| ||||||||||||
| ||||||||||||
|
2004 г
Моделирование процессов создания и оценки эффективности систем защиты информацииДомарев В.В. - эксперт по вопросам информационной безопасности, к.т.н.www.security.ukrnet.net Содержание:
Системный подходПонятие системности заключается не просто в создании соответствующих механизмов защиты, а представляет собой регулярный процесс, осуществляемый на всех этапах жизненного цикла ИС. При этом все средства, методы и мероприятия, используемые для защиты информации объединяются в единый целостный механизм - систему защиты. К сожалению, необходимость системного подхода к вопросам обеспечения безопасности информационных технологий пока еще не находит должного понимания у пользователей современных ИС. Сегодня специалисты из самых разных областей знаний, так или иначе, вынуждены заниматься вопросами обеспечения информационной безопасности. Это обусловлено тем, что в ближайшие лет сто нам придется жить в обществе (среде) информационных технологий, куда перекочуют все социальные проблемы человечества, в том числе и вопросы безопасности… Каждый из указанных специалистов по-своему решает задачу обеспечения информационной безопасности и применяет свои способы и методы для достижения заданных целей. Самое интересное, что при этом каждый из них в своем конкретном случае находит свои совершенно правильные решения. Однако, как показывает практика, совокупность таких правильных решений не дает в сумме положительного результата - система безопасности в общем и целом работает не эффективно. Если собрать всех специалистов вместе, то при наличии у каждого из них огромного опыта и знаний, создать СИСТЕМУ информационной безопасности зачастую так и не удается. Разговаривая об одних и тех же вещах, специалисты зачастую не понимают друг друга поскольку у каждого из них свой подход, своя модель представления системы защиты информации. Такое положение дел обусловлено отсутствием системного подхода, который определил бы взаимные связи (отношения) между существующими понятиями, определениями, принципами, способами и механизмами защиты… Постановка задачи. Одиннадцать отдельно взятых футболистов (даже очень хороших) не составляют команду до тех пор, пока на основе заданных целей не будет отработано взаимодействие каждого с каждым. Аналогично СЗИ лишь тогда станет СИСТЕМОЙ, когда будут установлены логические связи между всеми ее составляющими. Как же организовать такое взаимодействие? В футболе команды проводят регулярные тренировки, определяя роль, место и задачи каждого игрока. Качество или эффективность команд оценивается по игре в матчах, результаты которых заносятся в турнирную таблицу. Таким образом, после проведения всех встреч команд (каждой с каждой), можно сделать вывод об уровне состояния мастерства как команды в целом, так и отдельных ее игроков. Побеждает тот, у кого наиболее четко организовано взаимодействие… Выражаясь терминами современного бизнеса, для решения вопросов взаимодействия нужно перейти от "чисто" технического на "конкретно" логический уровень представления процессов создания и функционирования СИСТЕМ защиты информации. Хотелось бы, чтобы все специалисты, считающие себя профессионалами в информационных технологиях, поднялись чуть выше "багов" и "кряков" и уже сейчас задумались над тем как их знания и опыт будут логически увязаны со знаниями и опытом других специалистов. В "строгой научной постановке" задача автора состоит в предоставлении пользователям вспомогательного инструмента "елки" - (модели СЗИ), а задача читателя (пользователя) - украсить эту "елку" новогодними игрушками - (своими знаниями и решениями). Даже если "игрушек" пока еще нет, наличие "елки" поможет выбрать и приобрести нужные "украшения". Конечный результат работы (степень красоты елки) зависит от ваших желаний, способностей и возможностей. У кого-то получится хорошо, у кого-то - не совсем… Но это естественный процесс развития, приобретения знаний и опыта. Кстати, оценить красоту елки (эффективность системы защиты) весьма проблематично, поскольку у каждого из нас свои требования и вкусы, о которых, как известно, не спорят, особенно с руководством. Таким образом, многообразие вариантов построения информационных систем порождает необходимость создания различных систем защиты, учитывающих индивидуальные особенности каждой из них. В то же время, большой объем имеющихся публикаций вряд ли может сформировать четкое представление о том как же приступить к созданию системы защиты информации для конкретной информационной системы, с учетом присущих ей особенностей и условий функционирования. Как сказал классик юмора: "…многообразие ваших вопросов порождает многообразие наших ответов…" Возникает вопрос: можно ли сформировать такой подход к созданию систем защиты информации, который объединил бы в нечто единое целое усилия, знания и опыт различных специалистов? При этом желательно что бы указанный подход был универсальным, простым, понятным и позволял бы в одинаковой степени удовлетворить любые вкусы (требования) гурманов информационной безопасности? Модель представления системы информационной безопасности. Практическая задача обеспечения информационной безопасности состоит в разработке модели представления системы (процессов) ИБ, которая на основе научно-методического аппарата, позволяла бы решать задачи создания, использования и оценки эффективности СЗИ для проектируемых и существующих уникальных ИС. Что понимается под моделью СЗИ? Насколько реально создать такую модель? В упрощенном виде модель СЗИ представлена на Рис.1.  Рис.1. Модель СЗИ Основной задачей модели является научное обеспечение процесса создания системы информационной безопасности за счет правильной оценки эффективности принимаемых решений и выбора рационального варианта технической реализации системы защиты информации.
