Застосування СППР у завданняx організаційно-економічного забезпечення захисту інформації

Candidate of Technical Sciences, Associate Professor, Associate Professor at the Department of Computer Systems, Networks and Cyber Security, National University of Life and Environmental Sciences of Ukraine, 16 Heroiv Oborony Str., Kyiv, Ukraine,

Continuous organizational and economic support of the company's information security procedures (IS] can minimize business risks, maximize return on investment, facilitate business opportunities, increase the company's commercial image and competitive advantage. To ensure effective protection of information resources of the company (IR] and stable management of information security, companies must not only periodically perform information security assessments but also constantly analyze the processes for their corporate information systems. The model of organizational and economic support of effective protection of corporate information by formalizing the procedures of formalizing the task of optimizing the information protection system (IPS] is described. In this case, in contrast to existing approaches, the emphasis in the proposed solution is on mathematical-algorithmic and computer support of the decision-making procedure in the context of the tasks of information security management of the company. The proposed additions, together with traditional approaches, enable the defense party to determine the parameters of organizational management of the IPS infrastructure of the enterprise as effectively as possible. The outline of the decision support system (DSS] in the process of developing the infrastructure of the company's information protection system is considered. In the conditions of shortage of qualified experts in the field of information security of companies, additions to the model are proposed. These additions allow taking into account the impact of human resources of IS experts on the management of the company's IPS infrastructure. Recommendations are offered and the corresponding application software - DSS is described. The application of this decision support system will help minimize the risks associated with the lack of qualified information security experts in many companies.

Key words: information protection, information security, organizational and economic support, infrastructure management, decision support system, risk minimization.

В умовах глобалізації, кооперації, конкуренції жодна компанія (незалежно від сфери діяльності) не обходиться без розвиненої структури інформаційних технологій та систем (далі, відповідно, IT та ІС), що забезпечують успішність та оперативність, як прийняття окремих управлінських рішень, так і ефективність бізнес процесів компанії загалом.

Динамічний зростання IT-інфраструктури компаній давно подолав перший етап традиційного розростання масштабів комплексів апаратно-програмних засобів, задіяних для автоматизації збору, зберігання, обробки, передачі та отримання інформації. У сучасних умовах пріоритетними стали не стільки кількість і якість IT та ІС, які використовуються в бізнес-процесах суб'єктів господарської діяльності, скільки достовірність та повнота інформації, що сприяють прийняттю оптимальних управлінських рішень. На зміну традиційним ІС для великих компаній прийшли корпоративні інформаційні системи (далі - КІС). Проте, стрімкий розвиток IT та ІС компаній породило таку гостру проблему як забезпечення інформаційної безпеки (далі - ІБ) компаній та збереження їх інформаційних ресурсів (далі - ІнР). Застосування атакуючої стороною все більш складних методів реалізації сценаріїв кібернетичних атак призвело до того, що будь-яка КІС вже на момент початку її функціонування вимагає процесу вживання відповідних заходів, спрямованих на захист корпоративної інформації. Отже, кожне підприємство має забезпечувати високий рівень захисту комерційної інформації, цілісність своїх ІнР [1].

Безперервне організаційно-економічне забезпечення процедур ІБ компанії може мінімізувати бізнес-ризики, максимізувати віддачу від інвестицій, полегшити можливості для бізнесу, підвищити комерційний імідж та конкурентні переваги компанії [1; 2]. Для забезпечення ефективного захисту ІнР та стабільного управління ІБ компанії повинні не тільки періодично виконувати оцінку ІБ, а й постійно аналізувати процеси для своїх КІС.

