Комплексные системы защиты информации

Размещено на http://allbest.ru

Содержание

Введение

1. Оценка эффективности

2. Вероятностный подход

3. Оценочный подход

3.1 Требования РД СВТ и РД АС

3.2 Задание требований безопасности информации и оценка соответствия им согласно ГОСТ 15408--2002

4. Экспериментальный подход

Список литературы

Введение

информация программный компьютерный несанкционированный

Практически каждый системный интегратор в области ИБ обещает своим заказчикам создать эффективную систему защиты корпоративных информационных ресурсов. При этом «типовые» решения, предлагаемые интеграторами, разнятся в соответствии со специализацией самих интеграторов: кто-то делает акцент на защите информации от утечек, кто-то - на защите сетевого взаимодействия, кто-то - на приведении корпоративных систем в соответствие с требованиями регуляторов.

Система норм российского законодательства в области ИБ на сегодняшний день такова, что из сферы государственного технического регулирования выведены все категории охраняемой законом информации, кроме государственной тайны, персональных данных и - отчасти - конфиденциальной информации органов государственной власти. Для всех остальных видов тайн, включая коммерческую и банковскую, решение о том, какой уровень защиты считать необходимым или достаточным, самостоятельно принимает владелец информационного ресурса - с учетом тех рекомендаций, которые изложены в государственных или международных стандартах, а также методических документах регуляторов.

Но даже для тайн, защиту которых регулирует государство, не всегда есть четкие критерии, позволяющие оценить достаточность или эффективность мер защиты. В российском техническом регулировании нет таких понятий как «оценка защищенности» или «оценка эффективности защиты», есть только «оценка соответствия». При этом регуляторы используют разные подходы к оценке соответствия.

Подход, который практикуется системой сертификации ФСТЭК, можно охарактеризовать как «декларативный». Разработчик программного продукта декларирует ряд технических требований, оформляя их в виде технических условий или задания по безопасности ГОСТ 15408, а сертификация подтверждает, что декларированные требования были разработчиком выполнены. При этом потребителю средств защиты доступны лишь сами требования, но не детали их выполнения, и возможности оценить, учтены ли в реализации сертифицированных функций безопасности специфические особенности защищаемой информационной системы, у него нет. При этом ответственность за правильное использование сертифицированного продукта лежит целиком на владельце защищаемого ресурса.

Система сертификации ФСБ функционирует несколько иначе. Разработчик программного продукта или информационной системы декларирует уровень потенциального нарушителя и модель угроз, защиту от которых нужно обеспечить с помощью реализованной в продукте или системе криптографии, а при сертификации оценивается выполнение требований, направленных на защиту от подобных угроз. Причем владелец защищаемого ресурса лишен даже минимальной информации о предъявленных при сертификации продукта требованиях.

Эти две разные по своим подходам системы имеют одну общую черту: при сертификации оценивается соответствие объекта некоторым ведомственным, априори заданным требованиям. Основной их недостаток заключается в том, что требования к обеспечению безопасности информационного ресурса определяются исключительно средой, в которой он находится. При этом практически не учитывается специфика самого ресурса. Понятно, что файловый сервер с домашними каталогами сотрудников компании и сервер системы бухгалтерского учета могут содержать одинаково конфиденциальные сведения и в то же время имеют для компании разную ценность. Проблема в том, что эта ценность субъективна, и зачастую ее невозможно описать или измерить.

Основной целью данной курсовой работы являлось изучение подходов к оценке эффективности.

Для достижения этой цели ставились следующие задачи:

· разобраться и уяснить более подробно понятие «оценка эффективности»;

· изучить и проанализировать различные подходы к оценке эффективности;

· рассмотреть нормативные документы и законы, касающиеся этой темы.

1. Оценка эффективности

2. Вероятностный подход

Под вероятностным подходом к оценке эффективности понимается использование критериев эффективности, полученных с помощью показателей эффективности. Значения показателей эффективности получаются путем моделирования или вычисляются по характеристикам реальной системы. Такой подход используется при разработке и модернизации КСЗИ. Однако возможности вероятностных методов комплексного оценивания эффективности применительно к КСЗИ ограничены в силу ряда причин:

· Высокая степень неопределенности исходных данных;

· сложность формализации процессов функционирования;

· отсутствие общепризнанных методик расчета показателей эффективности;

· выбор критериев оптимальности

Методы статистического имитационного моделирования основаны на построении имитационной модели процесса функционирования КСЗИ, отражающей этот процесс в формализованной форме (в виде алгоритма). Процессы функционирования КСЗИ и ее элементов имитируются с сохранением их логических связей и последовательности протекания во времени.

Достоинства метода:

· гибкость и динамичность при внесении изменений в исходную модель;

· получение результата с заранее заданной степенью приближения к моделируемой системе.

Недостатки метода:

· отнести нерациональное использование вычислительных ресурсов при расчете каждой отлаженной модели;

· большое время доработки моделирующего алгоритма и программы при изменениях исходной модели.

Одна из современных систем, реализующих этот метод, -- система автоматизированного имитационного моделирования (САИМ), основу которой составляет некоторая стандартная схема-модуль (обычно динамическая система общего вида). Однако трудности выбора модуля с общим для всех уровней моделирования математическим аппаратом затрудняют получение исчерпывающих характеристик моделируемой системы.

