Харьковский национальный университет радиоэлектроники Кафедра телекоммуникационных систем Разработал: доцент кафедры ТКС ктн доцент Снегуров А. В. Направление подготовки: 6. 170103 «Управление информационной безопасностью» Учебная дисциплина Теория рисков Лекция № 1. Вводная
Теория рисков Учебные вопросы: 1. Влияние современных угроз на особенности построения СМИБ. 2. Система менеджмента информационной безопасности. Основные определения 3. Подходы к оценке эффективности систем управления информационной безопасностью.
Теория рисков Учебный вопрос № 1 Влияние современных угроз на особенности построения СМИБ 3
Теория рисков Влияние современных угроз на особенности построения СМИБ Соотношение опасности внутренних и внешних угроз ИБ Info. Watch-2007 56, 5% 43, 5% 4
Теория рисков Влияние современных угроз на особенности построения СМИБ Распределение источников угроз по версии Verizon для банковской сферы (securitylab, 2010) Only external - самостоятельные действия злоумышленника Multiple sources - использовались ошибки, допускаемые пользователями Успешность действий злоумышленника определялась наличием различного рода ошибок (ошибок в 5 архитектуре информационных систем и приложений, ошибок в управлении доступом и т. п. ).
Теория рисков Влияние современных угроз на особенности построения СМИБ Распределение утечек по типам данных, 2011 г. Info. Watch-2011 6
Теория рисков Влияние современных угроз на особенности построения СМИБ Распределение утечек по типам конфиденциальных данных (Глобальное исследование утечек 2010 Info. Watch) Опрос специалистов по ИБ, Россия Утечки в США - 2010 7
Теория рисков Влияние современных угроз на особенности построения СМИБ Соотношение доли случайных или умышленных утечек 2007 2010 2008 2011 2009 Info. Watch-2011 8
Теория рисков Влияние современных угроз на особенности построения СМИБ Каналы утечек информации 2011 Info. Watch-2011 9
Теория рисков Влияние современных угроз на особенности построения СМИБ Каналы утечек информации 2008 2009 2010 2011 10
Теория рисков Влияние современных угроз на особенности построения СМИБ Динамика изменения частот утечек информации через разные каналы ПК, сервера Бумажные документы 11
Теория рисков Влияние современных угроз на особенности построения СМИБ Динамика изменения частот утечек информации через разные каналы Интернет Ноутбуки, смартфоны 12
Теория рисков Влияние современных угроз на особенности построения СМИБ Динамика изменения частот утечек информации через разные каналы Съемные носители Электронная почта 13
Теория рисков Влияние современных угроз на особенности построения СМИБ Динамика изменения частот утечек информации через разные каналы Носители резервных копий 14
Теория рисков Распределение случайных и умышленных утечек по каналам, 2011 г. (Глобальное исследование утечек 2011 Info. Watch) 15
Теория рисков Учебный вопрос № 2 СИСТЕМА МЕНЕДЖМЕНТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Основные определения ISO 27001: 2005 16
Теория рисков ISO 27001: 2005 Термины и определения В качестве стандартной модели безопасности используется модель CIA: - конфиденциальность (confidentiality); - целостность (integrity); - доступность (availability). Под конфиденциальностью понимается свойство того, что информация не доступна и не раскрывается неуполномоченным юридическим и физическим лицам и процессам. Под целостностью — свойство обеспечения точности и полноты активов Под доступностью — свойство общедоступности и использования по первому требованию уполномоченным лицом. Аутентичность – возможность подтверждение подлинности и достоверности документов Неотказуемость – невозможность отрицания совершенных действий применительно к информационным активам 17
Теория рисков ISO 27001: 2005 Термины и определения Под системой менеджмента информационной безопасности (СМИБ) (Information Security Management System, ISMS) понимается часть общей системы управления, базирующаяся на анализе бизнес рисков и предназначенная для проектирования, реализации, контроля, сопровождения и совершенствования мер в области информационной безопасности. 18
Теория рисков Система информационной безопасности - это совокупность трех взаимозависимых основных элементов: 1. Комплекс нормативно-методических документов, содержащих требования по безопасности ко всем процессам обработки информации в компании. 2. Организационная структура ИБ, представляющая организационных решений по обеспечению ИБ. собой совокупность 3. Инфраструктура ИБ, которая образуется некоторой совокупностью технических решений по обеспечению ИБ. Организационная структура Система ИБ Компоненты Нормативноправовое обеспечение Технические решения Система информационной безопасности
Теория рисков Для себя – для понимания уровня информационной безопасности в компании, наличия угроз ИБ (КЦД), предотвращения инцидентов ПО ИБ. Для кого строится и сертифицируется СУИБ? Для партнеров, клиентов, инвесторов – с целью показать, что в компании уделяется существенное внимание информационной безопасности, ее уровень соответствует международным стандартам. Раньше необходимость построения СУИБ определяло только государство в виде нормативных документов и контролирующих органов. Сейчас коммерческие организации это делают сами (где нет гос. тайны)
Теория рисков Какие преимущества компании дает внедрение СУИБ и ее сертификация на соответствие международным стандартам: - Повышение управляемости и надежности бизнеса компании; - повышение защищенности ключевых бизнес-процессов компании; - повышение доверия к компании как к партнеру, так и клиенту; - соответствие компании требованиям международного стандарта подчеркивает чистоту и прозрачность бизнеса компании; - наличие СУИБ и международного сертификата упрощает процедуру выхода компании на внешние рынки; - международное признание и повышение авторитета компании как на внутреннем, так и внешнем рынках; - повышение доходности бизнеса в целом.