Світовий досвід незаперечно доводить, що просте збільшення чисельності засобів і заходів захисту інформації (далі - ЗІ) який завжди дають відчутний ефект [2]. Більше того, у низці ситуацій [3] реалізація такого сценарію лише підвищує завантаженість персоналу, який займається питаннями інформаційної безпеки компанії. Більше того, помилки при плануванні ресурсів, які виділяються на забезпечення ІБ компаній, призводять до того, що дорогий захист ІнР з малою цінністю або значущістю для бізнес-процесів фактично виливається на економічну шкоду. Такі збитки можуть бути не завжди фінансово очевидними. У ряді випадків розміри репутаційної шкоди у рази перевищують втрати фінансові від втрати інформації [4]. Те саме можна сказати про недостатньо ефективний захист цінних ІнР компаній. Наприклад, за даними [5] наявність у компанії витоків важливої інформації, яка використовується в бізнес-процесах, обсягах >20 % може призвести до того, що з ймовірністю 60 % компанія стане банкрутом. Більше того, за даними [5; 6] понад 90 % компаній, які були позбавлені доступу до власних ІнР на терміни >10 днів, з високою ймовірністю припиняли свою економічну діяльність.

Резюмуючи вище сказане - існує певна суперечність. Так, з одного боку, суттєві витрати на систему захисту інформації - є обов'язковою складовою витрат практично всіх суб'єктів господарської діяльності. А з іншого боку, так само необхідне і вирішення завдання, пов'язаного з оптимізацією витрат на побудову ефективної СЗІ та організацію ефективних процесів у КІС. Зроблені висновки та визначають релевантність цього дослідження, спрямованого на вдосконалення методів та моделей організаційної підтримки процесів управління IT-інфраструктурою у СЗІ компаній.

Огляд і аналіз літератури. У працях [7; 8] показано, що зростаюча інтенсивність і ускладнення сценаріїв проведення кібернетичних атак роблять актуальними не тільки перманентне вдосконалення апаратно-програмних комплексів СЗІ, але і диктують необхідність вживання інших заходів. До таких заходів, зокрема, належать і заходи, спрямовані на вдосконалення організаційно-економічного забезпечення ефективного захисту корпоративної інформації суб'єктів господарської діяльності. На думку [9; 10] необхідно надати стороні захисту ефективні інтелектуальні системи, здатні полегшити досить рутинну роботу з управління ІБ підприємств.

Необхідність оперативного прийняття рішень, пов'язаних з організаційно-економічним забезпеченням та менеджментом захисту корпоративної інформації, зробила перспективними дослідження з розвитку систем підтримки прийняття рішень (СППР) [11; 12] у цій галузі. У цих працях, а також у працях [13; 14] показано, що в рамках створення подібних СППР відповідний розвиток отримують нові методи, моделі, алгоритми та прикладне програмне забезпечення, що використовується для вирішення подібних завдань. Автори розглянутих праць, однак не наводять вагомих аргументів, що доводять ефективність широкого застосування подібних СППР для більшості суб'єктів господарської діяльності.

Досвід застосування СППР у завданнях менеджменту ІБ окремих компаній розглянуто в [15; 16]. Проте, як зазначено у [16; 17] існуючі комерційні СППР у завданнях забезпечення ІБ компаній мають закритий характер. Автори констатують, що придбання окремими невеликими компаніями такого класу СППР пов'язане із значними фінансовими витратами. Існуючі на ринку прикладного ПЗ некомерційні СППР у завданнях ІБ не володію достатньою функціональністю [17].

Як показано в [18; 19; 20], проблематика комплексного впровадження СППР у завдання організаційно-економічного забезпечення ефективного захисту корпоративної інформації в контексті завдань менеджменту ІБ системно не розглядалися.

Більше половини всіх кібератак націлені на невеликі підприємства та підприємства [21]. Незважаючи на таку гнітючу статистику, як показано в [22], значна частина менеджменту малих та середніх компаній продовжує вважати, що ІБ це зайва стаття витрат. Не менш важливо, що ця думка частково заснована і на тлі дефіциту кваліфікованого кадрового потенціалу, який займається ІБ. Таким чином, невеликі компанії мають більше проблем при моніторингу ефективності ІБ. Як показано [23; 24] звичайною практикою таких невеликих компаній стало застосування формальних та складних процедур, орієнтованих на передбачення та прогнозування інцидентів з ІБ.

