Метод и модель обоснования профиля защиты в банковских информационных системах

Актуальность темы

.

В последние годы в банковской деятельности обострилась проблема обеспечения безопасности данных. Она включает в себя несколько аспектов. Во-первых, это гибкая, многоуровневая и надежная регламентация полномочий пользователей. Ценность банковской информации предъявляет особые требования к защите данных от несанкционированного доступа, в том числе к контролю управления процессами, изменяющими состояние данных. Во-вторых, наличие средств для поддержания целостности и непротиворечивости данных. Подобные средства подразумевают возможность осуществления контроля вводимых данных, поддержки и контроля связей между данными, а также ввода и модификации данных в режиме транзакций — набор операций, обеспечивающих поддержание согласованности данных. В-третьих, присутствие в системе многофункциональных процедур архивации, восстановления и мониторинга данных при программных и аппаратных сбоях.

Обеспечение безопасности информационных банковских систем представляет собой комплексную проблему, которая решается в направлениях совершенствования правового регулирования применения информационных технологий, совершенствования методов и средств их разработки, развития системы сертификации, обеспечения соответствующих организационно-технических условий эксплуатации. Ключевым аспектом решения проблемы безопасности является выработка системы требований, критериев и показателей для оценки уровня безопасности информационных технологий.

ГОСТ Р ИСО/МЭК 15 408 определяет критерии, за которыми исторически закрепилось название «Общие критерии» (ОК). ОК предназначены для использования в качестве основы при оценке характеристик безопасности продуктов и систем информационных технологий. Устанавливая общую базу критериев, ОК делают результаты оценки безопасности значимыми для более широкой аудитории.

Совокупность требований безопасности, взятых из ОК или сформулированных в явном виде представляются в виде профиля защиты, оценка и обоснование которого выполняется согласно критериям оценки, содержащимся в части 3 ОК. Целью такой оценки является продемонстрировать, что профиль полон, непротиворечив, технически правилен и пригоден для использования при изложении требований к объекту оценки, предполагаемому для оценки.

Обоснование же включает в себя следующее. а) Логическое обоснование целей безопасности, демонстрирующее, что изложенные цели безопасности сопоставлены со всеми аспектами среды безопасности. б) Логическое обоснование требований безопасности, демонстрирующее, что совокупность требований безопасности пригодна для достижения целей безопасности и сопоставима с ними.

Тем не менее отсутствие методологии экономического обоснования и оценки профиля защиты в настоящее время приводит к отсутствию к стремлению внедрения ОК.

Разработка модели обоснования, опирающаяся на экономические показатели деятельности будет стимулировать внедрение ОК в различные отраслевые сферы, в частности в сфере банковских информационных технологий. Это позволит значительно повысить уровень безопасности банковских информационных систем. Увеличит доверие к ним как со стороны пользователей (банковских организаций), так и стороны конечных потребителей банковского продукта.

Цель диссертационной работы.

Целью диссертационной работы является исследование и разработка модели и метода обоснования профиля защиты в соответствии с ГОСТ Р ИСО/МЭК 15 408, для автоматизированных систем организаций банковской системы РФ.

Объект и предмет исследования.

Объектами исследования в данной работе являются профили защиты для автоматизированных банковских в соответствии с ГОСТ Р ИСО/МЭК 15 408.

Предметом исследований выступают модель и методы обоснования профиля защиты для автоматизированных систем организаций банковской системы РФ, при которых исходными данными являются экономические показатели банковской деятельности.

Методы исследования.

При решении поставленных задач использованы: статистические методы, методы нечеткой логики, графические методы (графическое отображение больших объемов статистических данных), что позволило выявить определенные закономерности.

Основные научные положения, выносимые на защиту.

Модель взаимодействия субъектов банковской системы РФ, на основе конкуренции.

Модель перераспределения освоенного ресурса между членами банковской популяции.

Метод подтверждения соответствия профиля защиты отраслевым целям и среде безопасности.