Теория рисков Учебный вопрос № 3 Подходы к оценке эффективности систем управления информационной безопасностью
Теория рисков Подходы к оценке эффективности Эффективность СУИБ оценивается как на этапе разработки, так и в процессе эксплуатации. В оценке эффективности СУИБ, в зависимости от используемых показателей и способов их получения, можно выделить три подхода: - классический; - официальный; - экспериментальный. Классический подход Под классическим подходом к оценке эффективности понимается использование критериев эффективности, полученных с помощью показателей эффективности. Значения показателей эффективности получаются путем моделирования или вычисляются по характеристикам реальной сложной системы (СУИБ). Такой подход используется при разработке и модернизации СУИБ. Однако возможности классических методов комплексного оценивания эффективности применительно к СУИБ ограничены в силу ряда причин. Высокая степень неопределенности исходных данных, сложность формализации процессов функционирования, отсутствие общепризнанных методик расчета показателей эффективности и выбора критериев оптимальности создают значительные трудности для применения классических методов оценки эффективности.
Теория рисков Официальный подход Большую практическую значимость имеет подход к определению эффективности СУИБ, который условно можно назвать официальным. Требования могут задаваться перечнем механизмов защиты информации, которые необходимо иметь в СУИБ, чтобы она соответствовала определенному классу защиты. В этом случае критерием эффективности СУИБ является ее класс защищенности. Несомненным достоинством таких классификаторов (стандартов) является простота использования. Основным недостатком официального подхода к определению эффективности систем зашиты, является то, что не определяется эффективность конкретного механизма защиты, а констатируется лишь факт его наличия или отсутствия. Этот недостаток в какой-то мере компенсируется заданием в некоторых документах достаточно подробных требований к этим механизмам защиты.
Теория рисков Во всех развитых странах разработаны свои стандарты защищенности компьютерных систем критического применения. В министерстве обороны США используется стандарт ТСSЕС (Department of Defence Trusted Computer System Evaluation Criteria), который известен как Оранжевая книга. Согласно Оранжевой книге для оценки информационных систем рассматривается четыре группы безопасности: А, В, С, D. В некоторых случаях группы безопасности делятся дополнительно на классы безопасности. Группа А (гарантированная или проверяемая защита) обеспечивает гарантированный уровень безопасности. Методы защиты, реализованные в системе, могут быть проверены формальными методами. В этой группе имеется только один класс - А 1. Группа В (полномочная или полная защита) представляет полную защиту КС. В этой группе выделены классы безопасности В 1, В 2 и В 3. Класс В 1 (защита через грифы или метки) обеспечивается использованием в КС грифов секретности, определяющих доступ пользователей к частям системы. Класс В 2 (структурированная защита) достигается разделением информации на защищенные и незащищенные блоки и контролем доступа к ним пользователей. Класс В 3 (области или домены безопасности) предусматривает разделение КС на подсистемы с различным уровнем безопасности и контролем доступа к ним пользователей.
Теория рисков Группа С (избирательная защита) представляет избирательную защиту подсистем с контролем доступа к ним пользователей. В этой группе выделены классы безопасности С 1 и С 2. Класс С 1 (избирательная защита информации) предусматривает разделение в КС пользователей и данных. Этот класс обеспечивает самый низкий уровень защиты КС. Класс С 2 (защита через управляемый или контролируемый доступ) обеспечивается раздельным доступом пользователей к данным. Группу D (минимальной безопасности) составляют КС, проверенные на безопасность, но которые не могут быть отнесены к классам А, В или С.