Враховуючи висновки, зроблені авторами в [13; 15; 17; 18; 19; 20; 24], залишається невирішеною проблема системної імплементації інтелектуальних СППР у завдання організаційно-економічного забезпечення та менеджменту ІБ компаній. Математико-алгоритмічна та комп'ютерна підтримка процедури прийняття рішень та якісна експертна оцінка дозволяють вирішувати завдання організаційно-економічного забезпечення ефективного захисту корпоративної інформації у контексті завдань менеджменту ІБ найбільш ефективно. Таким чином, концептуально інноваційні підходи можуть базуватись на парадигмі комплексного впровадження СППР у завданнях організаційно-економічного забезпечення ефективного захисту корпоративної інформації у контексті завдань менеджменту ІБ компаній. Вище зазначені причини роблять тематику нашого дослідження актуальним. На наш погляд, доцільно зосередити увагу на питаннях впровадження подібних систем підтримки прийняття рішень у невеликих компаніях, де ситуація з ІБ є найбільш критичною.

Мета роботи та завдання дослідження. Мета роботи - розвиток моделі організаційно-економічного забезпечення та менеджменту ІБ компаній.

Для досягнення мети роботи необхідно вирішити такі завдання:

- розробити модель організаційно-економічного забезпечення та менеджменту інформаційної безпеки компаній з урахуванням мінімізації ризиків, пов'язаних із відсутністю кваліфікованих експертів з інформаційної безпеки;

- розробити та протестувати систем підтримки прийняття рішень для організаційно-економічного забезпечення та менеджменту інформаційної безпеки компаній, які дозволить стороні захисту раціонально використовувати методи та системи захисту інформації.

Методи та моделі. У [25; 26] наголошується, що в умовах глобальної цифровізації економіки багато компаній зіткнулися з дефіцитом кваліфікованих фахівців з кібербезпеки. І якщо більшу частину загроз ІнР вдається блокувати апаратно-технічними системами захисту інформації, то питання організаційно-економічного забезпечення ефективного захисту корпоративної інформації доводиться вирішувати аналітикам з інформаційної безпеки. І тут багато залежить від кваліфікації та досвіду робота конкретного спеціаліста. На наш погляд, може виявитися досить ефективним напрямок, пов'язаний із широким впровадженням у практику вирішення завдань з організаційно-економічного забезпечення систем захисту корпоративної інформації інтелектуальних систем підтримки прийняття рішень.

Такі систему здатні взяти на себе виконання досить рутинних та трудомістких розрахунково-аналітичних завдань, пов'язаних, наприклад, з оптимізацією дозволу окремих СЗІ за контурами ІБ компанії. Також такого роду СППР дозволять оперативно приймати рішення при перерозподілі СЗІ за умов динамічного протистояння атакуючій стороні [27; 28; 31-33].

Імплементація СППР, наприклад, структуру моделі ISP 10 х 10M [27; 28], сприятиме ефективнішої реалізації рекомендацій щодо забезпечення ІБ компанії (див. рис. 2). На рис. 2 показані фактори ІБ відповідно до моделі ISP 10 х 10M. Ті фактори, для яких може бути задіяний потенціал СППР, показані із зеленою заливкою.

Загальноприйнятою практикою у системі управління ІБ (далі СУІБ) компаній є делегування частини завдань, які вимагають досить високої кваліфікації, зовнішнім експертам. Однак такий підхід стає не таким ефективним, коли йдеться про необхідність проведення техніко-економічних розрахунків у завданнях забезпечення ІБ підприємства.

Наприклад, до таких завдань можна віднести багатокритеріальні оптимізаційні завдання, пов'язані з пошуком:

• оптимальних витрат на побудову СЗІ компанії;

• оптимального складу апаратно-програмних засобів захисту за контурами ІБ підприємства;

• динамічного перерозподілу СЗІ за умов цільових кібератак на ІнР компанії.

У таких ситуаціях, на наш погляд, доцільно перекласти рутинні розрахунки та пошук математичних рішень, зазначених оптимізаційних завдань, на СППР. При такому підході процеси аналізу даних аудиту ІБ та результатів математико-економічного моделювання за допомогою СППР, а в ряді випадків та прогнозування ризиків, надається керівництву компанії.

