Современные методы оценки системы защиты информации

Развитие научного направления в области оценки защищенности информации в информационной системе, с использованием систем защиты информации, осложняется отсутствием единой системы понятий и категорий для оценки СЗИ [5].

Оценка защиты информации в АИС строится на основе подхода, смысл которого заключается в присвоении АИС определенного класса защиты, исходя из степени реализованных в ней типовых конфигураций средств защиты информации и организационных мероприятий. На сегодняшний день данный подход используется во всех современных нормативных актах, как в иностранных, так и в российских.

Проведя анализ наиболее распространенных методик в области оценки защищенности АИС позволяет выделить три основных метода оценки защищенности АИС:

• — формальный;
• — статистический;
• — классификационный.

Не получил большого практического применения формальный метод оценки защищенности АИС ввиду сложности в формализации основных понятий: сопротивляемость механизма защиты, угрозы безопасности и ущерба от реализации угрозы безопасности.

Статистический подход, в свою очередь, основывается на сбор и накоплений статистики о частоте возникновениях инцидентов в АИС и расчете на их основе статистических вероятностей возникновения соответствующих угроз. На практике получить реальные данный, используя статистический подход, практически невозможно. Это связано с трудностью сбора информации по событиям, вероятность происшествия которых крайне мала, а так же с тем, что система не является статичным объектом, а находится в стадии постоянного развития, в рамках которого происходит изменение в составе программного, аппаратного обеспечения и СЗИ. В связи с трудностью постоянного сбора статистической информации в рамках изменяемой информационной системы, статистический подход при оценке защищенности применим лишь частично, как дополнительное средство при наличии достоверной статистической базы.

На практике большое применение получил неформальный классификационный подход с применением неформальных моделей защиты АИС, в качестве значений показателей объектов которых используется их отнесение к определенным категориям. Данный подход не дает получить точное значение показателя защищенности, но позволяет классифицировать и сравнивать АИС по уровню защищенности.

Для оценки степени реализации механизмов регулирования безопасности используют методы активного и пассивного тестирования системы защиты информации. Для этого проводят имитацию действий потенциального злоумышленника по преодолению механизмов и средств защиты, или применяют списки проверки и о анализируют конфигурацию устройств, операционные системы и приложения. Тестирование может проводиться как вручную, так и с использованием специализированного программного обеспечения.

В качестве примера указанного программного обеспечения является семейство продуктов компании Internet Security Systems, включающее следующие подсистемы:

анализ защищенности уровня ОС — System Scanner;

анализ защищенности уровня СУБД — Database Scanner;

анализ защищенности уровня ЛВС — Internet Scanner;

анализ защищенности уровня радио сетей — Wireless Scanner.

Механизм автоматизации процесса оценки защищенности информации во всех существующих методах базируется на применении технологии баз данных, с разделением на количественные и качественные.

Ввиду относительной простоты качественные методики оценки защищённости получили наиболее широкое применение. Разработано достаточно большое количество методик, которые базируются на использование различных средств автоматизации. Одними из наиболее известных методик являются: COBRA, RA Software Tool и MethodWare. Данные методики позволяют жать оценку соответствия системы безопасности организации международным стандартам или иным стандартам безопасности. Оценки производятся с использованием качественных шкал, на основе данных, полученных с использованием тематических опросников.

Существующие количественные методы оценки используют объектно-ориентированные методы системного анализа. Для проведения оценки используют базы данных уязвимостей, а так же иные сложные инструментальные средства. К данным методикам можно отнести CRAMM [1], RiskWatch [2], и «Гриф» и «АванГард» [3]. Проведенный анализ подобных методик показывает, что в качестве количественных данные методики могут быть использованы весьма условно, т.к. полученные балльные результаты являются весьма субъективными и не лучше качественных шкал. На основе вышесказанного можно утверждать, что в настоящий момент основным подходом для оценки средств защиты информации АИС является классификационный подход. Данный подход использует шкалу интервалов значений, которая позволяет получать числовые оценки ключевых параметров путем их категорирования и соотношения с некими значениями, используемыми в конкретном методе оценки защищенности информации.

К серьезным недостаткам используемых в современных методиках оценки защищенности АИС необходимо отнести малоэффективное применение знаний экспертов. При проведении оценки ограничиваются получением точных оценок выбранных ключевых показателей, а так же серьёзным недостатком является отсутствие комплексности получаемых оценок. Проведение оценки СЗИ АИС на основе большинства современных методик характеризуется высокой трудоемкость.

Таким образом, используемые современные методики оценки средств защиты информации АИС обладают рядом существенных недостатков, затрудняющих их практическое применение и снижающих ценность получаемых с их помощью результатов. Проведенный анализ показал, что на текущий момент не существует методик и методов оценки СЗИ АИС, удовлетворяющие современным требованиям по объективности, комплексности и трудоемкости оценки.