Модель и метод анализа эффективности систем защиты информации сайтов органов власти Российской Федерации

Актуальность выбора темы диссертационного исследования обусловлена необходимостью обеспечить сохранность информационных ресурсов, а также нарастанием угроз национальной безопасности РФ в информационной сфере за счёт получения несанкционированного доступа к информационным ресурсам й нарушения нормального функционирования информационных и телекоммуникационных систем. В связи с этим анализ эффективности систем защиты информации (СЗИ) сайтов органов власти становится обязательным этапом созда'-ния любой СЗИ сайтов.

Неотъемлемой частью разработки СЗИ сайтов органов власти является совершенствование нормативных правовых и нормативно-методических документов в области защиты информации, а также проведение экспертизы и контроля качества защиты открытой общедоступной информации, размещаемой на сайтах органов власти.

На региональном уровне, как показывает практика, органы власти, размещая открытую общедоступную информацию на сайтах в сети Интернет, в большинстве случаев не разрабатывают модели угроз и поведения «нарушителя», ввиду отсутствия методик и программных средств, позволяющих спрогнозировать их действия. Отсутствие должного уровня научной разработанности таких проблем препятствует широкому внедрению уже имеющихся исследований в практику. Учёт этого обстоятельства послужил основанием к выбору темы исследования. При этом, актуальность решения этой проблемы значительно повышается на уровне органов власти регионов.

Целью исследования является исследование и разработка методов, моделей и средств выявления, идентификации и классификации угроз нарушения СЗИ сайтов органов власти, расположенных в пределах Северо-Западного федерального округа (СЗФО), а также моделей и методов анализа эффективности их СЗИ.

В соответствии с целью в работе поставлены и решены следующие задачи: на примере зарубежных стран: проанализирован аналогичный опыт создания.

СЗИпроведена оценка сайтов правительств федерального уровня и уровня t штатов Америки на предмет представления онлайновой информации и услуг, а также обобщены результаты исследования характеристик их безопасностивыявлены различия между правительствами’обоих уровней на основе показателей, характеризующих степень того, как сайты правительств соответствуют потребностям граждан в доступе к необходимой им информацииI проведён анализ различий использования информационных технологий (ИТ) в разными ветвями* власти федерального правительства СШАоценена роль таких элементов в области развития национальных экономик, как глобализация и прозрачность, для обеспечения эффективной ИБпроанализирована зависимость между глобализацией, состоянием демократических свобод и уровнем затенённости деятельности правительствпроведена качественная’и количественная оценка взаимосвязи между уровнем распространения ИТ и величиной непрозрачности экономикипроанализирован опыт функционирования СЗИ органов власти СЗФОразработаны подходы к организации защиты информации (ЗИ), размещаемой на сайтах органов властиопределена роль ЗИ в деятельности органов властиуточнены вопросы финансирования мероприятий, направленных на ЗИ огра ниченного доступа в органах власти-субъектов РФразработаны инструментально-моделирующие комплексы (ИМК) «Навигатор сканирования» и «Сканирование угроз" — проведён анализ нормативных правовых и нормативно-методических документов в области защиты информации сайтов органов власти.

Решениеобозначенных задач имеет значение для научных и технических проблем специальности 05.13.19: Для народного хозяйства важность полученных результатов состоит в том, что разработаны новые и усовершенствованы имеющиеся методы и средства защиты информации.

Предметом настоящей диссертации является анализ эффективности СЗИ сайтов органов власти, а также разработка методов, моделей, программных к аппаратно-программных средств анализа эффективности СЗИ при ее обработке, передаче и хранении с использованием ИТ.

Особенность предмета исследования состоит в необходимости его изучения на примере создания СЗИ сайтов органов власти, что обуславливает как концептуально-теоретический подход к исследованию, так и набор методов исследования и направлений реализации его результатов, а также обусловлена межотраслевым характером информационных отношений.

Объектом исследования выступают методы и механизмы защиты информации, размещаемой на сайтах органов власти.

Область исследования. Содержание диссертации соответствует области исследования 05.13.19 «Методы и системы защиты информации, информационная безопасность» паспорта номенклатуры специальностей научных работников (техни-ческие науки).

Объектом наблюдения являются сайты органов власти СЗФО.

Теоретическая и методологическая основа исследования.

Теоретическая основа включает методологические положения и выводы, содержащиеся в трудах отечественных и зарубежных учёных, политических и государственных деятелей, материалы научных дискуссий в области обеспечения национальной и ИБ, а таюке положения философской, политологической наук о политике как социальном явлении, связанные с ИБ.

