Содержание к диссертации
Введение
Глава 1. Анализ современного состояния в области обеспечения информационной безопасности образовательного учреждения 9
1.1. Законодательная и нормативно-правовая база в области обеспечения информационной безопасности организации 9
1.2. Общие требования к формированию политики безопасности организации 14
1.3. Методы и инструментальные средства анализа и управления рисками 22
1.4. Применение методов когнитивного моделирования для анализа и управления рисками 36
Выводы по 1-й главе. Цель и задачи исследований 40
Глава 2. Построение и анализ системных моделей для оценки уровня информационной безопасности вуза 42
2.1 Системный подход к построению системы управления информационной безопасностью вуза 42
2.2 Функциональное моделирование бизнес-процессов вуза 47
2.3 Классификация угроз и построение модели злоумышленника . 56
2.4 Выявление уязвимостей информационной системы 70
2.5 Выявление видов ущерба информационным активам 73
Выводы по 2-ой главе 74
Глава 3. Разработка нечетких когнитивных моделей для анализа и управления информационными рисками вуза 76
3.1 Общая процедура построения нечетких когнитивных карт 76
3.1.1 Методика получения количественных и качественных оценок 78
3.1.2 Определение списка концептов НКК 81
3.2 Разработка НКК для оценки информационных рисков вуза 84
3.2.1 Оценка риска по НКК 88
3.2.2 Введение управляющих воздействий 91
3.3 Построение НКК для оценки рисков структурных подразделений вуза . 96
3.3.1 Построение НКК для оценки рисков деканата 96
3.3.2 Построение НКК для оценки рисков отдела интеллектуальной собственности 107
3.4 Динамическое моделирование НКК 116
Выводы по 3-й главе 118
Глава 4. Анализ и управление информационными рисками вуза с использованием НКК 119
4.1 Методика анализа и управления информационными рисками вуза с помощью НКК 119
4.2 Программная реализация процедуры моделирования задачи оценки и управления информационными рисками 125
4.3 Структура системы поддержки принятия решений по анализу и управлению рисками вуза 138
Выводы по 4-й главе 142
Заключение 144
Список литературы
- Общие требования к формированию политики безопасности организации
- Функциональное моделирование бизнес-процессов вуза
- Методика получения количественных и качественных оценок
- Программная реализация процедуры моделирования задачи оценки и управления информационными рисками
Введение к работе
Актуальность темы
Одной из важнейших составляющих успешного развития общества является защищенность его информационных ресурсов. Информация в современном информационном обществе становится одним из ключевых элементов бизнеса, она становится предметом купли-продажи, обладающим стоимостными характеристиками. Любые процессы в финансово-промышленной, политической или социальной сфере сегодня напрямую связаны с информационными ресурсами и использованием информационных технологий.
Современные информационные технологии предлагают неограниченные возможности для развития бизнеса, предоставляя необходимую для принятия решений информацию нужного качества и в нужное время. Информация, критичная для бизнеса, должна быть доступной, целостной и конфиденциальной. В то же время, в связи с возрастающей сложностью информационных систем и используемых в них информационных технологий, возрастает и количество уязвимостей и потенциальных угроз этим системам.
Очевидно, что вопросы информационной безопасности сегодня актуальны не только для правительственных и коммерческих структур. В последнее время в связи с коммерциализацией отечественных вузов и тенденциями выхода российского образования на европейский и мировой рынок образовательных услуг остро стоит вопрос об обеспечении устойчивого функционирования и повышении конкурентоспособности образовательных учреждений.
В соответствии с федеральной программой развития науки и инноваций «Научно-технологическая база России» на 2007-2012 годы планируется развитие ведущих вузов страны не только как крупных учебных, но и как базовых научных центров с привлечением крупного и среднего бизнеса к организации учебного процесса и научных исследований. В связи с этим задачи обеспечения защиты информационных ресурсов образовательного учреждения и связанные с ними вопросы анализа информационных рисков и управления ими приобретают особую актуальность.
Объект исследования - система защиты информации высшего учебного заведения.
Предмет исследования - методическое, алгоритмическое и программное обеспечение системы защиты информации.
