Оценка относительного ущерба безопасности информационной системы предприятия на основе модифицированного метода сложения функций принадлежности

Актуальность работы. Внедрение новых информационных технологий в деятельность современных предприятий и организаций позволяют существенно расширить их потенциальные возможности. Это создает предпосылки для более эффективной работы. Однако при этом возникают новые проблемы, требующие своевременного решения. Во-первых, объединение разнородных информационных систем от разных производителей, с разными принципами защиты информации в единой корпоративной сети приводит к росту уязвимостей совокупной инфраструктуры. Уязвимости могут носить как явный, так и скрытый характер и не всегда могут быть нейтрализованы. Во-вторых, образование общего информационного пространства повышает доступность информационных ресурсов, что приводит к увеличению возможностей несанкционированного доступа к информации и к увеличению угроз, как со стороны внешних, так и со стороны внутренних нарушителей. В-третьих, внедрение информационных технологий сопровождается интеграционными процессами в самой инфраструктуре, что приводит к опасной концентрации информации. В результате этого в одном месте накапливается столько информации, что она полностью раскрывает технологии управления и ведения бизнеса, характерные для организации. Потеря или утечка этой информации может представлять серьезную угрозу для организации. Наконец, объединение систем с разными принципами обеспечения информационной безопасности в единой корпоративной сети делает проблему обеспечения информационной безопасности чрезвычайно трудной даже для квалифицированных специалистов. Это усугубляется тем, что проблема информационной безопасности требует выхода на организационно-управленческий уровень, что часто находится за пределами компетенции технических специалистов. В результате отмеченных тенденций многократно увеличивается уровень риска и ущерба информационной системы. Без принятия надлежащих мер это может представлять серьезную угрозу устойчивому развитию для любой организации. Противостоять этой негативной тенденции могут только своевременно принятые и адекватные меры, направленные на недопущение чрезмерного возрастания риска и ущерба.

Откликом на негативные тенденции можно считать появление стандартов серии ИСО 27 000 по разработке систем менеджмента информационной безопасности, в основу которых положены процедуры выявления и оценивания рисков. Следует отметить, что к настоящему времени известно множество методик и алгоритмов оценивания ущерба информационной системе предприятия, которые были успешно использованы для решения многих задач, возникающих при аудите и обследовании информационных систем.

Однако в системах менеджмента информационной безопасности к алгоритмам оценки рисков и ущерба информационной системе предъявляются намного более высокие требования.

Во-первых, эти алгоритмы должны работать в контуре управления. При этом монотонные изменения исходных данных должны приводить к монотонному (не скачкообразному) изменению функции ущерба, поэтому большинство алгоритмов, в которых функция ущерба представляется в виде таблицы зависимости дискретных значений ущерба, от дискретных значений исходных данных, оказываются непригодными.

Во-вторых, алгоритмы, используемые в контуре управления должны быть достаточно чувствительными. Для этого шкалы, используемые для оценки рисков и входных параметров должны быть достаточно представительными (быть многоуровневыми). Это необходимо для того, чтобы система менеджмента информационной безопасности адекватно реагировала на текущие изменения входных данных. Простые алгоритмы, использующие трех, пяти и даже восьми уровневые шкалы оказываются непригодными.

В-третьих, используемые алгоритмы должны быть устойчивыми по отношению к используемым моделям входных данных. Это связано с тем, что системы менеджмента информационной безопасности должны работать в условиях большой априорной неопределенности относительно исходных данных. При этом отклонения от исходной модели, для которой разработаны алгоритмы оценки ущербов, не должны вызывать нарушение работы в целом. По этой причине для синтеза алгоритмов оценки плохо подходят классические методы статистического анализа.

В силу указанных причин разработка универсальных методик и алгоритмов выявления и оценки степени информационных ущербов, которые могли бы быть встроены в контур управления, представляется чрезвычайно актуальной.

