71. Контроль и моделирование как основные формы организационных действий при проверке действенности системы информационной безопасности

Оценка эффективности функционирования контроля системы защиты информации (КСЗИ) представляет собой сложную научно-техническую задачу. Комплексная система защиты информации (СЗИ) оценивается в процессе разработки контроля системы (КС), в период эксплуатации и при создании (модернизации) СЗИ для уже существующих КС.

Под проверкой действенности системы ИБ подразумевается проведение испытания или аудита.

Контроль - мониторинг прогресса и регулирование хода работ проекта

Процессы контроля - отслеживание хода выполнения проекта и достижения, целей путем мониторинга, количественной оценки прогресса проекта и осуществления необходимых корректирующих воздействий для ликвидации нежелательных отклонений от плана проекта;

Контроль эффективности системы защиты информации — анализ степени уязвимости конфиденциальной информации. Осуществляют в негосударствен­ных структурах органы государственной власти в порядке, определяемом Пра­вительством РФ. На уровне фирмы собственный контроль эффективности системы защиты информации является функцией службы бе­зопасности и проводится путем регулярного анализа, соответствия структуры системы защиты информации реальным и потенциальным угрозою безопасно­сти конфиденциальной информации фирмы и соответствующей степени противодействия этим угрозам. Результатом контрольной работы становится раз­работка предложений по совершенствованию системы защиты информации, усложнению системы или ее упрощению вплоть до отказа от подобной системы. В основе указанных предложений должна лежать идея максимально возмож­ного снижения степени уязвимости конфиденциальной информации

Понятие контроля можно интерпретировать как в узком смысле - как один из этапов процесса управления системой ИБ, так и в более широком смысле как систему, состоящую из ряда элементов.

Управленческий контроль организации в наиболее узком смысле это осуществление следующих действий:

а) определение фактического состояния или действия управляемого звена системы управления организацией (объекта контроля);

б) сравнение фактических данных с требуемыми, т.е. с базой для сравнения, принятой в организации, либо заданной извне, либо основанной на рациональности;

в) оценка отклонений, превышающих предельно допустимый уровень, на предмет степени их влияния на аспекты функционирования организации; г) выявление причин данных отклонений.

В соответствии с подходом в узком смысле цель контроля- информационная прозрачность объекта управления для возможности принятия эффективных решений. При этом, в понятии информационной прозрачности объекта управления отражено представление о степени управляемости данного объекта, т.е. о том, в какой степени в результате управления обеспечивается (обеспечивалось или будет обеспечиваться) поддержание требуемого состояния или действия объекта управления в соответствующий момент (период) времени. Вполне очевидно, что без предельной информационной прозрачности объекта управления адекватное его восприятие невозможно, управленческое воздействие не будет приносить желаемый результат и управленческая связь с объектом теряется, что и обуславливает особую важность контроля в процессе управления. К функциям контроля можно отнести оперативную, упорядочивающую, превентивную, коммуникативную, информативную и защитную.

Контроль и регулирование в сфере ИБ

• Представление отчетов о ходе выполнения работ проекта

• Управление изменениями

• Контроль предметной области, сроков выполнения, стоимости проекта.

• Контроль мероприятий по снижению рисков.

• Контроль качества.

• Контроль выполнения контрактов.

Сущность и содержание контроля функционирования КСЗИ

Контроль функционирования КСЗИ проводится регулярно в процессе работы системы. Предполагается проведение следующих работ:

• анализ функционирования системы защиты;

• проверка выполнения мер по защите информации;

• контроль эффективности защиты;

• подготовка и выдача исходных данных для управления СЗИ.

Периодичность контроля:

• периодический (плановый, т.е. через определенные периоды времени). Периодический контроль проводится в конце каждого этапа принятия решений;

• внеплановый контроль проводится при наступлении определенного события, как правило, чрезвычайного;

• внезапный.

Плановый контроль может быть текущим, глубоким, глобальным.

Текущий контроль используется для выяснения сиюминутной ситуации.

Глубокий контроль предназначен для среднесрочного планирования, проводится с целью выявления причинно-следственных связей текущего процесса управления.

Глобальный контроль является основой для стратегического планирования.

Контроль важен для начальника для оценки действий подчиненных. Контроль проводится с целью выявления ошибок в управлении и их устранения.