Теория рисков Подобные стандарты защищенности КС приняты и в других развитых странах. Так, в 1991 году Франция, Германия, Нидерланды и Великобритания приняли согласованные «Европейские критерии» , в которых рассмотрено 7 классов безопасности от Е 0 до Е 6. Устанавливается семь классов защищенности средств вычислительной техники (СВТ) от НСД к информации. Самый низкий класс - седьмой, самый высокий - первый. Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты: первая группа содержит только один седьмой класс; вторая группа характеризуется дискреционной защитой и содержит шестой и пятый классы; третья группа характеризуется мандатной защитой и содержит четвертый, третий и второй классы; четвертая группа характеризуется верифицированной защитой и содержит только первый класс.
Наименование показателя Класс защищенности 6 5 4 3 2 1 1. Дискреционный принцип контроля доступа + + + = 2. Мандатный принцип контроля доступа - - + = = = 3. Очистка памяти - + + + = = 4. Изоляция модулей - - + = 5. Маркировка документов - - + = = = 6. Защита ввода и вывода на отчуждаемый физический носитель информации - - + = = = 7. Сопоставление пользователя с устройством - - + = = = 8. Идентификация и аутентификация + = = = 9. Гарантия проектирования - + + + 10. Регистрация - + + + = = 11. Взаимодействие пользователя с КСЗ - - - + = = 12. Надежное восстановление - - - + = = 13. Целостность КСЗ - + + + = = 14. Контроль модификации - - + = 15. Контроль дистрибуции - - + = 16. Гарантии архитектуры - - - + 17. Тестирование + + + = 18. Руководство пользователя + = = = 19. Руководство по КСЗ + + = 20. Текстовая документация + + + = 21. Конструкторская (проектная) документация + + + Обозначения: «-» - нет требований к данному классу; «+» - новые или дополнительные требования; «=» - требования совпадают с требованиями к СВТ предыдущего класса; КСЗ – комплекс средств защиты.
Теория рисков Кроме требований к защищенности отдельных элементов СВТ, в Руководящем документе приведены требования к защищенности автоматизированных систем (АС). В отличие от СВТ автоматизированные системы являются функционально ориентированными. При создании АС учитываются особенности пользовательской информации, технология обработки, хранения и передачи информации, конкретные модели угроз. Устанавливается девять классов защищенности АС от НСД к информации. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС. Третья группа классифицирует АС, с которыми работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3 Б и 3 А. Во вторую группу сведены АС, пользователи которых имеют одинаковые права доступа ко всей информации АС. Группа содержит два класса - 2 Б и 2 А. Первую группу составляют многопользовательские АС, в которых пользователи имеют разные права доступа к информации. Группа включает пять классов - 1 Д, 1 Г, 1 В, 1 Б, 1 А. Требования ко всем девяти классам защищенности АС сведены в табл.
Требования к защищенности автоматизированных систем Классы Подсистемы и требования 3 Б 3 А 2 Б 2 А 1 Д 1 Г 1 В 1 Б 1 А 1. Подсистема управления доступом 1. 1. Идентификация, проверка подлинности и контроль доступа субъектов в систему + + + + + к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ + + + к программам + + + к томам, каталогам, файлам, записям, полям записей + + + 1. 2. Управление потоками информации + + + + 2. Подсистема регистрации и учета 2. 1. Регистрация и учет: входа/выхода субъектов доступа в/из системы (узла сети) + + + + выдачи печатных (графических) выходных документов + + + запуска/завершения программ и процессов (заданий, задач) + + + доступа программ субъектов к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи + + + доступа программ субъектов, доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей + + + изменения полномочий субъектов доступа + + + создаваемых защищаемых объектов доступа + + + +
Требования к защищенности автоматизированных систем Классы Подсистемы и требования 3 Б 3 А 2 Б 2 А 1 Д 1 Г 1 В 1 Б 1 А 2. 2. Учет носителей информации + + + + 2. 3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей + + + 2. 4. Сигнализация попыток нарушения защиты + + + 3. Криптографическая подсистема 3. 1. Шифрование конфиденциальной информации + + + 3. 2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах + 3. 3. Использование аттестованных (сертифицированных) криптографических средств + + + 4. Подсистема обеспечения целостности 4. 1. Обеспечение целостности программных средств и обрабатываемой информации + + + + 4. 2. Физическая охрана средств вычислительной техники и носителей информации + + + + 4. 3. Наличие администратора (службы) защиты информации в АС + + + + 4. 4. Периодическое тестирование СЗИ НСД + + + + 4. 5. Наличие средств восстановления СЗИ НСД + + + + 4. 6. Использование сертифицированных средств защиты + + + +
Теория рисков Для примера целесообразно рассмотреть подробно требования к одному из представительных классов защищенности, а именно - к классу 1 В. В подсистеме управления доступом автоматизированной системы должны осуществляться: - идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов; - идентификация терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по логическим именам и/или адресам; - идентификация программ, томов, каталогов, файлов, записей, полей записей по именам; - контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа; - управление потоками информации с помощью меток конфиденциальности. При этом уровень конфиденциальности накопителей должен быть не ниже уровня конфиденциальности записываемой на него информации.