Степень разработанности проблемы. Проблемы анализа информационных рисков нашли свое отражение в работах Домарева В. В., Емельянникова М., Малюка A.A., Шуракова В. В., Астахова A.M., Петренко С. А., Березина A.C. и др.

Результаты исследований нечеткой логики для принятия решений нашли свое отражение в работах таких авторов, как Блюмин C.JI., Шуйкова И. А., Сараев П.В.

Основоположником подобных исследований является профессор информатики Калифорнийского Университета в Беркли Lotfi A. Zadeh, который ввел в оборот термин «fuzzy» (нечеткий). Основные исследования в области математического моделирования нечетких данных развиты в трудах Корченко А. Г., Рындюка В. А., Борисова А. Н., Федорова И. П., Емеличева В.А.

Соответствие темы диссертации требованиям паспорта специальностей ВАК (по техническим наукам). Диссертация соответствует специальности 05.13.18 — Математическое моделирование, численные методы и комплексы программ по пунктам: 1 — «Разработка новых математических методов моделирования объектов и явлений», пункту 4.

Реализация эффективных численных методов и алгоритмов в виде комплексов проблемно-ориентированных программ для проведения вычислительного эксперимента", и пункту 6 — «Разработка новых математических методов и алгоритмов проверки адекватности матемаических моделей на основе данных натурного эксперимента».

Объектом исследования является система менеджмента информационной безопасности предприятия.

Предметом исследования является процесс аудита информационной безопасности предприятия.

Целью настоящей диссертационной работы является повышение достоверности оценки относительного ущерба безопасности информационной системы на основе алгоритмов нечеткой логики, пригодных для реализации в системах менеджмента и аудита информационной безопасности.

Научная задача состоит в разработке методики нечеткого вывода относительного ущерба безопасности информационной системы предприятия с использованием экспертных оценок воздействия различных классов угроз в процессе аудита.

Для достижения поставленной цели общая научная задача разбита на ряд частных задач:

1. Выбрать, обосновать и интерпретировать классификацию угроз безопасности информационной системы.

2. Разработать метод моделирования воздействия отдельных угроз безопасности на информационную систему на основе экспертного опроса с использованием нечетких лингвистических термов типовых трендов поведения.

3. Разработать метод сложения функций принадлежности нечетких множеств воздействия отдельных угроз для оценки ущерба безопасности информационной системы от воздействия всех классов угроз.

4. Разработать метод оценивания ущерба безопасности информационной системы на основе многокритериального подхода.

5. Экспериментально проверить метод оценки ущерба безопасности информационной системы на основе экспертного опроса с использованием нечетких лингвистических термов типовых трендов поведения.

Методы исследований. Для решения поставленных задач использованы методы теории экспертных оценок, системного анализа, математического моделирования, нечетких множеств, теории вероятностей, многокритериальной оптимизации.

На защиту выносятся следующие основные положения:

1. Для моделирования угроз безопасности информационной системы необходимо выбрать классификацию информационных угроз по признаку «Способ распространения угрозы».

2. Типовые тренды поведения позволяют интерпретировать способы распространения информационных угроз.

3. Для принятия решения об относительном ущербе безопасности информационной системы, полученная функция принадлежности должна быть монотонной.

4. Метод сложения немонотонных функций с периодами возрастания и убывания для получения монотонной функции необходимо модифицировать в части сложения степеней принадлежности.

5. Пригодность нечеткого множества относительного ущерба на возможность получения качественной оценки следует исследовать с использованием многокритериального подхода.

6. Методика «Оценка относительного ущерба безопасности информационной системы» позволяет, с одной стороны, получить достоверные сведения о защищенности информационной системы при недостаточной или нечеткой информации о воздействующих на неё информационных угрозах, с другой стороны, определить ущерб безопасности информационной системы при отсутствии сведений о стоимости ресурсов в денежном эквиваленте.

