курсак

41

2 ОЦЕНКА ЭКОНОМИЧЕСКИ ЭФФЕКТИВНОЙ СИСТЕМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

2. Структура банковской платежной системы Электронной платежной системой называют совокупность методов и

реализующих их субъектов, обеспечивающих в рамках системы использования банковских пластиковых карт как платежного средства.

Пластиковая карта – это персонифицированный платежный инструмент, предоставляющий лицу, которое пользуется этой картой, возможность безналичной оплаты товаров и услуг, а также получения наличных средств в банковских автоматах и отделениях банков. Предприятия торговли и сервиса и отделения банков, принимающие карту как платежный инструмент, образуют сеть точек обслуживания карточки.

При создании платежной системы одной из основных решаемых задач является выработка и соблюдение общих правил изготовления карт, выпущенных входящими в платежную систему эмитентами, проведения взаиморасчетов и платежей. Эти правила охватывают как чисто технические аспекты операций с картами-стандарты данных, процедуры авторизации, спецификации на используемое оборудование и другие, так и финансовые аспекты обслуживания карт-процедуры расчетов с предприятиями торговли и сервиса, входящие в состав приемной сети, правила взаиморасчетов между банками и т.д.

С организационной точки зрения ядром платежной системы является ассоциация банков, объединенная договорными обязательствами. Кроме того, в состав электронной платежной системы входят предприятия торговли и сервиса, образующие сеть точек обслуживания. Для успешного функционирования платежной системы необходимы и специализированные организации, осуществляющие техническую поддержку обслуживания карт: процессинговые и коммуникационные центры, центры технического обслуживания и т. п.

Банк, заключивший соглашение с платежной системой и получивший соответствующую лицензию, может выступать в двух качествах – как банкэмитент и как банк-эквайер. Банк-эмитент выпускает пластиковые карты и гарантирует выполнение финансовых обязательств, связанных с использованием этих карт как платежного средства. Банк-эквайер обслуживает предприятия торговли и сервиса, принимающие к оплате карты в качестве платежного средства, а также принимает эти платежные средства к обналичиванию в своих отделениях и через принадлежащие ему банкоматы. Основными неотъемлемыми функциями банка-эквайера являются финансовые операции, связанные с выполнением расчётов и платежей точками обслуживания. Технические атрибуты

42

деятельности банка-эквайера (обработка запросов на авторизацию; перечисление на расчетные счета точек средств за товары и услуги, предоставляемые по картам, прием, сортировка и пересылка документов, фиксирующих совершение сделок с использованием карт и т.п.) могут быть делегированы эквайером процессинговых центров.

Клиенты платежной сети – это ее субъекты, счета – объекты, документы (платежные и иные) – команды и операции в сети, совершаемые субъектами над объектами. Стандартная банковская платежная система состоит из следующих компонентов: кассы обслуживания населения, банкомат (автоматизированное обслуживание), автоматизированное рабочее место сотрудников банка, автоматизированное рабочее место руководства банка. Необходимо оговориться, что банкомат способен только выдавать наличные денежные знаки, а касса и выдавать, и принимать.

2.2 Вопросы оценки эффективности и проектирования систем защиты По способу реализации системы защиты от несанкционированного доступа

принято подразделять на встроенные и добавочные. Под встроенными понимаются средства защиты, которые встроенные функционально в программное обеспечение (ПО) и являются его частью. Эти средства реализуют дополнительную для данного ПО функцию обеспечения защиты информации. Добавочные средства защиты используются совместно с ПО и обеспечивают усиление защитных свойств.

К системе защиты предъявляется следующий список требований:

а) уровень канала доступа: шифрование, аутентификация, электронная цифровая подпись (ЭЦП), аудит;

б) разграничение доступа: шифрование, ЭЦП; в) операционная среда: ЭЦП (хэш-функция), аудит.

Требования к клиентской части реализуемой системы защиты: а) хранение ключей, прав доступа и других атрибутов; б) средства генерации ЭЦП; в) модуль шифрования;

г) журнал регистрации событий.