Сравнительная оценка эффективности функционирования КСЗИ непосредственно по частным показателям эффективности функционирования (ЧПЭФ) противоречива, поскольку по одним показателям более эффективной может оказаться одна КСЗИ, а по другим -- другая.

Выходом из этой ситуации является формирование и последующая вероятностно-временная оценка обобщенного ПЭФ, который бы функционально связывал все многообразие ЧПЭФ и требований к ним.

Выбор этого метода обусловлен учетом в нем случайного характера изменения большинства ПК КСЗИ, а также реальной возможностью автоматического решения основных проблем многокритериальной оценки качества и эффективности КСЗИ (т.е. нормализации компонент векторных ПК и их свертки) в рамках выбранного вероятностного подхода.

Основными исходными данными, необходимыми для проведения оценки эффективности, являются:

* требования, предъявляемые к ОПЭФ и отдельным системам показателей качества;

* принятая структура КСЗИ (состав средств зашиты, их распределение по подразделениям и т.п.);

* возможные варианты воздействий на КСЗИ;

* принятая структура СУИБ КСЗИ (состав задач и органов управления, ресурсы, планы распределения задач и ресурсов по структуре СУИБ);

* допустимый диапазон изменения управляемых параметров;

* алгоритмы управления и их характеристики.

3. Оценочный подход

На практике часто применяется подход к оценке эффективности КСЗИ, связанный с проверкой соответствия системы защиты тем или иным требованиям. Такой подход можно условно назвать оценочным. Требования могут быть установлены государством или иным собственником информационных ресурсов.

К сожалению, в настоящее время в РФ не существует единых требований по защите конфиденциальной информации.

Можно выделить две группы требований по характеру их детализации:

· общие;

К общим относятся требования, изложенные в Федеральных законах «О персональных данных», «О коммерческой тайне», «О банках и банковской деятельности» и др.

· специальные.

К специальным относятся требования по криптографической защите информации; технической защите информации от утечки по каналам ПЭМИН; технической защите речевой информации; защите информации от НСД в АС.

Рассмотрим вначале общие требования, предъявляемые к отдельным видам конфиденциальной информации.

Согласно ФЗ «О персональных данных» операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев обезличивания персональных данных и общедоступных персональных данных.

Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных и требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

Контроль и надзор за выполнением требований осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической зашиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

Согласно ФЗ «О коммерческой тайне» правообладатель имеет право установить режим коммерческой тайны, который включает:

* определение перечня информации, составляющей коммерческую тайну;

* ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;

* учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана;

* регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;

* нанесение на материальные носители (документы), содержащие информацию, составляющую коммерческую тайну, грифа «Коммерческая тайна» с указанием обладателя этой информации (для юридических лиц -- полное наименование и место нахождения, для индивидуальных предпринимателей -- фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства).

Согласно ФЗ «О банках и банковской деятельности» за разглашение банковской тайны Банк России (организация, осуществляющая функции по обязательному страхованию вкладов), кредитные, аудиторские и иные организации, уполномоченный орган, осуществляющий меры по противодействию легализации (отмыванию) доходов, полученных преступным путем, а также их должностные лица и работники несут ответственность, включая возмещение нанесенного ущерба, в порядке, установленном федеральным законом.

Специальные требования по криптографической защите информации устанавливаются уполномоченным органом. В соответствии с Указом Президента РФ «Вопросы Федеральной службы безопасности Российской Федерации», таким органом в настоящее время является ФСБ РФ.

Требования по технической защите информации от утечки по каналам ПЭМИН и технической защите речевой информации задаются в СТР-К и закрытых документах.

Требования по защите информации от НСД в АС могут задаваться перечнем механизмов защиты информации, которые необходимо иметь в АС, чтобы она соответствовала определенному классу зашиты. Используя такие документы, можно оценить эффективность КСЗИ. В этом случае критерием эффективности К.СЗИ является полнота выполнения всех требований.

Достоинства метода.

Несомненным достоинством таких классификаторов (стандартов) является простота использования.

Недостатки метода.

Основным недостатком официального подхода к определению эффективности систем зашиты, является то, что эффективность конкретного механизма защиты не определяется, а констатируется лишь факт его наличия или отсутствия. Этот недостаток в какой-то мере компенсируется заданием в некоторых документах достаточно подробных требований к указанным механизмам зашиты.

В Российской Федерации в настоящее время имеются две независимые системы задания требований и оценки соответствия информационных технологий требованиям безопасности информации. Наиболее распространена оценка соответствия АС требованиям Руководящего документа РД АС, СВТ -- требованиям РД С ВТ, межсетевых экранов -- требованиям РД МСЭ.

Вторая система задания требований безопасности информации и оценки соответствия им основана на ГОСТ 15408 -- 2002 и документах ФСТЭК, выпущенных в его развитие. Как правило, все эти документы «новой» нормативной базы являются аутентичными переводами зарубежных документов, отчасти уже устаревших.

3.1 Требования РД СВТ и РД АС