Цель и задачи исследования
Целью исследований работы является повышение эффективности управления информационной безопасностью (ИБ) вуза на основе разработки моделей и алгоритмов анализа и управления информационными рисками с использованием технологий когнитивного моделирования.
Для достижения этой цели требуется решить следующие задачи:
1. Провести системный анализ бизнес-процессов вуза как объекта защиты и определить требования к обеспечению информационной безопасности вуза.
2. Разработать комплекс моделей, определяющих основные компоненты информационных рисков вуза (модели угроз, злоумышленников, уязвимостей, ущерба).
3. Разработать алгоритмы анализа и управления информационными рисками вуза с использованием нечетких когнитивных карт.
4. Разработать инструментальные программные средства для оценки уровня информационных рисков вуза и выбора необходимых контрмер для управления информационной безопасностью.
Методы исследования
При решении поставленных в работе задач использовались методы системного анализа, теории когнитивного моделирования, теории графов, нечеткой логики, имитационного моделирования, автоматизированного проектирования информационных систем, а также методы программирования.
Результаты, выносимые на защиту
1. Функциональные и информационные модели бизнес-процессов вуза, определяющие основные требования к его информационной безопасности.
2. Комплекс системных моделей, определяющих основные компоненты информационных рисков вуза.
3. Алгоритмы анализа и управления информационными рисками вуза на основе нечетких когнитивных карт.
4. Программное обеспечение для автоматизации анализа и управления информационными рисками вуза на основе построения нечетких когнитивных карт.
Научная новизна
Научная новизна работы состоит в том, что анализ и управление информационной безопасностью, в отличие от существующих подходов, предложено проводить с помощью построения нечеткой когнитивной карты исследуемого объекта. При этом:
1. Для определения списка концептов, требуемых для исследования, предложено провести системное моделирование бизнес-процессов исследуемого объекта на основе &4 Г-технологии, которое позволяет выявить взаимосвязи и информационное содержание этих процессов, произвести классификацию основных информационных активов вуза, определить наиболее значимые информационные ресурсы и требуемый уровень их защищенности.
2. Для определения степени влияния концептов друг на друга предложено построение системных моделей, определяющих основные компоненты риска (модель угроз, злоумышленников, уязвимостей, потенциального ущерба), которые позволяют учесть специфику и сложившийся уровень информационной безопасности вуза и его структурных подразделений, дать более точную оценку угроз на информационную систему вуза.
3. Предложен алгоритм анализа информационных рисков вуза, основанный на использовании математического аппарата нечетких когнитивных карт, позволяющий получить не только качественную, но и количественную оценку влияния различных дестабилизирующих факторов (угроз) на величину потенциального ущерба от действия этих угроз, определить состав необходимых контрмер (средств защиты) для управления информационными рисками с учетом ограничений на выделенные ресурсы, а также эффективность вводимых мероприятий.
Практическая значимость и внедрение результатов работы
Предложенные алгоритмы анализа и управления информационными рисками, основанные на построении нечетких когнитивных карт вуза как для вуза в целом, так и для его структурных подразделений, позволяют определить наиболее уязвимые места информационной системы и выбрать необходимые контрмеры для снижения информационных рисков.
Разработанные инструментальные программные средства для анализа и управления информационными рисками на основе построения нечетких когнитивных карт позволяют автоматизировать процессы когнитивного моделирования и сократить в 1,5...2 раза время оценки рисков и выработки необходимых контрмер по управлению информационной безопасностью вуза. Получены 4 свидетельства РосАПО об официальной регистрации программ для ЭВМ.
Разработанная методика оценки информационных рисков вуза и реализующие ее инструментальные программные средства внедрены в учебный процесс подготовки специалистов по специальности 090104 «Комплексная защита объектов информатизации».
Апробация работы
Основные положения диссертационной работы докладывались и обсуждались на следующих научных конференциях:
- 6-й международной научно-технической конференции «Проблемы техники и технологии телекоммуникаций», Уфа, 2005.
- Международной научно-технической конференции «Информационно-вычислительные технологии и их приложения», Пенза, 2005.
