125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / Навчальний посібник. Інформаційна безпека. Кавун С.В

а) права доступу й інші права за узгодженням з юристом і профспілкою;

б) посадові обов'язки за узгодженням з юристом і керівництвом підприємства.

в) за узгодженням із керівництвом визначається рівень застосовуваних до користувачів санкцій, перелік яких заздалегідь визначений у сьомій матриці – Мс (табл. 3.6).

9.Окремим списком також уводиться перелік заохочень у вигляді восьмої матриці (Мпщ) за аналогією.

10.Окремим списком у вигляді дев'ятої матриці вводиться перелік сервісів у мережі – Мср. Під кожний тип сервісу докладно описується його організація, переваги й недоліки у вигляді можливостей, мета використання (табл. 3.7).

12. Окремим документом із твердженням створюється список користувачів із числа співробітників із зазначенням їхніх робочих місць, посади, часу роботи на комп'ютері у вигляді одинадцятої матриці. На підставі матриць Мкс і Мср докладно (із посиланням на тип покарання або рівень відповідальності) описуються обов'язки користувача на робочому місці при роботі з тим або іншим сервісом із зазначенням рівня безпеки, перелік яких визначається в матриці Муб. Рівні ризику при цьому описуються детально (табл. 3.8).

Таблиця 3.8

13. Далі визначається організація діяльності користувача на робочих місцях. При цьому використовують або висхідний опис – від рядового користувача до директора, або спадне – навпаки.

Таким чином, пропонована методика дозволить адміністраторам і начальникам відділів безпеки підвищити рівень розробки й ефективність використання політики безпеки компанії для забезпечення цілісності й надійності різних категорій інформації й самої системи в цілому.

3.4. Методи оцінки втрат

Відповідальність за ІБ організації несе її керівник, що делегує цю відповідальність одному з менеджерів. Звичайно, ці функції виконує директор із ІБ (CISO) або директор із безпеки (CSO), іноді директор інформаційної служби (CIO).

Припустимо, що виникла необхідність у розробці та використанні політики ІБ [93] в організації. Тому необхідно враховувати наступні рекомендації:

1)витрати на забезпечення ІБ не повинні перевищувати вартості об'єкта, що захищається, або величину збитку, що може бути нанесений внаслідок атаки на об’єкт, що захищається;

2)необхідно визначити розмір такого збитку.

На підставі досліджень пропонується модифікована методика оцінки нанесеного збитку [92], що деталізована до реальних показників. При цьому використовуються наступні положення:

1.Законодавчо в Україні встановлений 40-годинний робочий тиждень (ст. 50 Кодексу законів про працю України); на місяць – 24 робочих днів або 192 години; за рік – 46±1 робочий тиждень або 1840±40 годин (ст. 75 Кодексу законів про працю України).

2.Атаки (зовнішні або внутрішні) ведуться в основному на один або кілька вузлів у комп'ютерній мережі (КМ), але однаково в підсумку страждають кінцеві вузли КМ.

3.Час, який затрачується на відновлення серверу в 3 рази більший відповідного часу, що відводиться на відновлення робочої станції (РС).

4.Час, що затрачується для роботи з вузлом, який виступає мережним устаткуванням дорівнює 0, оскільки для останнього виконується звичайна заміна. А ремонт і відновлення виконуються після проведення всіх відбудовних робіт із РС і серверами (основне завдання

–приведення КМ у працездатний стан за мінімальний час).

Нехай маємо наступні вихідні дані:

1.Кількість РС, які піддалися атаці – N.

2.Кількість серверів, які піддалися атаці – S.

3.Час бездіяльності i-го вузла (сервера або РС) внаслідок атаки, tiБ (годин); у складові цього часу входять: тривалість впливу атакуючого на КМ (більшість сучасних атак мають тривалість до декількох хвилин), тривалість простою вузла в результаті наслідків атаки до настання можливості проведення реабілітаційних дій.

4.Час відновлення i-го вузла (сервера або РС) після атаки, tiВ (годин), залежить від багатьох факторів і може включати наступні дії: переустановка операційної системи (ОС), наприклад, з «нуля», з образу, «поверх», установка й настроювання драйверів системи (відсутній, якщо переустановка виконується з образу), настроювання ОС (відсутній, якщо переустановка виконується з образу), установка необхідного ПО (відсутній, якщо переустановка виконується з образа).