Теория рисков Подсистема регистрации и учета должна обеспечивать: - регистрацию входа/выхода субъектов доступа в систему из системы, либо регистрацию загрузки и инициализации операционной системы и ее программного останова; - регистрацию выдачи печатных (графических) документов на «твердую» копию; - регистрацию запуска/завершения программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов; - регистрацию попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, ЭВМ, узлам сети ЭВМ, линиям (каналам) связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей; - регистрацию изменений полномочий субъектов доступа и статуса объектов доступа; - автоматический учет создаваемых защищаемых файлов с помощью их дополнительной маркировки, используемой в подсистеме управления доступом. Маркировка должна отражать уровень конфиденциальности объекта; - учет всех защищаемых носителей информации с помощью их любой маркировки; - очистку (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Очистка осуществляется путем записи последовательности 1 и 0 в любую освобождаемую область памяти, использованную для хранения защищаемой информации; - сигнализацию попыток нарушения защиты.
Теория рисков Критерии оценки СУИБ Gartner Group выделяет 4 уровня зрелости компании с точки зрения обеспечения информационной безопасности: 0 -й уровень: - информационной безопасностью в компании никто не занимается, руководство компании не осознает важности проблем информационной безопасности; - финансирование отсутствует; - информационная безопасность реализуется штатными средствами операционных систем, СУБД и приложений (парольная защита, разграничение доступа к ресурсам и сервисам). 1 -й уровень: - информационная безопасность рассматривается руководством как чисто «техническая» проблема, отсутствует единая программа (концепция, политика) развития системы управления информационной безопасностью (СУИБ) компании; - финансирование ведется в рамках общего ИТ- бюджета; - информационная безопасность реализуется средствами нулевого уровня плюс средства резервного копирования, антивирусные средства, межсетевые экраны, средства организации VPN (построения виртуальных частных сетей), т. е. традиционные средства защиты
Теория рисков 2 -й уровень: - информационная безопасность рассматривается руководством как комплекс организационных и технических мероприятий, существует понимание важности информационной безопасности для производственных процессов, есть утвержденная руководством программа развития СУИБ компании; - финансирование ведется в рамках отдельного бюджета; - информационная безопасность реализуется средствами первого уровня плюс средства усиленной аутентификации, средства анализа почтовых сообщений и web-контента, IDS (системы обнаружения вторжений), средства анализа защищенности, SSO (средства однократной аутентификации), PKI (инфраструктура открытых ключей) и организационные меры (внутренний и внешний аудит, анализ риска, политика информационной безопасности, положения, процедуры, регламенты и руководства). 3 -й уровень: -информационная безопасность является частью корпоративной культуры, назначен CISA (старший администратор по вопросам обеспечения информационной безопасности); - финансирование ведется в рамках отдельного бюджета; - информационная безопасность реализуется средствами второго уровня плюс системы управления информационной безопасностью, CSIRT (группа реагирования на инциденты нарушения информационной безопасности), SLA (соглашение об уровне сервиса).
Теория рисков Модель оценки эффективности СУИБ Carnegie Mellon University выделяется 5 уровней зрелости, которым, как правило, соответствует различное понимание проблем информационной безопасности организации. Уровень зрелости организации Характеристика организации в области информационной безопасности Уровень 1. «Анархия» Политика в области ИБ неформализована, руководство не занимается этими вопросами. Обеспечением информационной безопасности сотрудники могут заниматься по своей инициативе, в соответствии со своим пониманием задач Признаки: - Сотрудники сами определяют, что хорошо, а что плохо; - затраты и качество не прогнозируются; - отсутствует контроль изменений; - высшее руководство плохо представляет реальное положение дел.