- Второй Международной научно-практической конференции «Исследование, разработка и применение высоких технологий в промышленности», Санкт-Петербург, 2006.
- Российской научно-технической конференции «Мавлютовские чтения», Уфа, 2006.
- XVI Всероссийской научно-методической конференции «Актуальные проблемы качества образования и пути их решения», Москва, 2006.
- VIII Международной научно-практической конференции «Информационная безопасность», Таганрог, 2006.
- Международных научных конференциях «Компьютерные науки и информационные технологии», Карлсруэ, Германия, 2006; Уфа, 2007.
Публикации
Список публикаций по теме диссертации содержит 17 работ, в том числе 13 статей и материалов научно-технических конференций, из них 2 статьи в изданиях из перечня ВАК РФ, 4 свидетельства об официальной регистрации программ для ЭВМ.
Структура и объем работы
Диссертационная работа состоит из введения, четырех глав, заключения, библиографического списка и изложена на 159 страницах машинописного текста. Библиографический список включает 144 наименований литературы.
Общие требования к формированию политики безопасности организации
Теория и практика информационной безопасности в последние годы широко развиваются в нашей стране [40-44,47-50,55,70,75,86,90,91,93,108, 114,117]. При этом основополагающим документом, определяющим цели, задачи и механизмы управления защитой информации на уровне организации (предприятия), является политика безопасности {security policy). В [77-79] описаны различные подходы к построению политики безопасности на примере таких ведущих мировых компаний, как IBM, Sun Microsystems, Cisco Systems, Microsoft, SANS. Рассмотрим некоторые из этих подходов.
Компания Sun под политикой безопасности понимает стратегический документ, в котором ожидания и требования руководства компании к организации режима информационной безопасности выражаются в определенных измеримых и контролируемых целях и задачах. При этом рекомендуется реализовать подход «сверху-вниз», то есть сначала разработать политику безопасности компании, а затем приступать к построению соответствующей архитектуры корпоративной системы защиты информации. Основное назначение политики безопасности - информирование сотрудников и руководства компании о существующих требованиях по защите информационных активов (ресурсов) компании. Политика безопасности применяется ко всем компонентам ИС компании и содержит следующие разделы: Состав и структура информационных активов компании; Классификация и категорирование информационных активов; Определение владельцев информационных активов; Анализ угроз и информационных рисков; Выработка требований к защите конфиденциальной информации; Определение принципов, подходов и способов организации требуемого режима информационной безопасности; Создание требуемого режима информационной безопасности компании; Поддержка режима информационной безопасности компании. Компания Cisco Systems также рекомендует начинать создание сетевой по литики безопасности с оценки рисков сети и организации специальной рабочей группы по реагированию на те или иные инциденты, возникающие в ИС. Цель анализа рисков состоит в том, чтобы категорировать информационные активы (ресурсы) компании, определить наиболее значимые угрозы и уязвимости этих активов и обоснованно выбрать соответствующие контрмеры безопасности. Подразумевается, что это позволит найти и поддерживать приемлемый баланс между безопасностью и требуемым уровнем доступа к сети. Политика безопасности Cisco Systems различает следующие уровни информационных рисков:
Низкий уровень риска. Информационные системы и данные, будучи скомпрометированы (доступны для изучения неавторизованными лицами, повреждены или утеряны), не приведут к серьезному ущербу, финансовым проблемам или к проблемам с правоохранительными органами;
Средний уровень риска. Информационные системы и данные, будучи скомпрометированы, приведут к умеренному ущербу или к небольшим проблемам с правоохранительными органами, или к умеренным финансовым проблемам, а таюке к получению дальнейшего доступа к другим системам. Затронутые системы и информация требуют умеренных усилий по восстановлению;
Высокий уровень риска. Информационные системы и данные, будучи скомпрометированы, приведут к значительному ущербу или к серьезным проблемам с правоохранительными органами, или к финансовым проблемам, нанесению ущерба здоровью и безопасности сотрудников. Затронутые системы и информация требуют существенных усилий по восстановлению.