Основные результаты работы.

Построена модель для оценки профиля защиты автоматизированных систем на основе экономических показателях деятельности организаций входящих в банковскую систему РФ.

Разработаны практические методы о выявлении соответствии функциональных требований и требований доверия среде и целям безопасности в профилях защиты автоматизированных систем банковской отрасли.

Предложены способы использования апробированных профилей защиты в последующих реализациях информационных систем банковской сферы.

Научная новизна.

Научная новизна заключается:

• Предложена новая модель взаимодействия субъектов банковской системы РФ, на основе конкуренции. Эта модель позволяет учитывать взаимодействия членов банковской системы, как субъектов банковской популяции.

• Предложена новая модель перераспределения освоенного ресурса между членами банковской популяции. Которая позволяет оценивать эффективность жизнедеятельности на основе динамики изменения экономических показателей.

• Предложен новый метод подтверждения соответствия профиля защиты отраслевым целям и среде безопасности, который состоит в использовании реальных экономических параметров жизнедеятельности систем при оценке профилей защиты.

Практическая ценность.

Практическая ценность данной работы заключается в сочетании экономических и технических показателях оценке автоматизированных систем, что позволит более тесную интеграцию различных отделов организаций банковской системы РФ. Таким образом, управленческому аппарату будут донесены необходимости действий предпринимаемых в сфере информационной безопасности организации на понятным ему экономическом уровне, а не только в виде технических подробностей. Управленческий аппарат функционирует на основе аналитических данных по экономическим показателям деятельности и не всегда способен к восприятию сугубо технических подробностей. В свою очередь технические службы не в состоянии соизмерять предпринимаемые технические меры безопасности с финансовыми результатами, что ведет к взаимному недопониманию стратегии организации в сфере информационной безопасности.

Апробация работы.

Основные положения и результаты диссертационной работы докладывались и обсуждались на семинарах кафедры БИТ и конференциях:

• на IV межвузовской конференции молодых ученых (Санкт-Петербург, апрель 2008);

• на XI научно-практической конференции «Теория и технология программирования и защиты информации» (Санкт-Петербург, май 2007).

• на научно-технической конференции «День антивирусной безопасности» (Санкт-Петербург, октябрь 2007);

• на XXXVII научной и учебно-методической конференции СПбГУ ИТМО (Санкт-Петербург, февраль 2008);

• на V межвузовской конференции молодых ученых (Санкт-Петербург, апрель 2008);

• на XII научно-практической конференции «Теория и технология программирования и защиты информации» (Санкт-Петербург, май 2008);

• на XI Санкт-Петербургской межрегиональной конференции «Региональная информатика 2008 (РИ-2008)» в рамках круглого стола «15 лет российскому закону «о государственной тайне» (Санкт-Петербург, октябрь 2008).

Внедрение результатов.

Результаты работы реализованы в учебном процессе кафедры БИТ СПбГУ ИТМО по специальности 75 300 «Экономика защиты информации» I.

Публикации по теме диссертации.

Основные положения диссертации отражены в 4-х сборниках научных трудов конференций и журналах. В том числе рецензируемых Высшей аттестационной комиссией Министерства образования и науки Российской Федерации.

ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ автоматизированная банковская система: автоматизированная система, реализующая банковский технологический процесс или его часть. активы организации банковской системы Российской Федерации: все, что имеет ценность для организации банковской системы Российской Федерации и находится в ее распоряжении.

Примечание.

К активам организации БС РФ могут относиться: банковские ресурсы (финансовые, людские, вычислительные, телекоммуникационные и пр.) — информационные активы, в т. ч. различные виды банковской информации (платежной, финансово-аналитической, служебной, управляющей и пр.) на следующих фазах их жизненного цикла: генерация (создание), обработка, хранение, передача, уничтожениебанковские процессы (банковские платежные технологические процессы, банковские информационные технологические процессы, процессы жизненного цикла автоматизированных банковских систем и др.) — банковские продукты и услуги, предоставляемые клиентам. атрибут безопасности: Информация, связанная субъектами, пользователями и/или объектами, которая используется для осуществления ПБО. аудит информационной безопасности организации банковской системы Российской Федерации: периодический, независимый и документированный процесс получения свидетельств аудита и объективной их оценки с целью установления степени выполнения в организациях БС РФ установленных требований по обеспечению информационной безопасности. <

Примечания.