5.Час, що затрачається на відновлення втраченої інформації на

i-му вузлі (сервері або РС), tiВИ (годин); якщо відновлення інформації в принципі неможливо, то tiВИ → ∞; залежить від багатьох факторів і може включати наступні дії: визначення (пошук) обсягу інформації для відновлення, пошук дублікатів даної інформації, перезапис інформації в

системі, використання спеціальних програмних засобів для відновлення інформації.

Графічно послідовність подій на i-му вузлі з моменту початку проведення атаки виглядає як показано на рис. 3.6.

t

Рис. 3.6. Діаграма послідовності часів i-го вузла

6.Середня зарплата адміністратора (оскільки саме адміністратор виконує всі операції з виявлення атак і усунення їхніх наслідків) або фахівців з ІБ, що беруть участь у процесі відновлення, ziСИБ (грн. на місяць).

7.Середня зарплата співробітника атакованого вузла, ziС (грн. на

місяць).

8.Економічний ефект від діяльності атакованого i-го вузла з урахуванням віддачі співробітників, що працюють на цьому вузлі, bi (грн. за рік). Тут також варто відрізняти економічний ефект від роботи РС і сервера. У середньому економічний ефект роботи сервера в 2 рази вище ефекту від роботи РС.

9.Час, який затрачається на заміну мережного устаткування або запасних частин, tЗЧ (годин). Для i-го вузла час tЗЧ може дорівнювати 0, якщо цей вузол не має потреби ні в якому мережному устаткуванні або запасних частинах для заміни.

10.Середня вартість виконуваних робіт із заміни мережного устаткування або запасних частин, СЗЧ (грн. за годину).

11.Сумарні грошові витрати на ремонт і відновлення мережного устаткування або запасних частин, ZРВ (грн.); виконується після проведення всіх попередніх заходів і тривалість, при цьому, не має значення.

У підсумку одержуємо наступні вирази.

1.S + N = OПР, де OПР – загальна кількість атакованих вузлів на підприємстві.

2.Сумарний час простою (бездіяльності) КМ із OПР вузлів за весь період – ТКС (годин) складе

1. Сумарний час відновлення КМ із OПР вузлів – ТВ (годин)

де tjВ – час відновлення j-го сервера.

2.Сумарний час відновлення загубленої інформації на OПР вузлах

–ТВИ (годин) складе

3.Сумарні грошові витрати всіх K фахівців з ІБ за годину, задіяних

вусуненні наслідків атаки – ZСИБ. Крім того, у цьому процесі можуть брати участь і X зовнішніх експертів, оплата яких в 2–5 разів вище оплати штатних фахівців. Усі фахівці з ІБ і експерти працюють одночасно, тому що визначальним фактором є мінімізація часу повернення працездатного стану КМ, отже, облік грошових витрат на

годину, що працюють (тому що вони працюють не одночасно, а послідовно) за атакованим вузлом – ZС. Як правило, вважається, що за одним вузлом працює один співробітник (у більшості випадків).

Можна, звичайно, звести до нуля грошові витрати (зарплату) для них. У цьому випадку повинна бути використана погодинна оплата співробітників.

5. Сумарний економічний ефект від діяльності всіх атакованих вузлів – ZЭВ за час Т складе

де bj – економічний ефект від діяльності атакованого j-го сервера.

6. Сумарні грошові витрати на заміну мережного устаткування або

7.Формули 3.10 – 3.13 визначають проміжні грошові витрати, що виникають в організації в результаті атаки за час T, обумовлене виразами 3.6 – 3.9.

8.Таким чином, сумарні грошові витрати простою КМ організації (втрати, збиток) у результаті атаки – Z∑ за весь період часу Т складуть

здійсненні Y (маємо на увазі, що атаки однакові за наслідками, інакше, розрахунки повинні вестися для кожної атаки окремо) атак зі своїми коефіцієнтами складності Li для сумарних грошових витрат простою КМ організації одержимо наступне вираження

Коефіцієнти складності Li визначаються фахівцями з ІБ експертним шляхом.