Политика безопасности выделяет пять типов пользователей ИС: 1. Администраторы - внутренние пользователи, отвечающие за сетевые ресурсы; 2. Привилегированные пользователи - внутренние пользователи с необходимостью высокого уровня доступа; 3. Рядовые пользователи - внутренние пользователи с обычным уровнем доступа. 4. Партнеры - внешние пользователи с необходимостью доступа к некоторым ресурсам; 5. Другие пользователи - внешние пользователи или клиенты. Определение уровней рисков и типов доступа, требуемых для каждой сети, позволяет сформировать некоторую матрицу безопасности (таблица 1.1).
Центральным банком России с 1 января 2006 г. введен в действие корпоративный стандарт СТО БР ИББС-1.0-2006 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения», разработанный на базе ряда отечественных и международных стандартов информационной безопасности, таких как ГОСТ Р ИСО/МЭК 15408, TSO/IEC 17799, ISO/IEC 27001, BSIPAS-56, СОВІТ [7].
С целью обеспечения и поддержания высокого уровня информационной безопасности организаций банковской системы (БС) этот стандарт вводит регулярную оценку уровня ИБ. При этом степень необходимой защищенности информационной сферы («зрелости» организации определяется анализом и оценкой рисков ИБ, которые согласовываются с рисками основной (бизнес-) деятельности организации БС РФ. На основании такого анализа разрабатывается комплекс мер, необходимый для управления этими рисками. Для минимизации рисков ИБ разрабатывается политика информационной безопасности организации, которая строится на основе точного прогноза нарушения ИБ (составление модели угроз и модели нарушителя), идентификации активов, подлежащих защите, оценки рисков с учетом особенностей бизнеса и технологий, а также интересов конкретного собственника. В соответствии с ней реализуется, эксплуатируется и совершенствуется система управления ИБ организации БС.
Функциональное моделирование бизнес-процессов вуза
Имеется ряд публикаций, в которых рассмотрены вопросы построения системных функциональных моделей для отдельных аспектов учебного процесса образовательного учреждения. Так, в работах [14,65] рассматривается методика построения функциональной модели для организации поддержки принятия решений при управлении бизнес-процессами, в том числе вуза. В [66] приводится пример реализации данного похода для одного из типовых бизнес-процессов вуза - планирования учебной нагрузки на кафедре. Вместе с тем, в известной литературе вопросам системного моделирования вуза как объекта защиты пока не уделено должного внимания.
Учитывая, что современный вуз представляет собой сложную иерархическую систему, определим функции его верхнего иерархического уровня в соответствии с миссией, целями и задачами, поставленными перед вузом. Соответствующая функциональная модель IDEFQ начального уровня приближения (контекстная диаграмма) показана на рисунке 2.6. Контингент студентов Планы министерств Запросы работодателей. Материальные ресурсы Финансовые ресурсы-Информационные ресурсі Выпускаемые специалисты Научная продукция . Дополнительные услуги Инновационные palp збої ни Промышленные раз рабски Международ-ые контакты Социальная лкяішіьнасть ВТ Специализированное оборудование Преподаватели Учебно-метрдичесчое обеспечение Рисунок 2.6 -Функциональная модель вуза (контекстная диаграмма) Следующий уровень декомпозиции функциональной модели IDEF0 определяет основные бизнес-процессы вуза. К основным процессам (то есть процессам, относящимся к его основной деятельности), согласно миссии и уставу вуза, относятся: образовательная деятельность; научно-исследовательская деятельность; международная деятельность; финансово-экономическая деятельность; социальная деятельность; инновационная деятельность. К вспомогательным процессам, обеспечивающим основные бизнес-процессы, относятся: финансово-хозяйственная деятельность; информационная деятельность; режимная деятельность.
Следующий уровень декомпозиции функциональной модели вуза рассматривает детализацию выполнения перечисленных выше бизнес-процессов. На рисунке 2.9 приведена функциональная модель, раскрывающая содержание основных этапов организации учебного процесса в вузе. Дальнейшая декомпозиция функциональной модели организации учебного процесса в вузе должна заключаться в раскрытии отдельных функциональных блоков, представленных на рисунке 2.9, на уровне учебного управления, факультета, кафедры.