Исследование проведено на стыке ряда научных направлений, что. потребовало использование источников в области технических и юридических наук. Основу исследования на общетеоретическом уровне составили труды учёных В. П. Шерстюка, Р. Ф. Идрисова, Л. Г. Осовецкого, Ю.С. УфимцеваМ.В. Щедрина, В. И. Ярочкина в сфере информационных отношений таких ученых, как В. Г. Кулаков, В. В. Кульба, Н. А. Кузнецов, И. Л. Бачило, М. М. Рассолов, В. Н. Лопатин, М. В. Мирошниченко, А. А. Фатьянов.

Методологическую основу исследования составляют общенаучные и специальные методы познания. Их применение в сочетании с разработками философских, социологических и юридических проблем позволило установить первостепенные направления конкретной практической деятельности специалистов законодательных органов при реализации задач обеспечения ИБ. Для сбора и изучения эмпирического материала применялись следующие основные методы: методы познания, различные сочетания эмпирических (наблюдение, эксперимент и т. д.), логических методов, а также моделирование, математические и кибернетические методы. Из специальных методов широко применялись ме-тодьг графического отображения данных и экспертных оценок.

Информационная основа исследования. Существенную теоретическую и методологическую роль в расширении представления диссертанта при решении научных задач сыграли статистические исследования, материалы периодической печати, в том числе размещенные в сети Интернет, отражающие влияние информации, новых ИТ на состояние и процесс обеспечения национальной и.

ИБ РФ и её субъектов, материалы международных и отечественных выставок и конференций в области ИТ и средств её защиты, а также практический опыт работы автора в Управлении ФСТЭК России по СЗФО.

Нормативная правовая база исследования сформирована на основе использования официальной правовой информации.

Научная новизна диссертационного исследования состоит в следующем: проведено новое исследование анализа эффективности СЗИ сайтов органов власти СЗФО, результаты которого привели к выводу о несоответствии применяемых методов ЗИ необходимой эффективности в сравнении с зарубежными аналогами и аналогами иных областей применениявыявлены причины несоответствия1 современным требованиям применяемых методов ЗИ сайтов правительственных организацийвнесены коррективы в традиционно используемые понятия, относящиеся к предметной области «информационная безопасность», «безопасность информации», «защита информации" — разработана методика определения угроз, отличительной особенностью которой является совершенствование эффективных условий в структуре СЗИ сайтов органов власти. Главная цель методики состоит в создании методологической основы для реализации основных принципов государственной политики в области обеспечения ИБсоздана модель угроз, направленная на обеспечение ЗИ, размещаемых органами власти в сети Интернет, отличающаяся введением механизма саморазви-4 тия, суть которого в интеграции в ней таких блоков как источники угроз, определение целей угроз, способы реализации возможных угроз, оценка возможного ущерба от реализации угрозпредложены научно обоснованные рекомендации, которые по сравнению с существующими позволяют повысить эффективность традиционных и вновь разрабатываемых СЗИ сайтов органов властипроведена оценка более 1600 сайтов правительств федерального уровня и уровня штатов Америки на предмет качества представления онлайновой информации и услуг, а также обобщены результаты исследования характеристик-безопасности, показавшие наличие нерешенных проблем в области обеспечения секретности, безопасности, соблюдения и развития демократических принципов и развития интерактивностиоценена роль таких важнейших элементов в области развития национальных экономик, как глобализация и прозрачность, для обеспечения ИБ. Оценка позволила придти к выводу о том, что тенденция роста влияния технологического фактора, информационных и коммуникационных технологии, стали доминирующим двигателем процесса глобализациипроведена качественная и количественная оценка взаимосвязи между уровнем распространения ИТ и величиной непрозрачности экономики.

Объективность исследования достигается использованием автоматизированных методов проведения исследования с использованием инструментальных средств, снижающих вероятность случайной ошибки. Точность и достоверность полученных результатов оценивается (по возможности) применением аппарата математической статистики и поддерживается инструментальными средствами.

Значимость полученных результатов для теории заключается в развитии теории и методологии изучения проблем ЗИ органов власти на региональном уровне.

Практическая значимость исследования состоит в создании модели и метода анализа эффективности СЗИ сайтов органов власти, а также механизма совершенствования обозначенных систем на примере СЗФО. Ряд положений могут быть включены в обоснование предложений по совершенствованию научно-технических методов эффективной защиты и создания СЗИ, российского законодательства в сфере информационных отношений и повышению его эффективностив развитие научных представлений и понятий в области цикла общих профессиональных дисциплин специальности 75 300 «Организация и технология защиты информации», на курсах повышения квалификации, подготовки и переподготовки, кадров по ЗИпри проведении дальнейших научных исследований по данной проблематике.