Внутренние аудиты («аудиты первой стороной») проводятся самой организацией или от ее имени для анализа менеджмента или других внутренних целей и могут служить основанием для самодеклараций организации о соответствии требованиям по ИБ.

Внешние аудиты включают «аудиты второй стороной» и «аудиты третьей стороной». Аудиты второй стороной проводятся сторонами, заинтересованными в деятельности организации, например, потребителями или другими лицами от их имени. Аудиты третьей стороной проводятся внешними независимыми организациями.

Независимость при аудите предполагает полную свободу аудитора (самостоятельность) в отборе и анализе свидетельства аудита (изложение фактов или другой информации, связанной с критериями аудита) в отношении объекта аудита. аутентификационные данные: Информация, используемая для верификации предъявленного идентификатора пользователя. банковская система Российской Федерации: Банк России и кредитные организации, а также филиалы и представительства иностранных банков [6]. банковский технологический процесс: технологический процесс, содержащий операции по изменению и (или) определению состояния банковской информации, используемой при функционировании или необходимой для реализации банковских услуг.

Примечания.

Операции над банковской информацией могут выполняться вручную или быть автоматизированными, например, с помощью комплексов средств автоматизации автоматизированных банковских систем. Операции над банковской информацией требуют указания ролей их участников (исполнителей и лиц, принимающих решения или имеющих полномочия по изменению технологических процессов, в том числе персонала автоматизированных банковских систем).

В зависимости от вида деятельности выделяют: банковский информационный технологический процесс, банковский платежный технологический процесс и др. внешний объект ИТ: Любые продукт или система ИТ доверенные или нет, находящиеся вне ОО и взаимодействующие с ним. внутренний канал связи: Канал связи между разделенными частями ОО. данные ФБО: Данные, созданные ФБО или для ФБО, которые могут повлиять на выполнение ФБО. данные пользователя: Данные, созданные пользователем и для пользователя, которые не влияют на выполнение ФБО. доверие: Основание для уверенности в том, что сущность отвечает своим целям безопасности. зависимость: Соотношение между требованиями, при котором требование, от которого зависят другие требования, должно быть, как правило, удовлетворено, чтобы и другие требования могли отвечать своим целям. задание по безопасности: Совокупность требований безопасности и спецификаций, предназначенная для использования в качестве основы для оценки конкретного ОО. идентификатор: Представление уполномоченного пользователя (например, строка символов), однозначно его идентифицирующее. Таким представлением может быть либо полное или сокращенное имя этого пользователя, либо его псевдоним. интерфейс функций безопасности ОО: Совокупность интерфейсов как интерактивных (человеко-машинные интерфейсы), так и программных (интерфейсы прикладных программ), с использованием которых осуществляется доступ к ресурсам ОО при посредничестве ФБО или получение от ФБО какой-либо информации. итерация: Более чем однократное использование компонента при различном выполнении операций. информационная безопасность организации банковской системы Российской Федерации: состояние защищенности интересов (целей) организации банковской системы Российской Федерации в условиях угроз в информационной сфере.

Примечания.

Защищенность достигается обеспечением совокупности свойств информационной безопасности — конфиденциальностью, целостностью, доступностью информационных активов и инфраструктуры. Приоритетность свойств информационной безопасности определяется значимостью информационных активов для интересов (целей) организации.