Теория рисков На первом уровне ИБ руководством формально не ставится. Но это не значит, что она не решается сотрудниками по собственной инициативе, и возможно эффективно. В качестве положительного примера можно привести один случай, имевший место в действительности. Сравнительно небольшая организация (порядка 80 компьютеров, 3 файл-сервера), занимающаяся рекламным бизнесом, в результате пожара в арендуемом ей здании, потеряла всю вычислительную технику и данные. Однако уже через неделю она полностью смогла восстановить свою работу. Некоторые сотрудники по своей инициативе делали копии наиболее важной информации на CD, что-то хранилось на домашних компьютерах сотрудников, что-то отправлялось по электронной почте различным адресатам и было затребовано обратно. В результате большая часть наиболее ценных информационных ресурсов была быстро восстановлена (а техника быстро закуплена), что позволило фирме успешно продолжить работу. При этом вопросы информационной безопасности руководством никогда не ставились и по-видимому ставиться не будут. Наряду со случаями, когда все окончилось благополучно, можно привести и много иных примеров, когда пренебрежение вопросами информационной безопасности имело чрезвычайно серьезные последствия. Тем не менее, с точки зрения руководства организации, находящейся на первом уровне зрелости, задачи обеспечения режима информационной безопасности, как правило, неактуальны. Несмотря на это, организации могут быть вполне жизнеспособными.
Теория рисков Уровень зрелости организации Характеристика организации в области информационной безопасности Уровень 2. «Фольклор» На уровне руководства существует определенное понимание задач обеспечения информационной безопасности. Существуют стихийно сложившиеся процедуры обеспечения информационной безопасности, их полнота и эффективность не анализируются. Процедуры не документированы и полностью зависят от личностей вовлеченных в них сотрудников. Руководство не ставит задач формализации процедур защиты Признаки: - выявлена определенная повторяемость организационных процессов; - опыт организации представлен в виде преданий корпоративной мифологии; - знания накапливаются в виде личного опыта сотрудников и пропадают при их увольнении.
Теория рисков На втором уровне проблема обеспечения информационной безопасности решается неформально, на основе постепенно сложившейся практики. Комплекс мер (организационных и программно-технических) позволяет защититься от наиболее вероятных угроз, как потенциально возможных, так и имевших место ранее. Вопрос относительно эффективности защиты не ставится. Таким образом, постепенно складывается неформальный список актуальных для организации классов рисков, который постепенно пополняется. Если серьезных инцидентов не происходило, руководство организации, как правило, считает вопросы информационной безопасности не приоритетными. В случае серьезного инцидента сложившаяся система обеспечения безопасности корректируется, а проблема поиска других возможных брешей в защите может быть осознана руководством. Для данного уровня зрелости организации типичными являются локальные (не связанные с другими этапами жизненного цикла технологии) постановки задачи анализа рисков, когда считается достаточным перечислить актуальные для данной информационной системы классы рисков и возможно описать модель нарушителя, а задача анализа вариантов контрмер, их эффективность, управление рисками, как правило, не считается актуальной.
Теория рисков Уровень зрелости организации Характеристика организации в области информационной безопасности Уровень 3. «Стандарты» Руководство осознает задачи в области информационной безопасности. В организации имеется документация (возможно неполная), относящаяся к политике информационной безопасности. Руководство заинтересовано в исполнении стандартов в области информационной безопасности, оформлении документации в соответствии с ними. Осознается задача управления режимом ИБ на всех стадиях жизненного цикла информационной технологии Признаки: - корпоративная мифология записана на бумаге; - процессы повторяемы и не зависят от личных качеств исполнителей; - информация о процессах для измерения эффективности не собирается; - наличие формализованного описания процессов не означает, что они работают; - организация начинает адаптировать свой опыт к специфике бизнеса.