Рис. 2. Структурна схема моделі ISP 10 х 10M (фактори для яких рекомендується використання СППР, відзначені зеленим кольором)

У міру зростання кількості та ускладнення сценаріїв проведення атак, ІБ стає одним із основних управлінських завдань менеджменту компаній. Це з тим що доводиться розглядати управління складної системою. Причому неправильні рішення щодо ІБ компанії можуть призвести до зниження продуктивності всіх бізнес-процесів. Коли фахівці в галузі ІБ компанії компетентні та здатні забезпечити високий рівень безпеки та захисту інформації, вони здебільшого діють ефективно та при вирішенні завдань планування та інвестиційної діяльності в ІБ. Таким чином, загальна ефективність бізнес-процесів компанії найчастіше залежить від узгодженості між плануванням ІБ та бізнес-плануванням.

Розв'язання задач, пов'язаних з оптимізацією СЗІ компанії включає такі етапи [14; 28]:

1) визначити параметри організаційного управління IT-інфраструктурою та СЗІ;

2) мінімізувати витрати на побудову СЗІ;

3) вибрати оптимальний розмір інвестицій СЗІ компанії;

4) виключити (або мінімізувати) можливості витоків інформації у компанії.

Обчислювальне ядро СППР здатне взяти він всі розрахунки з пошуку локальних чи глобальних екстремумів цільових функцій.

Наприклад, пошуку вирішення задачі мінімізації фінансових витрат на СЗІ можна використовувати функцію виду:

при дотриманні наступних граничних умов:

де C.. - розмір витрат на захист j-го ресурсу за допомогою 7-го СЗІ; C. - розмір витрат на безлічі ІнР за допомогою 7-го СЗІ; 1={ї_г,--, ij; ]={j₁, --,j_m] - відповідно, безліч СЗІ у компанії та безліч ІнР, які підлягають захисту; т.. - оцінка ефективності захисту j-го ресурсу за допомогою 7-го СЗІ; s. - коефіцієнт важливості j-го ресурсу при комплексній оцінці СЗІ підприємства; а.. - бінарна величина, якщо а.=1 то ї-е СЗІ обрано для захисту j-го ресурсу, а.=0, то ї-е СЗІ використовується для захисту тільки від потенційних загроз; в. - двійкове значення, якщо в=1 тоді /-е IPS можна використовувати, якщо в =0, то ні; PL_cd - рівень захисту при витратах на СЗІ у розмірі (C) та погрозах (D).

Якщо йдеться про необхідність максимізувати рівень захисту ІнР компанії, то можна використовувати таку цільову функцію:

при дотриманні наступних граничних умов:

Висока динаміка зміни ландшафту кібернетичних загроз та зовнішнього середовища для сучасних компаній, що будують багато своїх бізнес-процесів на застосуванні ІТ та ІС, диктує свої особливості у питанні формування кадрової політики щодо фахівців, що займаються ІБ. Метою даного дослідження не є детальне вивчення проблеми ефективності використання кадрового потенціалу ІБ у компаніях. Ми лише хочемо наголосити, що це, як і раніше, залишається маловивченим і вимагає пильної уваги керівників компаній.

У загальному вигляді безліч, що формалізує дефіцит кадрових ресурсів в області ІБ компанії можна так:

де ] - безліч ІнР компанії які вимагають уваги з боку персоналу в контексті ІБ; Pr - безліч властивостей, якими повинен мати співробітник, який займається питаннями ІБ для конкретних ІнР; M - мотивація до постійного підвищення рівня професійної кваліфікації; D - безліч загроз, що вимагають реагування співробітника, який має високу кваліфікацію.

Зрозуміло, дана формалізація моделі не враховує всі аспекти проблеми дефіциту кадрів фахівців з ІБ компаній, проте вона ілюструє важливість завдання включення до контуру бізнес процесів інтелектуальних СППР, готових прийняти на себе частину досить рутинної роботи, яку доводиться виконувати персоналу у повсякденній практиці забезпечення ІБ компанії. Окремого моделювання та оцінки потребує і процедура розгляду актуальних загроз та ризиків, пов'язаних із реалізацією цих загроз. Описані вище моделі було реалізовано у ряді програмних продуктів. Наприклад, у СППР "DSS investing in cybersecurity" [29; 30].