Информационная сфера представляет собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение, хранение и использование информации, а также системы регулирования возникающих при этом отношений. инцидент информационной безопасности организации банковской системы Российской Федерации: событие, вызывающее действительное, предпринимаемое или вероятное нарушение информационной безопасности организации банковской системы Российской Федерации.

Примечание.

Нарушение может вызываться либо ошибкой людей, либо неправильным функционированием технических средств, либо природными факторами (например, пожар или наводнение), либо преднамеренными злоумышленными действиями, приводящими к нарушению конфиденциальности, целостности, доступности, учетности или неотказуемости. класс: Группа семейств, объединенных общим назначением, компонент: Наименьшая выбираемая совокупность элементов, которая может быть включена в ПЗ, ЗБ или пакет. механизм проверки правомочности обращений: Реализация концепции монитора обращений, обладающая следующими свойствами:

— защищенностью от проникновения;

— постоянной готовностью;

— простотой, достаточной для проведения.

— исчерпывающего анализа и тестирования. модель политики безопасности ОО: Структурированное представление политики безопасности, которая должна быть осуществлена ОО. мониторинг информационной безопасности организации банковской системы Российской Федерации (мониторинг ИБ): постоянное наблюдение за событиями мониторинга ИБ, сбор, анализ и обобщение результатов наблюдения. монитор обращений: Концепция абстрактной машины, осуществляющей политики управления доступом ОО. неформальный: Выраженный на естественном языке, область действия ФБО: Совокупность возможных взаимодействий с ОО или в его пределах, которые подчинены правилам ПБО. объект оценки: Подлежащие оценке продукт ИТ или система с руководствами администратора и пользователя. осознание информационной безопасности: понимание организацией необходимости самостоятельно на основе принятых в ней ценностей и накопленных знаний формировать и учитывать в рамках основной деятельности (бизнеса) прогноз результатов от деятельности по обеспечению информационной безопасности, а также поддерживать эту деятельность адекватно прогнозу. Примечание.

Осознание информационной безопасности является внутренним побудительным мотивом организации инициировать и поддерживать деятельность по менеджменту информационной безопасности, в отличие от побуждения или принуждения, когда решение об инициировании и поддержке деятельности по менеджменту информационной безопасности определяется соответственно либо возникшими проблемами организации, такими, как инцидент информационной безопасности, либо внешними факторами, например, требованиями законов. оценка: Оценка ПЗ, ЗБ или 00 по определенным критериям, оценочный уровень доверия: Пакет компонентов доверия из части 3 ОК, представляющий некоторое assurance положение на предопределенной в ОК шкале доверия. пакет: Предназначенная для многократного использования совокупность функциональных компонентов или компонентов доверия (например, ОУД), объединенных для удовлетворения совокупности определенных целей безопасности. политика безопасности организации: Одно или несколько правил, процедур, практических приемов или руководящих принципов в области безопасности, которыми руководствуется организация в своей деятельности. политика безопасности ОО: Совокупность правил, регулирующих управление активами, их защиту и распределение в пределах ОО. политика информационной безопасности организации банковской системы Российской Федерации: одно или несколько правил, процедур, практических приемов и руководящих принципов в области информационной безопасности, которыми руководствуется организация банковской системы Российской Федерации в своей деятельности. политика функции безопасности: Политика безопасности, осуществляемая ФБ. пользователь: Любая сущность (человек-пользователь или внешний объект ИТ) вне 00, которая взаимодействует с ОО. потенциал нападения: Прогнозируемый потенциал для успешного (в случае реализации) нападения, выраженный в показателях компетентности, ресурсов и мотивации нарушителя. продукт: Совокупность программных, программно-аппаратных и/или аппаратных средств ИТ, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы. профиль защиты: Независимая от реализации совокупность требований безопасности для некоторой категории ОО, отвечающая специфическим запросам потребителя. расширение: Добавление в ЗБ или ПЗ функциональных требований, не содержащихся в части 2 ОК, и/или требований доверия, не содержащихся в части 3 ОК. ресурс ОО: Все, что может использоваться или потребоваться в ОО. риск: неопределенность, предполагающая возможность потерь (ущерба). риск нарушения информационной безопасности организации банковской системы Российской Федерации: неопределенность, предполагающая возможность ущерба состояния защищенности интересов целей) организации банковской системы Российской Федерации в условиях угроз в информационной сфере. роль: Заранее определенная совокупность правил, устанавливающих допустимое взаимодействие между пользователем и ОО. роль в организации банковской системы Российской Федерации: заранее определенная совокупность правил, устанавливающих допустимое взаимодействие между субъектом и объектом в организации БС РФ. Примечания.

