Цель работы: изучить методику расчёта показателя качества системы защиты информации.
Теоретическая часть
Модель комплексной оценки СЗИ
-
Модель СЗИ представлена в виде следующих основных блоков показателей:
- «Основы»;
- «Направления»;;
- «Этапы».
Блок показателей «Основы» (Oi)
-
Проведенный анализ основных подходов к созданию СЗИ позволяет выделить следующую группу показателей:
- O1. Нормативно-правовая и научная база;
- O2. Структура и задачи органов;
- O3. Организационные меры и методы (политика безопасности);
- O4. Программно-технические способы и средства.
-
Проведенный анализ существующих способов и методов защиты информации позволяет выделить следующие основные показателей создания и оценки СЗИ:
- H1. Защита объектов корпоративных систем;
- H2. Защита процессов, процедур и программ обработки информации;
- H3. Защита каналов связи;
- H4. Подавление побочных электромагнитных излучений;
- H5. Управление системой защиты.
-
На основе проведенного анализа предлагается рассмотрение следующих показателей создания СЗИ, подлежащих оценке:
- M1. Определение информации, подлежащей защите;
- M2. Выявление полного множество потенциально возможных угроз и каналов утечки информации;
- M3. Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;
- M4. Определение требований к системе защиты;
- M5. Осуществление выбора средств защиты информации и их характеристик;
- M6. Внедрение и организация использования выбранных мер, способов и средств защиты;
- M7. Осуществление контроля целостности и управление системой защиты.
Структура модели оценки СЗИ наглядно показана на рисунке 1. Она заключается в логическом объединении показателей блоков «ОСНОВЫ», «Направления» и «Этапы» в «Матрицу знаний (оценок)», состоящую из К элементов.
Методика оценки качества СЗИ на основе матрицы знаний
Особенностью частных показателей является то, что все они имеют качественный характер, т.е. не имеют точного количественного измерения. Поэтому при оценке одного и того же показателя несколькими экспертами могут возникать разные мнения. Кроме того, эксперт не всегда способен словесно оценить частный показатель, хотя интуитивно ощущает его уровень.
Мероприятия по обеспечению защиты информации.
Защита от утечки конфиденциальной информации сводится к выявлению, учету и контролю возможных каналов утечки в конкретных условиях и к проведению организационных, организационно-технических и технических мероприятий по их ликвидации.
Защита от несанкционированного доступа к конфиденциальной информации обеспечивается путем выявления, анализа и контроля возможных способов несанкционированного доступа и проникновения к источникам конфиденциальной информации и реализацией организационных, организационно-технических и технических мероприятий по противодействию нсд.
Организационная защита информации - это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией, и включает в себя организацию режима охраны, организацию работы с сотрудниками, с документами, организацию использования технических средств и работу по анализу угроз информационной безопасности.
При разработке СЗИ так же следует принимать во внимание то, что вся система состоит из более мелких систем. К ним относится подсистема управления доступом, подсистема регистрации и учета, криптографическая защита информации и подсистема обеспечения целостности.
-
Общие принципы организации защиты конфиденциальной
информации, применяемые при разработке СЗИ:
- Непрерывность
- Комплекс
- Достаточность
- Согласованность
Контрольные вопросы
Нарисуйте структуру модели оценки СЗИ. СМ. отчет
Опишите принцип формирования матрицы знаний (оценок). Она заключается в логическом объединении показателей блоков «ОСНОВЫ», «Направления» и «Этапы» в «Матрицу знаний (оценок)», состоящую из К элементов. А сам элемента матрицы 321, формируется с учетом следующих показателей: • 3 – Проведение оценки уязвимости и рисков (показатель № 3 блока «Этапы»); • 2 – Защита процессов и программ (показатель № 2 блока «Направления»); • 1 – Нормативная база (показатель № 1 блока «Основы»).
Опишите принцип формирования частных оценок защищенности каналов связи УВ общем случае для «Матрицы экспертных оценок» формируется 140 вопросов (по числу ее элементов). Ответы на эти вопросы позволяют составить полное представление о СЗИ и оценить достигнутый уровень защиты. Показатель уровня защиты СЗИ предлагается определять методом экспертных оценок, используя положения теории нечеткой логики и нечетких утверждений.
Что называется «Матрица полноты и качества»? Матрицы количественных и качественных оценок уровня защищенности, позволят наглядно оценить степень выполнения требований по защите информации. Это дает возможность определить сильные и слабые места в СЗИ.
Нарисуйте логическое дерево вывода оценкиуровня защищенности ИС. СМ. отчет