Функциональная модель организации учебного процесса потеря которых может сказаться на жизнедеятельности вуза, и определение эффективных мер защиты этих ресурсов. Информационная модель представляет логическую структуру информации об объекте исследования, которая позволяет проследить происхождение, наследование и развитие информационных потоков объекта. Одна из целей создания информационной модели согласно методологи IDEFXX состоит в выработке непротиворечивой интерпретации данных и взаимодействия между ними для интеграции, совместного использования и управления целостностью данных. На рисунке 2.10 приведено построение такой информационной модели на примере одного из видов учебных бизнес-процессов вуза - рубежного контроля знаний студентов.
Построение комплекса информационных моделей позволяет идентифицировать задействованные информационные активы и провести их категориро-вание, в том числе по степени конфиденциальности.
Документы, фиксирующие результаты промежуточного и рубежного контроля знаний студентов, несомненно, представляют интерес для потенциальных злоумышленников. Часть этих документов хранится у студентов (зачетная книжка), некоторые виды документов сосредоточены на кафедре (промежуточный контроль) в виде журналов (файлов), фиксирующих посещение лекций, выполнение и защиту лабораторных работ, выполнение контрольных работ, сдачу коллоквиумов, курсовых работ и пр. Наиболее важная часть документов выдается и фиксируется деканатом. Таким образом, исследование деканата с точки зрения его информационной безопасности представляет несомненный интерес. Далее будет более подробно рассмотрен анализ информационных потоков типового деканата с точки зрения выявления его информационных активов, построения модели потенциального злоумышленника, выявления уязвимо-стей его информационной системы.
Методика получения количественных и качественных оценок
При построении НКК и оценке информационных рисков целесообразно использовать метод экспертных оценок. Эксперты должны привлекаться на всех этапах построения НКК, включая: 1. Определение списка концептов. 2. Установление причинно-следственных связей между концептами. 3. Установление силы (веса) связей между концептами. 4. Определение переменных состояния концепта. Известно, что субъективная вероятность, получаемая экспертным путем, существенно зависит от используемого метода. В настоящее время существует множество способов организации экспертиз, методов получения количественных и качественных экспертных оценок, агрегирования полученных результатов [97].
При выборе метода получения экспертных оценок в данной работе учитывалось следующее. Эксперты, привлекаемые из вуза, имеют, как правило, хорошую математическую подготовку и знания проблем образовательного процесса, однако имеют разный уровень знаний в области информационных технологий и защиты информации. Поэтому была введена оценка значимости каждого эксперта, определяемая по самооценке и взаимооценке, которую члены экспертной группы давали друг другу по пятибалльной шкале.
Определение списка концептов и установление причинно-следственных связей между концептами проводилось с помощью технологии data mining, позволяющей отбросить избыточные факторы, слабо связанные с «ядром» базисных факторов. Экспертам предлагался список концептов, определяющих состояние информационной безопасности в исследуемой области. Из множества первоначально отобранных базисных факторов, эксперты определяли важность каждого из концептов, после чего формировался окончательный перечень концептов, составляющих основу НКК (отбрасывание шло по частоте упоминания). Определение переменных состояния концепта проводилось аналогичным способом.
Определение списка концептов НКК Определение перечня концептов и их переменных состояния является сложной задачей. На основе проведенного во 2-й главе системного моделирования вуза как объекта защиты, имеющего своей целью анализ возможных угроз и уязвимостей ИС, а также выявление потенциального ущерба от реализации этих угроз, были выделены основные концепты НКК, определяющие ситуацию информационной защиты в вузе. При определении перечня этих концептов учитывались результаты анкетирования подразделений вуза и мнения ведущих экспертов по ИБ. Все концепты НКК было предложено разделить на следующие пять типов (классов): 1) информационные активы {Ст}, нуждающиеся в защите, потеря которых может принести значительный ущерб; 2) дестабилизирующие факторы {С ;}, представляющие собой различные угрозы (опасности) информационной безопасности; 3) промежуточные, или сенсорные, концепты-индикаторы (базисные факторы) {Сі}, по которым можно судить о тенденциях, происходящих в системе и оказывающих влияние на уровень ИБ; 4) целевые факторы {С Д, определяющие состояние бизнес-процессов организации, критичных для успешного функционирования вуза; 5) управляющие факторы {С\}, с помощью которых вносятся стабилизирующие воздействия в систему, оказывающие положительное влияние на уровень ИБ.