Теория рисков На третьем уровне в организации считается целесообразным следовать в той или иной мере (возможно частично) стандартам и рекомендациям, обеспечивающим базовый уровень информационной безопасности (например, ISO 27002 -2007), вопросам документирования уделяется должное внимание. Задача анализа рисков считается руководством актуальной. Анализ рисков рассматривается как один из элементов технологии управления режимом информационной безопасности на всех стадиях жизненного цикла. Понятие риска включает несколько аспектов: вероятность, угроза, уязвимость, иногда стоимость. Технология управления режимом информационной безопасности в полном варианте включает следующие элементы: • Документирование информационной безопасности. системы организации с позиции • Категорирование информационных ресурсов с позиции руководства организации. • Определение возможного воздействия различного рода происшествий в области безопасности на информационную технологию. • Анализ рисков. • Технология управление рисками на всех этапах жизненного цикла. • Аудит в области информационной безопасности. На данном уровне зрелости организации анализ рисков связан с другими компонентами технологии управления режимом информационной безопасности.
Теория рисков Уровень зрелости организации Характеристика организации в области информационной безопасности Уровень 4. «Измеряемый» Признаки: - процессы измеряемы и стандартизированы Имеется полный комплект документов, относящихся к обеспечению режима информационной безопасности, оформленный в соответствии с каким-либо стандартом. Действующие инструкции соблюдаются, документы служат руководством к действию соответствующих должностных лиц. Регулярно проводится внутренний (и возможно внешний) аудит в области ИБ. Руководство уделяет должное внимание вопросам информационной безопасности, в частности имеет место адекватное представление относительно существующих угроз и уязвимостей, потенциальных потерях в случае возможных инцидентов На четвертом уровне для руководства организации актуальны вопросы измерения параметров, характеризующих режим информационной безопасности. На этом уровне руководство осознанно принимает на себя ответственность за выбор определенных величин остаточных рисков (которые остаются всегда). Риски, как правило, оцениваются по нескольким критериям (не только стоимостным). Технология управления режимом информационной безопасности остается прежней, но на этапе анализа рисков применяются количественные методы, позволяющие оценить параметры остаточных рисков, эффективность различных вариантов контрмер при управлении рисками.
Теория рисков Уровень зрелости организации Уровень 5 «Оптимизируемый» Признаки: - фокус на повторяемости измерений эффективности, оптимизации; - вся информация о функционировании процессов фиксируется Характеристика организации в области информационной безопасности Руководство заинтересовано в количественной оценке существующих рисков, готово нести ответственность за выбор определенных уровней остаточных рисков, ставит оптимизационные задачи построения систем защиты информации На пятом уровне ставятся и решаются различные варианты оптимизационных задач в области обеспечения режима информационной безопасности. Примеры постановок задач: - Выбрать вариант подсистемы информационной безопасности, оптимизированной по критерию стоимость/эффективность при заданном уровне остаточных рисков. - Выбрать вариант подсистемы информационной безопасности, при котором минимизируются остаточные риски при фиксированной стоимости подсистемы безопасности. - Выбрать архитектуру подсистемы информационной безопасности с минимальной стоимостью владения на протяжении жизненного цикла при определенном уровне остаточных рисков.
Теория рисков Экспериментальный подход Под экспериментальным подходом понимается организация процесса определения эффективности существующих СУИБ путем попыток преодоления защитных механизмов системы специалистами, выступающими в роли злоумышленников. Такие исследования проводятся следующим образом. В качестве условного злоумышленника выбирается один или несколько специалистов в области информационной борьбы наивысшей квалификации. Составляется план проведения эксперимента. В нем определяются очередность и материально-техническое обеспечение проведения экспериментов по определению слабых звеньев в системе защиты. При этом могут моделироваться действия злоумышленников, соответствующие различным моделям поведения нарушителей: от неквалифицированного злоумышленника, не имеющего официального статуса в исследуемой КС, до высококвалифицированного сотрудника службы безопасности. Служба безопасности до момента преодоления защиты «злоумышленниками» должна ввести в СУИБ новые механизмы защиты (изменить старые), чтобы избежать «взлома» системы защиты. Такой подход к оценке эффективности позволяет получать объективные данные о возможностях существующих СУИБ, но требует высокой квалификации исполнителей и больших материальных и временных затрат.
Теория рисков Контрольные вопросы: 1. Какие каналы утечки информации актуальны на современном этапе. 2. Какие угрозы информационной безопасности превалируют на современном этапе: внутренние или внешние? Обоснуйте свой ответ. 3. Дайте определение конфиденциальности, целостности и доступности информации. 4. Дайте определение системе менеджмента информационной безопасности. 5. Критерии оценки СУИБ Gartner Group. 6. Модель оценки эффективности СУИБ Carnegie Mellon University.
Скачать презентацию Харьковский национальный университет радиоэлектроники Кафедра телекоммуникационных систем Разработал
Лекция-риски-1-2011.ppt