Научная новизна полученных результатов диссертационной работы состоит в том, что впервые разработаны:

1. Впервые предложенный подход к классификации угроз безопасности информационной системе по признаку «Способ распространения угрозы» позволяет исследовать их воздействие в динамике, в то время как в существующих методиках рассматриваются статические постановки.

2. Новый способ оценивания воздействия на информационную систему отдельных классов угроз безопасности, базирующийся на экспертном опросе, использует в качестве исходных классы типовых трендов поведения.

3. Использование операций алгебраического сложения нечетких множеств, арифметического усреднения и взвешенного алгебраического сложения при выводе ущерба информационной системе является новым.

Практическая значимость. Научная новизна работы заключается в следующем:

1. Для моделирования угроз безопасности информационной системы разработана классификация информационных угроз по признаку «Способ распространения угрозы».

2. Разработан метод моделирования воздействия отдельных угроз безопасности на информационную систему на основе экспертного опроса с использованием нечетких лингвистических термов типовых трендов поведения.

3. Разработан модифицированный метод сложения функций принадлежности нечетких множеств воздействия отдельных угроз для оценки ущерба безопасности информационной системе от воздействия всех классов угроз.

4. Разработана методика оценки ущерба безопасности информационной системы на основе векторной целевой функции с критериями монотонности по возрастанию, сглаженности и началом функции принадлежности в нулевой точке, для верификации нечеткой оценки.

5. Создан комплекс проблемно-ориентированных программ «Оценка ущерба информационной системе предприятия», позволяющий на основе экспертного опроса типового поведения актуальных видов угроз производить расчеты итоговой оценки ущерба безопасности информационной системы предприятия с указанием уровня защищенности и достаточности имеющихся на предприятии средств защиты информации.

Разработанная методика реализована в комплексе проблемно-ориентированных программ, что позволяет адекватно оценивать защищенность информационной системы предприятия с учетом индивидуальных особенностей.

Достоверность полученных в диссертационной работе теоретических результатов и формулируемых на их основе выводов обеспечивается строгостью производимых математических выкладок. Обоснованность вытекает из использования системного подхода в разработке вопросов влияния на информационную безопасность предприятия существующих классов угроз и их способов распространения. Основные положения, выводы и рекомендации, полученные в результате исследования, аргументированы теоретическими разработками и анализом широкой базы эмпирического материала. Полученные результаты сопоставимы с известными методиками оценки риска и ущерба информационной системе предприятия. Справедливость выводов относительно эффективности предложенных методов подтверждена компьютерным моделированием.

Апробация и внедрение результатов исследования. Работа обсуждалась и была одобрена на заседании кафедр организации и технологии защиты информации и прикладной математики и информатики Ставропольского государственного университета. Результаты работы докладывались и обсуждались на научно-практических конференциях: Международная конференция «Приборостроение в экологии и безопасности человека 1ЕН8.

2004″ (Санкт-Петербург, 2004) — Третий ежегодный семинар руководителей подразделений безопасности ОАО «Северо-Западный Телеком» (Санкт-Петербург, 2006) — III Военная научная конференция Космических войск (Москва, 2007) — XX Международная научно-техническая конференция «Математические методы и информационные технологии в экономике, социологии и образовании» (Пенза, 2007) — I Международная научно-практическая конференция «Теория и практика в физико-математических науках» (Москва, 2011) — VIII, IX Международная научно-практическая конференция «Современные проблемы гуманитарных и естественных наук» (Москва, 2011,2012).

Отдельные положения диссертационного исследования используются в ООО «Арт-Интелл», а также в учебном процессе Ставропольского государственного университета при проведении занятий по курсам «Комплексная система защиты информации на предприятии» и «Математическое моделирование процессов защиты информации».

Публикации. Основные материалы диссертационной работы опубликованы в 9 печатных работах, из них: 3 — в научных журналах, рекомендованных ВАК, 1 — в свидетельстве о государственной регистрации программы для ЭВМ.

