Рекомендации по выбору показателей эффективности сзи

Показатели эффективности СЗИ определяется: назначение методики; технологии оценки эффективности; целевым назначением мер.

Требуемые показатели эффективности должны выбираться: с учётом задач решаемых в процессе анализа; желательно, чтобы показатели эффективности могли принимать абсолютное значение; желательно, чтобы показатели могли измеряться в относительных единицах.

Перечень некоторых показателей защищенности информационных систем: доверительное управление доступом; мандатное управление доступом; показатель очистки памяти; «изоляция модулей»; маркировка ресурсов; маркеры ограничения доступа; идентификация и аутентификация; целостность СЗИ.

Методика оценки уровня защищенности объекта информационной системы

Данный вопрос будет рассмотрен на основе методики предложенной С. Макейнила. Суть сводится к заполнению матрицы защищенности системы. Каждая ячейка матрицы заполняется двумя значениями:

1. Ш- серьезная угроза при неодыкватной защите

2. Х- потенциальная катастрофическая угроза

Матрица Макейнила может содержать следующие записи (строки): местоположение объекта и физическая безопасность; выявление факта проникновения; контроль доступа; условия окруженной среды; противопожарная безопасность; угроза затопления; план действия в случае ЧС

Основной показатель эффективности

В качестве основного показателя выбирается показатель действительности- вероятность отсутствия нарушений, защищенности информации в контролируемой СЗИ. P_G =S(P, V, t, U), где

P- вероятность нарушений СЗИ

V-множество характеристик качества функционирования СЗИ

U-множество внешних факторов воздействия на СЗИ

t- заданное время

Критерии оценки системы

Чтобы оценить информационную безопасность необходимо определить количественные параметры, от которых она зависит.

Параметры, по которым можно оценить безопасность информации заранее установить нельзя. Поэтому для каждой системы они подбираются отдельно.

Примерный алгоритм подбора параметров

1. составить полный перечень угроз информационной безопасности;

2. по каждой угрозе определить полный перечень уязвимостей, через которые она может быть реализована;

3. для каждой уязвимости, по каждому основному фактору, определить все косвенные факторы, приводящие к проявлению прямого;

4. по каждому косвенному фактору определить перечень параметров, приводящих к их проявлению.

Количественная оценка безопасности системы

Количественная оценка безопасности системы определяется при оценке информационных рисков.

Информационным риском называется вероятность нанесения ущерба информационной системе.

Расчет риска: P = C * Pуз, где

P – риск;

C – относительная стоимость информации;

Pуз – вероятность проявления уязвимости.

Параметры могут быть количественными или качественными; по содержанию лингвистическими, вероятностными (приведенными), количественными.

Все значения параметров, при которых фактор проявляется, называются критериями. Все параметры необходимо привести.

Приведенные параметры получаются в результате деления конкретного (текущего) значения параметра на максимальное (максимально возможное).