Авторы: Годла А.С., Губенко Н.Е.
Источник: Інформаційні управляючі системи та комп’ютерний моніторинг (ІУС КМ – 2013) – 2013 / Матерiали IV мiжнародної науково–технiчної конференцiї студентiв, аспiрантiв та молодих вчених. 24–25 квiтня 2013. — Донецьк, ДонНТУ — 2013, Том 2, C1.
Произведено исследование рисков информационной безопасности и методов их контроля. Исследована роль риск–менеджмента в информационной безопасности предприятия. Получен анализ распределенной модели использования ресурсов и предложено ее усовершенствование.
информационная безопасность, режим информационной безопасности, анализ рисков, оценка рисков, потери, угрозы, риск–менеджмент.
В век бурного развития информационных технологий предприятия всех типов и форм собственности становятся зависимыми от информационных систем, что делает их уязвимыми к угрозам. Отличие нарушения режима информационной безопасности персонального компьютера от такой же проблемы корпоративной сети состоит в том, что под угрозой оказываются большие массивы электронных данных компании. Например, может произойти хищение средств с банковских счетов, искажение и уничтожение стратегической информации, диверсия. Немаловажно отметить, что нарушение режима безопасности предприятия вредит имиджу компании, так как в большинстве случаев страдают данные клиентов.
Следовательно, обеспечение необходимого уровня информационной безопасности является серьезной проблемой, что стимулирует развитие различных методологий в данной области. Возникает потребность разрабатывать и усовершенствовать корпоративную политику информационной безопасности, в рамках которой предполагается использовать распределенную модель использования ресурсов.
Проведен анализ модели использования ресурсов на основе работ Г.Г. Грездова [1]. Доказана необходимость проведения риск–менеджмента благодаря С.А. Петренко [2]. Обоснована необходимость усовершенствования распределенной модели использования ресурсов благодаря статистическим данным [3, 4, 5]. Предложен этап усовершенствования с помощью распределения ресурсов по уровню секретности на основе работ Н.Т. Стоянова, В.Ц. Целкова [6].
Произвести исследование рисков информационной безопасности, методов их контроля; выяснить роль риск–менеджмента в информационной безопасности предприятия; проанализировать и усовершенствовать распределенную модель использования ресурсов.
Процесс защиты информации представляет собой взаимодействие угроз информации и информационной безопасности, препятствующей их взаимодействию. Защита информации происходит поэтапно и в заведомо определенном порядке. Каждый из этапов представляет собой индивидуальную модель:
Все этапы объединяются в целостную модель распределения ресурсов для защиты информации. Она основана на возможностях врага и защищающейся стороны, на базе модели угроз и модели оценки потерь. Это происходит потому, что стоимость защиты не должна превышать ущерб нарушения безопасности [1].
Минимальное количество требований для информационной безопасности соответствует основному уровню обеспечения ИБ. Такие требования обычно применяются для стандартных проектов. Существуют стандарты и спецификации с минимумом наиболее возможных угроз. Для их нейтрализации необходимо применять контрмеры в зависимости от возможности возникновения угрозы и чувствительности ресурса.
Если базовых требований недостаточно, можно и нужно применять дополнительные, более высокие требования. Для этого, помимо учета стандартного списка угроз, обязательно следует определить стоимость ресурса, посчитать возможность возникновения угрозы, проанализировать уязвимость ресурса и посчитать потенциальный ущерб [2].
По результатам вышесказанного, в таблице 1 проведен анализ режимов информационной безопасности.
Таблица 1 – Сравнительный анализ режимов ИБ
| Критерии | Базовый уровень безопасности | Уровень безопасности с повышенными требованиями |
| Предъявляемые требования | Минимальные | Тщательная проверка информационного ресурса на целостность, доступность, конфиденциальность. |
| Выбор методики защиты | Стандартные способы защиты корректируются под данную информационную систему | Выбор средств защиты, подходящих конкретно к данной системе. Нестандартные решения для максимальной безопасности. |
| Решающий фактор для выбора режима ИБ | Стоимость | Эффективность |
Сегодня, среди приоритетов малых предприятий, риск–менеджмент находится в самом конце их списка. Опрос, проводившийся на Американском бизнес–саммите в мае 2010 года показал такое распределение приоритетов:
В соответствии с отчетом об угрозах безопасности в интернете, проведенном компанией Symantec в 2011 году, число кибер–атак на компьютеры увеличилось на 36% по сравнению с 2010 годом. Ежедневно происходит более 4500 новых атак. Было создано более 403 миллионов новых разновидностей вредоносного программного обеспечения — что означает увеличение новых разработок на 41% [4].
Исследование, проведенное 874 сертифицированными профессионалами в области информационной безопасности (CISSP) в 2004 году, показало, что для улучшения ситуации в области политики информационной безопасности нужна поддержка топ–менеджмента компании, который недостаточно осведомлен о важности вопроса [5].
Вышеперечисленные статистические данные позволяют судить о том, что корпоративные сети в настоящий момент являются наиболее подверженными атакам. Так как они используют сети хранения данных, связи peer–to–peer, мгновенные сообщения, удаленный доступ, то определение границ безопасности является практически невозможным.
Проведенные исследования показали, что модель распределенного использования ресурсов в области информационной безопасности нуждается в усовершенствовании. Необходимо определить сопротивление системы защиты распределенным атакам. Например, возможно предварительное построение модели распределенных атак перед формированием модели угроз.
Немаловажно также найти уязвимости объекта защиты, потому что риск информационной безопасности каждого ресурса вычисляется не только с помощью анализа угроз, но и на основе уязвимостей. Для этого необходимо проводить аудит и управлять рисками. Эти этапы осуществляются в рамках модели уязвимостей, которую целесообразно применять перед работой модели распределенных атак.
Для обеспечения режима наибольшей защиты информации, распределение ресурсов целесообразно проводить по уровням секретности и группам секретности. Такую модель предлагают использовать Николай Тодоров Стоянов и Веселин Ценов Целков [6]. Их модель (ENLG) предоставляет такие важные функциональные возможности, как запрос доступа; анализ прав пользователя; идентификация уровня секретности; получение списка групп и использование соответствующих ему ресурсов; обязательное сохранение log–файла перед завершением работы.
Благодаря подобной модели становится возможным уменьшение риска несанкционированного доступа к ресурсам системы, что в значительной мере повышает степень информационной безопасности организации.
В настоящее время, среди предприятий малого бизнеса риск–менеджмент находится в конце списка приоритетов, однако, его позиция должна быть улучшена, так как он помогает экономить денежные средства. Для того, чтобы понять инфраструктуру, необходимо проводить оценивание рисков, анализ рисковых ситуаций или полный аудит компании.
Предложенные изменения могут улучшить модель и снизить вероятность риска несанкционированного использования ресурсов каждого отдельного компьютера в сети и корпоративной сети в целом.