Рассмотрим указанные факторы (классы концептов) более подробно. Целевые факторы. Данные факторы определяют качество выполнения основных бизнес-процессов, оказывающих наибольшее влияние на жизнедеятельность вуза.
Поскольку основные функции вуза связаны с воспитанием и подготовкой высококвалифицированных кадров, а также проведением перспективных научных исследований [6,9], то жизненно важные интересы вуза связаны, в первую очередь, с обеспечением таких его потребностей, как: поддержание высокого качества учебного процесса и НИР; наличие высококвалифицированного профессорско-преподавательского состава; обеспечение современного уровня материально-технической базы; использование современных информационных и обучающих технологий; морально-психологическая устойчивость коллектива; высокий имидж (реноме) вуза и др. Таким образом, для вуза в целом и для его подразделений перечисленные факторы можно определить в качестве основных целевых концептов при построении НКК для оценки рисков.
Информационные активы. Список концептов, определяющих защищаемые информационные активы, определяется на основании анализа и идентификации активов в исследуемом объекте (см. главу 2). К ним относятся: а) информация ограниченного доступа, составляющая государствен ную, коммерческую или служебную тайну, содержащаяся на бумажных, магнитных или оптических носителях; информационные массивы, базы дан ных и технологии, программное обеспечение; б) средства и системы информатизации (ПЭВМ, автоматизированные и вычислительные системы различного назначения, средства передачи, размножения и отображения информации, вспомогательные технические средства и системы). Дестабилизирующие факторы определяют основные угрозы информационным активам, потеря или несанкционированная модификация которых может нанести материальный ущерб информационным активам или другой вид потерь. Эти угрозы выявляются при анализе и построении моделей информационных потоков (бизнес-процессов), построенных с помощью IDEF-технологий, и моделей злоумышленника. Как правило, к этим факторам относятся хищение, фальсификация информации, подделка, разглашение данных, вирусы, программно-аппаратные сбои и др.
Промежуточные концепты-индикаторы (базисные факторы) определяют состояние основных бизнес-процессов, оказывающих влияние на результаты деятельности вуза. Это могут быть такие концепты, как обеспеченность учебного процесса и НИР вычислительной техникой, успеваемость студентов, соблюдение графика учебного процесса, эмоционально-психологическое состояние коллектива, уровень заработной платы преподавателей и сотрудников и т.п.
Управляющие факторы представляют собой контрмеры (как правило, организационные мероприятия, технические или программно-аппаратные средства), которые необходимо внести в СУИБ для блокирования угроз или предотвращения ущерба в соответствии с целями управления рисками.
С позиции когнитивного моделирования, целями анализа и управления информационными рисками является выявление и минимизация степени воздействия угроз (дестабилизирующих факторов) на базисные и целевые факторы. Как показал анализ информационной системы вуза и возможных потерь (от действия угроз), целесообразно строить НКК в классе иерархических когнитивных моделей для трех уровней оценки ущерба - уровня вуза в целом (верхний уровень), уровня структурных подразделений (средний уровень) и уровня информационных ресурсов пользователей (нижний уровень).
Программная реализация процедуры моделирования задачи оценки и управления информационными рисками
Последовательно задаются названия всех концептов, затем стрелками указывается начало и конец связи между концептами с заданием его веса в диапазоне [0, 1]. Для целевых факторов дополнительно задается их стоимость в условных единицах (рисунок 4.3). Использование технологии "drag-and-drop" позволяет удобно размещать концепты на карте, производить обмен данными между концептами путем «перетаскивания», что значительно упрощает использование программы. На рисунке 4.4 представлен вид окна программы с построенной когнитивной картой деканата. По построенной НКК программа рассчитывает значения полных эффектов влияния угроз на целевые факторы T({CUi}— Cfj) по формуле (3.6); определяет относительную значимость Vj по заданной стоимости целевых факторов; оценивает риски, действующие на отдельные целевые факторы Rjj по формуле (3.9), а также общий риск R от действия всех возможных угроз на все целевые факторы.