Аудит (контроль) защиты информации — специальная проверка соответствия организации и эффективности защиты информации установленным требованиям и/или нормам.

Собственник информационных ресурсов или уполномоченные им лица имеют право осуществлять контроль за выполнением требований по защите информации и запрещать или приостанавливать обработку информации в случае невыполнения этих требований. Закон РФ.

Проведение независимого аудита позволяет своевременно выявить существующие слабые места и объективно оценить соответствие параметров КСЗИ необходимому уровню. Для решения этих задач создаются специальные организации аудиторов в области информационной безопасности. Их целью является проведение экспертизы. Такие организации могут быть как государственными (например, подразделения государственной технической комиссии при Президенте РФ), так независимыми, т.е. негосударственными.

Грамотно проведенный аудит безопасности информационной системы позволяет добиться максимальной отдачи от средств, инвестируемых в создание и обслуживание системы безопасности фирмы. Основными направлениями деятельности в области аудита безопасности информации являются:

1. Аттестация объектов информатизации по требованиям безопасности информации

a) аттестация автоматизированных систем, средств связи, обработки и передачи информации,

b) аттестация помещений, предназначенных для ведения конфиденциальных переговоров,

c) аттестация технических средств, установленных в выделенных помещениях.

2. Контроль защищенности информации ограниченного доступа

a) выявление технических каналов утечки информации и способов несанкционированного доступа к ней,

b) контроль эффективности применяемых средств защиты информации.

3. Специальные исследования технических средств на наличие побочных электромагнитных излучений и наводок (ПЭМИН)

a) персональные ЭВМ, средства связи и обработки информации;

b) локальные вычислительные системы;

c) оформления результатов исследований в соответствии с требованиями Гостехкомиссии России.

4. Проектирование объектов в защищенном исполнении.

a) разработка концепции информационной безопасности (первая глава учебника);

b) проектирование автоматизированных систем, средств связи, обработки и передачи информации в защищенном исполнении;

c) проектирование помещений, предназначенных для ведения конфиденциальных переговоров

Моделирование КСЗИ заключается в построении образа (модели) системы, с определенной точностью воспроизводящего процессы, происходящие в реальной системе. Реализация модели позволяет получать и исследовать характеристики реальной системы.

Процесс моделирования состоит из трех стадий - формализации (переход от реального объекта к модели), моделирования (исследование и преобразования модели), интерпретации (перевод результатов моделирования в область реальности).

Для оценки систем используются аналитические и имитационные модели. В аналитических моделях функционирование исследуемой системы записывается в виде математических или логических соотношений. Для этих целей используется мощный математический аппарат: алгебра, функциональный анализ, разностные уравнения, теория вероятностей, математическая статистика, теория множеств, теория массового обслуживания и т. д.

При имитационном моделировании моделируемая система представляется в виде некоторого аналога реальной системы. В процессе имитационного моделирования на ЭВМ реализуются алгоритмы изменения основных характеристик реальной системы в соответствии с эквивалентными реальным процессам математическими и логическими зависимостями.

Модели делятся также на детерминированные и стохастические. Модели, которые оперируют со случайными величинами, называются стохастическими. Так как на процессы защиты информации основное влияние оказывают случайные факторы, то модели систем защиты являются стохастическими.

Моделирование КСЗИ является сложной задачей, потому что такие системы относятся к классу сложных организационно-технических систем, которым присущи следующие особенности:

• сложность формального представления процессов функционирования таких систем, главным образом, из-за сложности формализации действий человека;

• многообразие архитектур сложной системы, которое обуславливается многообразием структур ее подсистем и множественностью путей объединения подсистем в единую систему;

• большое число взаимосвязанных между собой элементов и подсистем;

• сложность функций, выполняемых системой;

• функционирование систем в условиях неполной определенности и случайности процессов, оказывающих воздействие на систему;

• наличие множества критериев оценки эффективности функционирования сложной системы;

• существование интегрированных признаков, присущих системе в целом, но не свойственных каждому элементу в отдельности (например, система с резервированием является надежной, при ненадеж. элем.);

• наличие управления, часто имеющего сложную иерархическую структуру;

• разветвленность и высокая интенсивность информационных потоков.

Для преодоления этих сложностей применяются:

1)   специальные методы неформального моделирования;

2)   декомпозиция общей задачи на ряд частных задач;

3)   макромоделирование.