К субъектам относятся лица из числа руководителей организации БС РФ, ее персонала, клиентов или инициируемые от их имени процессы по выполнению действий над объектами.

Объектами могут быть аппаратное средство, программное средство, программно-аппаратное средство, информационный ресурс, услуга, процесс, система, над которыми выполняются действия. семейство: Группа компонентов, которые объединены одинаковыми целями безопасности, но могут отличаться акцентами или строгостью. система: Специфическое воплощение ИТ с конкретным назначением и условиями эксплуатации. система оценки: Административно-правовая структура, в рамках которой в определенном сообществе органы оценки применяют ОК. стойкость функции безопасности: Характеристика функции безопасности ОО, выражающая минимальные усилия, предположительно необходимые для нарушения ее ожидаемого безопасного поведения при прямой атаке на лежащие в ее основе механизмы безопасности. уполномоченный пользователь: Пользователь, которому в соответствии с ПВО разрешено выполнять какую-либо операцию. усиление: Добавление одного или нескольких компонентов доверия из части 3 ОК в ОУД или пакет требований доверия. функции безопасности ОО: Совокупность всех функций безопасности ОО, направленных на осуществление ПВО. функция безопасности: Функциональные возможности части или частей ОО, обеспечивающие выполнение подмножества взаимосвязанных правил ПБО. человек-пользователь: Любое лицо, взаимодействующее с ОО. цель безопасности: Изложенное намерение противостоять установленным угрозам и/или удовлетворять установленной политике безопасности организации и предположениям. элемент: Неделимое требование безопасности.

Результаты работы реализованы в учебном процессе в СанктПетербургском государственном университете информационных технологий, механики и оптики на кафедре Безопасные информационные технологии. Апробация работы выявила ряд положений которые необходимо принимать во внимание при использовании данного метода. В частности показатели защищенности ряда субъектов оказались ниже чем предполагалось в теоретическом обосновании. И вызвано, как показала апробация, географической рассредоточенностью некоторых субъектов.

Как вариант избежание этого неблагоприятного фактора, является представление одного субъекта в виде нескольких региональных.

Практическая ценность данной работы, заключающаяся в сочетании экономических и технических показателях оценке автоматизированных систем, призвана привезти к повышению доверия к БС РФ, повышению стабильности функционирования организаций БС РФ и на этой основе — стабильности функционирования БС РФ в целом.

ЗАКЛЮЧЕНИЕ

.

В процессе исследовательской деятельности по разработка модели и метода обоснования профиля защиты в соответствии с ГОСТ Р ИСО/МЭК 15 408, для автоматизированных систем организаций банковской системы РФ. Были достигнуты следующие основные результаты:

Построена модель для оценки профиля защиты автоматизированных систем на основе экономических показателях деятельности организаций входящих в банковскую систему РФ.

— Разработаны практические методы о выявлении соответствии функциональных требований и требований доверия среде и целям безопасности в профилях защиты автоматизированных систем банковской отрасли.

— Предложены способы использования апробированных профилей защиты в последующих реализациях информационных систем банковской сферы.

— Предложены направления дальнейшего развития и данной модели с целью получения более точных оценочных результатов в случаях когда ожидаемые результаты (по отдельным субъектам) сильно отличаются от получившихся показателях. Что обусловлено специфичностью отдельных субъектов системы.