Необходимо выбрать механизмы защиты, реализующие следующие технологии информационной безопасности:

а) хэш-функция; б) симметричное и асимметричное шифрование;

в) электронная подпись;

43

г) механизмы аутентификации и аудита; д) средства генерации ключей и случайных последовательностей.

Цифровую электронную подпись можно реализовать следующими способами:

а) RSA;

б) DSA;

в) ГОСТ 34.10-2001;

г) Эль-Гамаля;

д) ECDSA;

е) ДСТУ 4145–2002.

Возможна реализация аппаратным способом и программным. Каждый вариант реализации можно характеризовать по некоторому набору параметров.

В данном случае важны следующие параметры: а) обеспечиваемый уровень защищенности; б) стоимость реализации;

в) среднее время, затрачиваемое на одну транзакцию; г) удельная стоимость совершения одной транзакции.

Список в зависимости от конкретной задачи может быть расширен. Понятие защищенности – качественное, поэтому может быть оценено (переведено в числовое значение) при помощи различных методов экспертной неформальной оценки или ранжирования. Таким образом, уровень защищенности может трактоваться как количественная оценка криптостойкости или сложности вскрытия некоторого средства защиты по сравнению с остальными.

Отдельно проектировщиком может выноситься свойство надежности, иногда его можно рассматривать совместно с уровнем защищенности. Под транзакцией понимается операция, совершаемая устройством, рассматривается средний объем данных, обрабатываемых системой в течение одной операции. При оценке анализируется показатели, с которыми разные средства реализации осуществляют обработку одинаковых объемов данных.

Краткие обозначения: Z – уровень защищенности;

С – стоимость разработки и внедрения; Т – среднее время, затрачиваемое на транзакцию;

Ц – удельная стоимость совершения одной операции.

44

Будем оценивать защищенность системы Z количественно по стоимости защищаемой информации, вероятности взлома, стоимости системы защиты информации и производительности системы.

Задача состоит в обеспечении максимального уровня защищённости при минимальной стоимости СЗИ и минимальном влиянии её на производительность.

45

Критерии оценки защищённости

Рисунок 2.1 – Критерии оценки защищённости

Для комплексного учета всех параметров применяется методика оптимального проектирования. Решение многокритериальной задачи требует выделения области компромиссов. Далее необходимо решить прямую задачу оптимального проектирования внутри области компромиссов. Таким образом, определяется, у которого набора средств реализации показатель уровня защищенности при заданной стоимости достигает максимального значения. Математически условия для решения такой задачи формулируются следующим образом:

46

i 1

Врезультате решения данной задачи мы получили оптимальный набор компонентов информационной безопасности, из которых строится система0 i äîï

механизмов по каждому из требований. Каждый вариант из одного списка сочетается по одному разу с вариантом из другого списка, всего возможно 54 варианта построения системы защиты табл. 1, табл. 2.

Таблица 2.1 – Характеристика вариантов системы

48

Таблица 2.2– Допустимые варианты системы

На рис. 2.2, 2.3 и 2.4 приведены все варианты проектов в координатах «защищенность – стоимость», «защищенность – время», «защищенность – удельная стоимость». На графиках точками отображены варианты проекта. Сплошной линией изображено множество Парето на каждом из графиков. Множество Парето – множество допустимых альтернатив задачи многокритериальной оптимизации (принцип отбора рациональных решений). На рисунках надписаны варианты решений, входящие в область компромиссов и удовлетворяющие заданным в примере ограничениям.

Как видно из табл. 2.2, существует всего двенадцать вариантов проекта, удовлетворяющих заданным условиям. Используя метод попарных сравнений, выделим область компромиссов, к ней относятся следующие варианты проекта: 2, 4, 6, 14, 15, 29, 40. Анализ одного допустимого варианта на графиках, показал что он вполне удовлетворят заданным ограничениям, номер варианта – 47.

Выбранный вариант №47:

–ГОСТ программно на C++ (a6) .

–ГОСТ программно на С++ (b2).

Z max = 0,970;

Сэцп + Схэш Сдоп, 17 + 24 35;

Цэцп + Цхэш Цдоп, 4 + 4 6.

Система неравенств выполняется, фактор защищенности достигает максимально возможного значения. Следовательно, построение системы безопасности на основе двух элементов успешно завершено.