Приклад

Організація із чисельністю співробітників – 50 (середня організація). Кількість РС, що піддалися атаці – N=11 (два відділи, два сегменти). Кількість серверів, що піддалися атаці – S=2 (один центральний і один допоміжний сервер – друку, поштовий, файловий або резервний). Час бездіяльності i-го вузла (сервера або РС) внаслідок атаки, tiБ = 5 годин. Час відновлення i-го вузла (сервера або РС) після атаки, tiВ = 16 годин (2 робочих дня). Час, що затрачується на відновлення втраченої інформації на i-му вузлі (сервері або РС),

= 28 годин (3,5 робочих дня). Середня зарплата адміністратора ziСИБ = 1500 грн. Кількість фахівців, що брали участь у відновленні К=2 (адміністратор і його помічник). Кількість зовнішніх експертів Х=0 (відновлення здійснювалося власними силами). Середня зарплата

співробітника атакованого вузла, ziС = 1200 грн. Середня економічна вигода від діяльності атакованого i-го вузла з урахуванням віддачі співробітників, що працюють на цьому вузлі, bi = 5000 грн. Час, який витрачається на заміну мережного устаткування або запасних частин, tЗЧ = 1 година (оскільки це тільки заміна). Середня вартість виконуваних робіт із заміни мережного устаткування або запасних частин, СЗЧ = 120 грн. (це оплата праці фахівці сторонніх фірм). Вартість ремонту й відновлення мережного устаткування або запасних частин, ZРВ = 0 грн. (після атаки все устаткування або працювало, або його просто замінили на нове – зробили «апгрейд»). Атаки здійснюються однотипні, тому коефіцієнти складності однакові – приймаємо L=1. Кількість атак за рік, Y=7. Всі атаки за характером наслідків однакові.

Рішення

1.Загальна кількість атакованих вузлів на підприємстві, OПР = 13.

2.Сумарний час простою (бездіяльності) КМ (3.6), ТКС = 65

годин.

3.Сумарний час відновлення КМ (3.7), ТВ = 272 години.

4.Сумарний час відновлення загубленої інформації (3.8), ТВИ =

=364 години.

5.Сумарний час, що відводиться на повне обслуговування i-го вузла (3.9), Т = 702 години.

6.Сумарні грошові витрати на оплату послуг фахівців з ІБ за годину, задіяних в усуненні наслідків атаки (3.10), ZСИБ = 15,625 грн.

7.Кількість співробітників, що працюють за атакованим вузлом,

М = 4.

8.Сумарні витрати на заробітну плату за годину співробітників, що працюють за атакованим вузлом (3.11), ZС = 6,84 грн.

9.Сумарний економічний ефект за час Т від діяльності всіх атакованих вузлів (3.12), ZЭВ = 28 614,13 грн.

10.Сумарні грошові витрати на заміну мережного устаткування або запасних частин (3.13), ZЗЧ = 120 грн.

11.Сумарні грошові витрати за час Т, викликані простоєм КМ підприємства (втрати, збиток) у результаті однієї атаки (3.14), Z∑ =

=44 504,56 грн.

12.Сумарні грошові витрати простою КМ організації (втрати) у

результаті всіх атак (3.15) – при цьому оскільки атаки однотипні, тому

Z = Zі∑, Z = 311 531,92 грн.

У підсумку організація може втратити навіть третину млн. грн. у результаті мережних атак на її ресурси протягом року.

Таким чином, пропонована методика допоможе оцінити реальні грошові витрати, що виникають внаслідок кількаразових атак на ресурси фірми, а також підкаже які засоби ІБ необхідно використовувати, виходячи з вартості розрахованих витрат.

3.5.Методи оцінки ризиків

3.5.1.Оцінка ризиків для інформаційних ресурсів

На етапі аналізу ризиків визначається можливість зазнати збитків внаслідок порушення режиму ІБ, деталізуються характеристики (або складові) ризиків для інформаційних ресурсів і технологій. Результати аналізу використовуються у процесі вибору засобів захисту, оцінки ефективності існуючих і розроблюваних підсистем ІБ.

Під управлінням ризиками розуміється процес ідентифікації і зменшення ризиків, які можуть впливати на інформаційну систему (або ОІД).

Концепції аналізу й управління ризиками були запропоновані багатьма великими організаціями, що займаються проблемами ІБ. Першою спробою в цій сфері став британський стандарт BS 7799 «Практичні правила управління інформаційною безпекою» (1995), в якому узагальнений досвід забезпечення режиму ІБ в інформаційних системах різного профілю. Цей стандарт послужив основою для розробки нового стандарту ISO 17799, який був прийнятий наприкінці

2000 р.

Існують аналогічні стандарти різних організацій і відомств, зокрема, німецький стандарт BSI [140]. Зміст цих документів в основному відноситься до етапу аналізу ризиків, на якому визначаються загрози безпеки і вразливості інформаційних ресурсів, уточнюються вимоги до режиму ІБ.