Структура и объем диссертации

Диссертационная работа изложена на 177 страницах основного текста, иллюстрируется 74 рисунками и 34 таблицами и состоит из введения, 3 разделов, заключения, списка используемых источников, содержащего 123 наименований и приложений.

3.4 Выводы по главе.

В главе описан разработанный комплекс проблемно-ориентированных программ «Оценка ущерба информационной системе предприятия». Отмечено, что программа является экспертной системой, в которой заложена база правил взаимосвязи адекватных для конкретной информационной системы угроз и уровня ущерба от их реализации. Процедура оценки уровня ущерба информационной системе состоит трех последовательных этапов: создание и заполнение базы «классов угроз" — обработка поступающей информации от экспертовидентификация ущерба и оценка его величины. Результатом работы программы является информация о наиболее проблемных областях информационной системы конкретного предприятияо значимости и величине воздействующих классов угроз.

ЗАКЛЮЧЕНИЕ

.

При разработке алгоритмов оценки риска и ущерба информационной безопасности предприятия, основанных на анализе угроз и уязвимостей информационной системы, необходимо произвести обоснованный выбор признака для классификации информационных угроз. Для моделирования относительного ущерба информационной безопасности предлагается использовать классификацию по признаку «Способ распространения угрозы», поскольку она ориентирована на составление плана информационной безопасности и связана с рассмотрением соответствующих механизмов защиты.

Способы распространения информационных угроз описываются экспертным путем и имеют вид нечеткого множества с носителями «частость появления угрозы» и функцией принадлежности «типовой тренд поведения». В диссертации рассматриваются 4 основных класса типовых трендов поведения: «постоянное возрастание с заданной интенсивностью» (линейный тренд), «замедляющееся возрастание с заданной интенсивностью» (логарифмический тренд), «ускоряющееся возрастание с заданной интенсивностью» (экспоненциальный тренд), «периодическое возрастание с заданной интенсивностью» (полиномиальный тренд). При выборе функции принадлежности необходимо определить класс типового тренда и задать интенсивность изменения показателя.

Для принятия решения функция принадлежности нечеткого множества относительного ущерба безопасности информационной системы должна быть монотонной сглаженной функцией. Для немонотонной функции принадлежности даже плавное изменение порога принятия решения может привести к резкому изменению качественной оценки, аналогичная ситуация может возникнуть для не сглаженных функций принадлежности.

Известно, что универсального метода сложения нечетких множеств не существует. Выбор того или иного метода суммирования зависит, во-первых, от свойства функции принадлежности (непрерывная, дискретная), во-вторых, от содержательного смысла нечеткого множества. Относительный ущерб информационной безопасности предприятия представляется дискретным нечетким множеством, в котором абсцисса (носители) — частота появления актуальных угроз, ордината (функция принадлежности) — степень соответствия нанесенного этими угрозами ущерба признаку «Критический ущерб». Данный факт определяет невозможность применения таких методов сложения функций принадлежности, которые: 1) базируются на теоретико-множественном объединении- 2) оперируют носителями. Модифицированный метод сложения функций принадлежности нечетких множеств позволяет выполнять арифметическое сложение степеней принадлежности, учитывает при сложении компетентность экспертов и выдает на выходе монотонную сглаженную функцию.

Для оценки пригодности и верификации нечеткого множества относительного ущерба рекомендуется использовать векторную целевую функцию с тремя критериями пригодности: монотонность по возрастанию, сглаженность, соответствие нулевой частости появления угроз безопасности нулевой степени принадлежности к признаку «Критический ущерб».

Методика «Оценка относительного ущерба безопасности информационной системы» позволяет, с одной стороны, получить достоверные сведения о защищенности информационной системы при недостаточной или нечеткой информации о воздействующих на неё информационных угрозах, с другой стороны, определить ущерб безопасности информационной системы при отсутствии сведений о стоимости ресурсов в денежном эквиваленте.