Апробация результатов исследования.

Диссертация выполнена и обсуждена на заседании кафедры «БИТ» ГОУ ВПО «СПбГУ ИТМО». Теоретические положения и выводы использовались диссертантом в учебном процессе при изложении лекционного материала и проведении практических занятий в ГОУ ВПО «СПбГУ ИТМО», на курсах повышения квалификации ФГУП «ЗащитаИнфоТранс», НОУ ДПО «СевероЗападный центр комплексной защиты информации» и НОУ ДПО «Центр предпринимательских рисков». Авторские материалы научно-технического отчета «Исследование анализа защищённости официальных сайтов органов власти, находящихся в пределах СЗФО», подготовленные на кафедре «БИТ» в соответствии с договором между Управлением ФСТЭК России по СЗФО и ГОУ ВПО «СПбГУ ИТМО» «О сотрудничестве в научных исследованиях, подготовке, повышении квалификации, стажировке и профессиональной переподготовке специалистов в области обеспечения безопасности информации в системах информационной телекоммуникационной' инфраструктуры» использованы для подготовки Межведомственного совета по защите информации при полномочном представителе Президента РФ в СЗФО, а также в ходе подготовки и проведения, мероприятий контроля? в органах властии организациях СЗФО (исх. № 598 от 08.05.2007).

Результаты исследования также использовались в рамках совместного проекта ГОУ ВПО «СПбГУ ИТМО» и Управления ФСТЭК России по СЗФО в работе по идентификации ключевых систем информационной инфраструктуры, региона, в части разработки и совершенствования методов анализа защищённости сайтов органов власти РФ, а. также были применены в работе ООО? «ЩИТ-XXI» по анализу защищенности сайтов органов? власти и банковской сферы СЗФО:

Основные положения и результаты диссертационногоисследования прошли апробацию на конференциях, проведённых ГОУ ВПО «СПбГУ ИТМО»: II ' ' f '¦•¦•. ' 'г межвузовская конференция молодых ученых, 28−31 марта 2005 г., XXXIV, научнаяи учебно-методическая конференция, 2−4 февраля" 2005: г., III межвузовская конференция молодых ученых, 10−13 апреля 2006 г. .

Результаты работы реализованы, что подтверждается: научно-техническим отчетом «О состоянии защищённости официальных сайтов органов власти и организаций, находящихся в пределах СЗФО, российского сегмента Интернет по основным направлениям и видам деятельности», кафедры. «БИТ» ГОУ ВПО «СПбГУ ИТМО» по запросу Управления ФСТЭК России по.

СЗФО (исх. № 101 от 30.01.2007) — актами о внедрении: ФСТЭК РоссииУправ1 ления ФСТЭК России по СЗФО, Комитета по информатизации и связи администрации Санкт-Петербурга,"Агентства по информатизации. и связи правительства Камчатского края, ГОУ ВПО: «СПбГУ ИТМО», Санкт-Петербургского монетного двора филиала ФГУП «Госзнак», НОУ ДПО «СЗЦКЗИ», ЗАО «Эврика».

Основные положения, выносимые на защиту: модель угроз СЗИ сайтов органов властиметодика определения угроз СЗИ сайтов органов властирекомендации, повышающие эффективность традиционных и вновь разрабатываемых СЗИ сайтов органов властирезультаты анализа сайтов правительств федерального уровня и уровня штатов Америки на предмет представления онлайновой информации и услуг, различия между правительствами обоих уровней на основе показателей, характеризующих степень соответствия потребностям граждан в доступе к необходимой им информацииобобщённые результаты исследования характеристик безопасности сайтов правительств федерального уровня и уровня штатов Америкирезультаты оценки роли элементов (глобализация и прозрачность) в области развития национальных экономик для обеспечения эффективной ИБ.

Публикации. Результаты диссертационного исследования нашли своё отражение в 1 НИР, 7 статьях (общим объемом 3 п.л.), 5 из которых опубликованы в рецензируемых ВАК изданиях.

Структура и объем диссертации

Работа состоит из введения, пяти глав, заключения, списка используемых источников, приложения на 137 страницах машинописного текста, имеет 10 рисунков, 20 таблиц.

Список используемых источников

содержит 82 наименования.