Требования к моделиТакая модель должна удовлетворять следующим требованиям (Рис. 2.):
Рис. 2. Требования к модели СЗИ Описание подхода к формированию модели ИБКак составить такое представление об информационной безопасности, что бы охватить все аспекты проблемы? Человек получает наиболее полное представление об интересующем его явлении, когда ему удается рассмотреть это нечто неизвестное со всех сторон, в трехмерном измерении. Воспользуемся этим принципом.
Рис. 3. Три "координаты измерений" - три группы составляющих модели СЗИ ОСНОВАМИ или составными частями практически любой сложной СИСТЕМЫ (в том числе и системы защиты информации) являются:
НАПРАВЛЕНИЯ формируются исходя из конкретных особенностей ИС как объекта защиты.
Рис. 5. Координата НАПРАВЛЕНИЯ Но, поскольку каждое из этих НАПРАВЛЕНИЙ базируется на перечисленных выше
ОСНОВАХ, то элементы ОСНОВ и НАПРАВЛЕНИЙ, рассматриваются неразрывно друг с
другом. Например, одну из ОСНОВ под названием "Законодательная база…" необходимо
рассматривать по всем НАПРАВЛЕНИЯМ, а именно:
Рис. 6. Этапы создания систем защиты информации Поскольку ЭТАПОВ семь, и по каждому надо осветить 20 уже известных вам вопросов
то в общей сложности для формирования представления о конкретной системе
защиты необходимо ответить на 140 простых вопросов. Совершенно очевидно что
по каждому вопросу (элементу) возникнет несколько десятков уточнений. В нашем случае общее количество элементов "матрицы" равно 140 Все это можно представить в виде своеобразного кубика Рубика, на гранях
которого образовалась мозаика взаимосвязанных составляющих элементов системы
защиты. Представление элементов матрицыЭлементы матрицы имеют соответствующую нумерацию. Следует обратить внимание
на обозначения каждого из элементов матрицы, где: На Рис.7 представлен пример, элемента матрицы 321, который формируется с учетом
следующих составляющих: Рис. 7. Пример нумерации элемента матрицы №321 Приведем пример содержания информации для элементов матрицы № 321, 322, 323,
324, которые объединяют следующие составляющие: Это содержание только четырех вопросов из ста сорока, но ответы на них уже
позволяют сформировать некое представление о состоянии дел по защите информации
в конкретной ИС. Свойства матрицыПредложенная модель представления СЗИ в виде трехмерной матрицы позволяет не
только жестко отслеживать взаимные связи между элементами защиты, но может
выступать в роли руководства по созданию СЗИ. Если вы, приступая к созданию
системы защиты, не знаете с чего начать, попробуйте ответить на предлагаемые
общие вопросы, начиная с любого из них. И когда вы пройдетесь по всем, то
поймете что уже есть, а чего не хватает для достижения поставленной цели. Ну а как оценить эффективность создаваемой или уже функционирующей СЗИ? 
Рисунок 8. Свойства матрицы информационной безопасности Программа оценки эффективности систем защиты информации "Оценка СЗИ"Программа "Оценка СЗИ" иллюстрирует работу модели СЗИ представленной в виде
трехмерной матрицы, описание которой приведено выше, она разработана с целью
демонстрации преимуществ системного подхода к созданию и оценке эффективности
систем защиты информации. Интерфейсы программы с некоторыми комментариями представлены на рисунках
9, 10, 11, 12. 
Рис. 9. Интерфейс ввода данных На рис. 10 можно посмотреть графическеое представление количественных и качественных оценок по каждому из элементов матрицы. Здесь наглядно показано как сравнивается заданный уровень безопасности с достигнутым. 
Рис. 10. Сравнение заданного и достигнутого уровеней безопасности. Далее с помощью интерфейса на рис 11. имеется возможность получить представление о ситеме защиты в целом. Ее эффектиность наглядно отражена графически, а также расчитана в виде обобщенных показателей уровня безопаности (количественного и качественного) 
Рис. 11. Графичекое представление оценки эффетивности СЗИ. Не стоит забывать, что требования к СЗИ имеют разную степень важности, которую необходимо учитывать при расчетах, используя соответствующие коэффициенты важности. Интерфес для ввода коэффициентов важности представлен на рис. 12. 
Рис. 12. Интерфес для ввода коэффициентов важности. Вместо заключения (Read me)…Хочется напомнить золотое правило: если после долгих попыток ничего не получается, ознакомьтесь, наконец, с инструкцией для пользователя! Прежде чем приступить к использованию программы "Оценка СЗИ", желательно разобраться с особенностями похода к рассмотрению вопросов информационной безопасности, предложенного автором. Здесь можно скачать файл инсталляции программы оценки эффективности систем защиты информации...Программу оценки эффективности систем защиты можно скачать здесь (zip-архив, 664КБ). Программа предназначена для свободного использования. Получить консультацию или обсудить предложенный подход можно в форуме на авторском сайте к.т.н. Домарева Валерия Валентиновича www.security.ukrnet.net. |
 | |||||||||
| |||||||||
|
CITForum © 1997–2025