СППР DSS investing in cybersecurity призначений для вибору в режимі онлайн оптимальних стратегій інвестування в засоби ІБ компанії. Це завдання вирішується в контексті підвищення захищеності КІС компаній за допомогою інноваційних технологій, що ґрунтуються на використанні інтелектуальних систем підтримки прийняття рішення в контурах захисту КІС.

Не ставлячи пріоритетом даного дослідження розвиток комплексу моделей для вирішення багатокритеріальних оптимізаційних завдань, пов'язаних із забезпеченням ІБ компанії, зауважимо, що вирішення цих завдань може бути ефективним лише на основі синергетичного поєднання досвіду експертів і кібернетичного моделювання. Але в сукупності це забезпечує оперативне прийняття рішень щодо забезпечення ІБ компанії.

Обговорення. Якщо покласти на СППР вирішення завдань, пов'язаних з оптимізацією СЗІ, то фахівцям з ІБ усередині компанії можна зосередитись на вирішенні організаційних завдань.

До таких завдань, наприклад, відносяться заходи щодо резервного копіювання даних; ізоляції найбільш чутливих до загроз інформаційних систем; безпечне та надійне знищення пристроїв та даних; централізованого управління системою та управління конфігурацією та ін. Також зауважимо, що спеціалістам з ІБ у самій компанії набагато простіше ніж зовнішнім спеціалістам відстежить персонал, який має зловмисні мотиви. Не потрібна допомога СППР та при вирішенні завдань, пов'язаних з мотивацією та готовністю співробітників брати участь у процесах навчання з ІБ.

СППР також може бути ефективною при аналізі та оцінці ризиків, планів забезпечення безперервності бізнесу та реагування на інциденти, а також для підвищення оперативності процедур відновлення КІС.

Дані математико-економічного моделювання з допомогою СППР передаються менеджменту підприємства прийняття рішень на стратегічному рівні управління ІБ. Основним завданням керівництва у такій ситуації стає забезпечення розумного підходу до формування політики ІБ. Успішність реалізації політики ІБ вимагає безперервної вертикальної та горизонтальної комунікації та координації потреб усіх зацікавлених сторін - фахівців з ІБ, мережевих адміністраторів, менеджменту та ін. Таким чином, організаційно-економічне забезпечення ефективного захисту корпоративної інформації стає невід'ємною частиною процедур управління ІБ. Такий синергетичний підхід демонструє адекватний рівень зрілості ІБ компанії. Застосування СППР можна назвати та розвивати як окрему бізнес-функцію ІБ. Причому ця бізнес функція разом із традиційними підходами дозволить більш оперативно виявляти слабкі ланки ІБ компанії.

Висновки

Набула подальшого розвитку модель, яка описує процедуру формалізації завдання оптимізації системи захисту інформації (СЗІ) суб'єкта господарської діяльності (компанії). На відміну від існуючих підходів, акцент на даному дослідженні, зроблений на математико-алгоритмічну та комп'ютерну підтримку процедури прийняття рішень у питаннях організаційно-економічного забезпечення ефективного захисту корпоративної інформації в контексті завдань менеджменту інформаційної безпеки (ІБ) компаній.

Пропонований підхід дає можливість стороні захисту максимально ефективно, визначати параметри організаційного управління інфраструктурою СЗІ компанії. Розглянуто контур СППР у процесі розвитку інфраструктури СЗІ підприємства. В умовах дефіциту кваліфікованих експертів у галузі ІБ компаній, запропоновано доповнення до існуючих математичних моделей. Запропоновані доповнення дозволяють врахувати вплив кадрових ресурсів експертів у питаннях ІБ на управління інфраструктурою СЗІ компанії. Запропоновано рекомендації та описано відповідне прикладне програмне забезпечення - СППР. Застосування цієї СППР сприятиме мінімізації ризиків, пов'язаних з відсутністю кваліфікованих експертів з ІБ у багатьох компаніях.