютерные системы. 3, 2006г. 10 Марков О.Н., Кусов Е.В. Статьи, опубликованные в научных и технических изданиях и в материалах конференций 4 Разработка интеллектуальных моделей принятия решений в области анализа и управления рисками в природной и техногенной сферах. Печатный Материалы Научно-практической конференции «Сервис безопасности в России: опыт, проблемы, перспективы». Университет ГПС МЧС России, 2008 год. 6 Исаков С.Л. 5 Оценка состояния безопасности информации в автоматизированных системах Печатный Материалы 18 Межвузовской НТК, ВМИРЭ, 2007г. 2 6 Направления развития нормативной базы по оценке состояния безопасности информации в автоматизированных системах Печатный Материалы 18 Межвузовской НТК, ВМИРЭ, 2007г. 1 7 Построение оптимальных множеств лингвистических шкал Печатный Материалы 19 Межвузовской НТК, ВМИРЭ, 2008г. 6 8Метод оценки профиля защитыПечатный Материалы 19 Межвузовской НТК, ВМИРЭ, 2008г. 9 9 Метод оценки элементов системы защиты информации автоматизированных систем с использованием матричной свертки критериев. Печатный Материалы 20 Межвузовской НТК, ВМИРЭ, 2009г. 9 10Нечеткое продукционное оценивание систем защиты информации автоматизированных систем. ПечатныйМатериалы 20 Межвузовской НТК, ВМИРЭ, 2009г. 9