Основные результаты и выводы, полученные в диссертации состоят в следующем: разработана методика определения угроз, отличительной особенностью которой является совершенствование эффективных условий в структуре СЗИ сайтов органов власти. Главная цель методики состоит в создании методологической основы для реализации основных принципов государственной политики в области обеспечения ИБсоздана модель угроз СЗИ сайтов органов власти, отличающаяся введением механизма саморазвития, суть которого в интеграции в ней таких блоков как источники угроз, определение целей угроз, способы реализации возможных угроз, оценка возможного ущерба от реализации угрозысформулированы причины несоответствия применяемых методов защиты информации необходимой эффективности в сравнении с зарубежными аналогами и аналогами иных областей применениявыявлены причины этого несоответствияпредложены научно обоснованные рекомендации, которые по сравнению с существующими, позволяют повысить эффективность традиционных и вновь разрабатываемых СЗИ сайтов органов властиразработаны инструментальные средства анализа эффективности СЗИ сайтов органов власти (ИМК «Навигатор сканирования» и ИМК «Сканирование угроз») — проведена оценка более 1600 сайтов правительств федерального уровня и уровня штатов Америки, выявлены различия между правительствами обоих уровней на основе показателей, характеризующих степень того, как сайты правительств соответствуют потребностям граждан в доступе к необходимой им информации. Оценка показала, что разные штаты Америки достаточно сильно различаются по общим характеристикам электронизации деятельности своих правительствобобщены результаты исследования характеристик безопасности сайтов правительств федерального уровня и уровня штатов Америки, показавшие, что значительное продвижение в области информационного обеспечения и предоставления услуг происходило на фоне нерешенных проблем в области обеспечения секретности, безопасности, соблюдения и развития демократических принципов и развития интерактивиостипроведён анализ различий использования ИТ в разных ветвях власти федерального правительства США, который выявил разную степень предоставления тех или иных возможностей ИТ между тремя ветвями власти — исполнительной, законодательной и судебнойоценена роль таких важнейших элементов в области развития национальных экономик, как глобализация и прозрачность, для обеспечения эффективной ИБ. Проведенные оценки позволили придти к выводу о том, что тенденции роста влияния технологического фактора, информационных и коммуникационных технологии, стали доминирующим двигателем процесса глобализациипредложена и обоснована рекомендация о необходимости скорейшего принятия Федерального Конституционного закона РФ «О безопасности РФ».

Конституционный закон должен привести в единую систему положения-нормативных правовых, актов и других федеральных документов в области обеспече-ншг безопасности, а также устранить пробелы, повторы и противоречия, установить должную корреляцию между ними. > -По результатам исследования сформулированы следующие рекомендации, предназначенные для повышения эффективность систем защиты информации сайтов органов власти: применение защищенных технологий для обеспечения безопасности информационного обмена между сайтом и компьютером пользователявсестороннее' тестирование безопасности сайта профессиональной консалтинговой компанией, специализирующейся на предоставлении услуг вида «тестирование на проникновение" — использование двухфакторной аутентификациипри этом, как показало исследование, лучшая современная практика включает использование специального программно/аппаратного ключа — USB-токена, элемента touch-memory или ключевой дискетыадаптация международных стандартов в области информационной безопасности для российских участников информационных отношенийидентификация информации, циркулирующейв органе власти по следующим критериям: является ли информация ограниченного доступа или является открытой общедоступной информациейвсе применяемые методы и средства защиты необходимо реализовывать в соответствии с требованиями Руководящего документа Гостехкомиссии России. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. для предотвращения угроз от внешнего нарушителя целесообразно применять организационно-технические мероприятия по обслуживанию, линий связи, систему криптографической защиты, коды-аутентификации, имитационную защиту данных, электронную цифровую подпись, протокол двусторонней криптографической аутентификации, систему НСД, Fire Wall между элементами на сетевом уровне, систему разовых паролей для доступа к ресурсам (на прикладном уровне), уникальный криптографический сеанс (на сеансовом уровне). в целях предотвращения опубликования на сайте органа власти информации ограниченного доступа, необходимо в обязательном порядке предварительно направлять её на экспертизу в Экспертную комиссию или Постоянно действующую техническую комиссию (ПДТК) органа власти.

ЗАКЛЮЧЕНИЕ

.

В данной работе проведен анализ эффективности СЗИ сайтов органов власти СЗФО. Методика исследования существенно отличается от распространенных методик, используемых в настоящее время, законностью используемых методов анализа. Примененные методы исследования, разработанные, обобщенные и усовершенствованные в работе, находятся в рамках российского законодательства, т.к. не приводят к вторжению/нарушению работы сетей и отдельных ЭВМ. Все действия, выполненные в процессе анализа, не выходят за рамки действующего законодательства. Целью методов является поиск таких изъянов или недостатков в защите сайтов, которые позволяют «нарушителям» преодолеть СЗИ сайтов или получить критически важную информацию для последующего вторжения.