курсак

11

д) управление системой защиты.

Рисунок 1.2 – Направления построения системы защиты информации

Каждый из показателей блока направления должен быть структурирован в зависимости от заданной глубины детализации СЗИ. Представим направления (рис. 1.2) в виде куба, внутри которого и находятся все вопросы (предметная область) защиты информации. Но поскольку каждое из этих направлений базируется на перечисленных выше основах, то грани куба объединяют основы и направления, которые неразрывно связанные друг с другом. Далее рассмотрим этапы (последовательность шагов) построения СЗИ, которые необходимо пройти в равной степени для всех и каждого в отдельности направлений (с учетом всех основ).

Проведенный анализ существующих методик (последовательностей) работ по созданию и проектированию СЗИ позволяет выделить следующие этапы:

а) определение информационных и технических ресурсов, а также объектов ИС подлежащих защите;

б) выявление полного множество потенциально возможных угроз и каналов утечки информации;

в) проведение оценки уязвимости и рисков информации (ресурсов информационных сетей) при имеющемся множестве угроз и каналов утечки;

12

г) определение требований к системе защиты информации; д) осуществление выбора средств защиты информации и их

характеристик; е) внедрение и организация использования выбранных мер, способов и

средств защиты; ж) осуществление контроля целостности и управление системой защиты.

Указанная последовательность действий осуществляется непрерывно по замкнутому циклу, с проведением соответствующего анализа состояния СЗИ и уточнением требований к ней после каждого шага. По этой причине системы защиты информации создают по методике, циклически повторяющуюся в течение всего периода ее функционирования, по выше перечисленной последовательности этапов (рис. 1.3).

4 Определение требований к системе защиты

Рисунок 1.3 – Основные этапы построения СЗИ

13

Последовательность прохождения этапов создания СЗИ для каждого из направлений с учетом общего представления структуры СЗИ, условно можно представить в следующем виде (рис. 1.4).

Рисунок 1.4 – Основные этапы построения СЗИ

1.2 Матрица информационной безопасности

Матрица состояний – таблица, позволяющая логически объединить составляющие блоков "ОСНОВЫ", "НАПРАВЛЕНИЯ" и "ЭТАПЫ" по принципу каждый с каждым.

Напомним, что матрица появляется не сама по себе, а формируется в каждом конкретном случае, исходя из конкретных задач по созданию конкретной СЗИ для конкретной ИС.

Наглядно процесс формирования СЗИ с использованием матрицы знаний изображен на рис. 1.5.

Рассмотрим, как можно использовать предложенную матрицу. Элементы матрицы имеют соответствующую нумерацию (табл. 1.1) Следует обратить внимание на обозначения каждого из элементов матрицы, где:

а) первое знакоместо (Х00) соответствует номерам составляющих блока "ЭТАПЫ",

б) второе знакоместо (0Х0) соответствует номерам составляющих блока "НАПРАВЛЕНИЯ",

14

в) третье знакоместо (00Х) соответствует номерам составляющих блока "ОСНОВЫ".

Рисунок 1.5 – Структурная схема формирования СЗИ с помощью матрицы

В общем случае количество элементов матрицы может быть определено из соотношения

где K – количество элементов матрицы, Oi – количество составляющих блока "ОСНОВЫ", Hj – количество составляющих блока "НАПРАВЛЕНИЯ", Mk – количество составляющих блока "ЭТАПЫ".

Внашем случае общее количество элементов "матрицы" равно 140, то есть:

К= 4·5·7 = 140, поскольку Oi = 4 , Hj = 5 , Mk = 7.

Показатель уровня защиты СЗИ предлагается определять методом экспертных оценок, используя положения теории нечеткой логики и нечетких утверждений. Напомним, что структура модели оценки представлена на рис. 1.5, а логическое дерево для расчета обобщенного и частных показателей уровня защиты СЗИ представлено на рис. 1.6.

Величина обобщенного показателя уровня защиты определяется на основе частных показателей путем сравнения заданных профилей безопасности с

15

достигнутыми. Заданный профиль, услуги и механизмы безопасности определяются заказчиком или выбираются в соответствии с принятыми "Критериями безопасности" (например Федеральные, Канадские, Общие Критерии, НД ТЗИ 2.5-004-99 или другие) в зависимости от требований, которые устанавливаются к создаваемой СЗИ. Уровень достигнутого профиля защиты определяется экспертным путем в соответствии с теми же критериями оценки защищенности.

Таблица 1.1 – Нумерация элементов матрицы состояния

17

Матрица ИБ

Решение по созданию СЗИ

Рисунок 1.6 – Матрица логической связи

1.3 Методика расчёта оценки качества системы защиты информации на основе анализа профиля безопасности

Под профилем безопасности в дальнейшем будем понимать графическое представление степени выполнения требований предъявляемых к системе защиты

всистеме координат:

по горизонтали – перечень требований, предъявляемых к СЗИ;

по вертикали – степень выполнения каждого требования.

Наиболее удобный случай – это случай, когда степень выполнения требований задается в шкале

где j = 1, m.

Целесообразно рассматривать два профиля безопасности: требуемый и достигнутый. Для построения требуемого профиля безопасности используются предварительно заданные экспертами значения

___

где j = 1, m.

Исходные данные для построения требуемого профиля безопасности представляются в виде матрицы состояний.

Качество СЗИ определяется степенью (полнотой) выполнения требований к СЗИ. Исходные данные, необходимо представить в виде табл. 1.2 для каждого направления СЗИ.

Поясним используемые обозначения: 1 номер этапа с 1 по 7;

2 перечень показателей т для соответствующих элементов матрицы (от 1 до

28);

3 коэффициенты важности а, которые определяются для показателей каждого из этапов;

4показатели требуемого профиля безопасности QТp;

5показатели достигнутого профиля безопасности Qд;

6показатели достигнутого профиля безопасности с учетом коэффициентов

важности Qдaj;

7 сравнение профилей Sпр , которое производится следующим образом:

а) Sпр = 1 – если значение показателя достигнутого профиля безопасности равно или превышает значение показателя заданного;

б) Sпр = 0 – если значение показателя достигнутого профиля безопасности ниже значение показателя заданного.

8 степень выполнения групп требований Qгруп определяется с учетом коэффициентов важности;

9 качественная оценка Q определяется исходя из значений показателей Qгруп вычисленных для соответствующих этапов;

28714

1.3Расчёт оценки качества системы защиты информации на основе анализа профиля безопасности

1.4.1 Защищенность информационной системы

20

Исходные данные и расчёты по защищенности информационной системы предоставлены в табл. 1.3.

Таблица 1.3 – Данные о защищенности объектов ИС