Расчетная часть представляет собой таблицу, в которой рассчитаны значения полных эффектов для каждой связки угроза—целевой фактор, значения общей уязвимости целевых факторов, относительной значимости целевых факторов и риска для каждого целевого фактора. Завершается расчетная часть результатом общего риска рассматриваемой системы. Графическая часть представлена гистограммой, которая визуально отображает значения рисков для каждого целевого фактора в условных единицах. Так, например, анализ представленной на рисунке 4.4 когнитивной карты деканата при заданных концептах и заданной силе связи между концептами показывает, что наибольшей уязвимости подвержены концепты «Реноме университета» (0,7) и «Качество образования» (0,6).
Программный продукт RiskManagement выполняет задачу управления рисками. Входными данными для программы являются результаты расчетов рисков, которые считываются из файла-отчета модуля CognitiveRiskAnalizer и допустимый уровень риска Лдоп.. В программе используется база решений (контрмер), которая может изменяться и дополняться. Запуск программы начинается с загрузки базы решений и входных данных (рисунок 4.7).
Программное средство FCM Builder представляет собой универсальное решение для автоматизации анализа и управления рисками с использованием НКК и объединяет в себе задачи указанных выше программ CognitiveRiskAnal-izer и RiskManagement. Эта программа позволяет строить нечеткие когнитивные карты, проводить с их помощью анализ информационных рисков и обосновывать выбор состава необходимых контрмер. В результате работы программы строится диаграмма информационных рисков до введения и после введения контрмер, что наглядно отображает итоги работы с нечеткой когнитивной картой. Входной информацией в программе являются числовые и/или текстовые данные. Выходной информацией являются: - нечеткая когнитивная карта; - матрица достижимости; - полные эффекты (до и после внедрения контрмер); - информационные риски (до и после внедрения контрмер).
Разработанная методика анализа и управления информационной безопасностью вуза с использованием нечетких когнитивных карт позволяет: 1) оценить текущее состояние ИБ вуза и достаточность организационных, процедурных и технических средств защиты по заданию допустимого уровня рисков; 2) выявить наиболее опасные угрозы и уязвимости, влияющие на информационную (бизнес-процессы) систему вуза; 3) оценить возможный ущерб от действия угроз на его информационную систему; 4) дать экономическую оценку необходимых затрат на организацию мероприятий по обеспечению ИБ вуза, обосновать перед руководством размер необходимых вложений; 5) быстро адаптироваться к новым внешним и внутренним угрозам и информационным технологиям; 6) дать эффективный и простой механизм принятия решений для службы, занимающейся обеспечением ИБ вуза. Как уже отмечалось, обеспечение ИБ, основанное на методологии анализа и управления ИБ с использованием НКК, состоит из процедур оценки риска и выбора комплекса мер по достижению приемлемого (заданного) уровня. Управление рисками позволяет найти разумный баланс между стоимостью средств/мер защиты и требованиями непрерывности бизнеса.
Структура перспективной системы поддержки принятия решений (СППР) по обеспечению безопасности информационной системы вуза (рисунок 4.21) состоит их трех основных подсистем: информационной базы СППР, блока моделирования и анализа рисков и блока управления рисками. Информационная база СППР состоит из базы данных и базы знаний. В базу данных вуза должны входить: типовые требования к ИБ и база принятых политик безопасности; база стандартов в области ИБ; база правил и процедур ИБ (реагирование на инциденты, резервное копирование, предоставление доступа, оформление новых сотрудников и т.д.) инструкции и руководства (инструкции пользователям, по антивирусной защите, по работе в сети Интернет, по защищенному удаленному доступу, по резервному копированию, по действиям в чрезвычайных ситуациях и т.д.) база данных (характеристик) существующих технических механизмов и программно-аппаратных средств защиты; нормативно-распорядительные документы в области ИБ.
