Основы информационной безопасности_Сычев Ю.Н_Уч.-практ. пос_ЕАОИ. Международный консорциум Электронный университет Московский государственный университет экономики, статистики и информатики
 Скачать 2.05 Mb.
|
|
5.9. Методы защиты информации от аварийных ситуаций Защита информации от аварийных ситуаций заключается в создании средств предупреждения, контроля и организационных мер по исключению НСД на комплексе средств автоматизации в ус- ловиях отказов его функционирования, отказов системы защиты информации, систем жизнеобеспечения людей на объекте размеще- ния и при возникновении стихийных бедствий. Практика показывает, что хотя аварийная ситуация – событие редкое (вероятность ее появления зависит от многих причин, в том числе не зависящих от человека, и эти причины могут быть взаимо- связаны), защита от нее необходима, так как последствия в результате ее воздействия, как правило, могут оказаться весьма тяжелыми, а по- тери – безвозвратными. Затраты на защиту от аварийных ситуаций могут быть относительно малы, а эффект в случае аварии – большим. Отказ функционирования АСОИ может повлечь за собой от- каз системы защиты информации, может открыться доступ к ее но- сителям, что может привести к преднамеренному разрушению, хи- щению или подмене носителя. Несанкционированный доступ к Методы и средства защиты компьютерной информации 187 внутреннему монтажу аппаратуры может привести к подключению посторонней аппаратуры, разрушению или изменению принципи- альной электрической схемы. Отказ системы жизнеобеспечения может привести к выводу из строя обслуживающего и контролирующего персонала. Стихийные бедствия: пожар, наводнение, землетрясение, удары молнии и т. д. – могут также привести к указанным выше последствиям. Аварийная ситуация может быть создана преднамеренно нарушителем. В по- следнем случае применяются организационные мероприятия. На случай отказа функционирования АСОИ подсистема кон- троля вскрытия аппаратуры снабжается автономным источником питания. Для исключения безвозвратной потери информации носи- тели информации дублируются и хранятся в отдельном удаленном и безопасном месте. Для защиты от утечки информация должна храниться в закрытом криптографическим способом виде. В целях своевременного принятия мер по защите системы жизнеобеспече- ния устанавливаются соответствующие датчики, сигналы с которых поступают на централизованные системы контроля и сигнализации. Наиболее частой и типичной естественной угрозой является пожар. Он может возникнуть по вине обслуживающего персонала, при отказе аппаратуры, а также в результате стихийного бедствия. 5.10. Организационные мероприятия по защите информации Организационные мероприятия по защите информации в АСОИ заключаются в разработке и реализации административных и организационно-технических мер при подготовке и эксплуатации системы. Организационные меры, по мнению зарубежных специали- стов, несмотря на постоянное совершенствование технических мер, составляют значительную часть (50%) системы защиты. Они исполь- зуются тогда, когда вычислительная система не может непосредст- венно контролировать использование информации. Кроме того, в некоторых ответственных случаях в целях повышения эффективно- сти защиты полезно иногда технические меры продублировать ор- ганизационными. Организационные меры по защите систем в процессе их функционирования и подготовки охватывают решения и процеду- Основы информационная безопасность 188 ры, принимаемые руководством организации – потребителя систе- мы. Хотя некоторые из них могут определяться внешними фактора- ми, например законами или правительственными постановлениями, большинство проблем решается внутри организации в конкретных условиях. В большинстве исследований, посвященных проблемам за- щиты информации, и в существующих зарубежных публикациях основное внимание уделялось либо правовому аспекту и связан- ным с ним социальным и законодательным проблемам, либо тех- ническим приемам решения специфических проблем защиты. По сравнению с ними организационным вопросам недоставало той четкой постановки, которая присуща техническим проблемам, и той эмоциональной окраски, которая свойственна правовым во- просам. Составной частью любого плана мероприятий должно быть четкое указание целей, распределение ответственности и перечень организационных мер защиты. Конкретное распределение ответст- венности и функций по реализации защиты от организации к орга- низации может изменяться, но тщательное планирование и точное распределение ответственности являются необходимыми условиями создания эффективной жизнеспособной системы защиты. Организационные меры по защите информации в АСОИ долж- ны охватывать этапы проектирования, разработки, изготовления, ис- пытаний, подготовки к эксплуатации и эксплуатации системы. В соответствии с требованиями технического задания в орга- низации проектировщике наряду с техническими средствами раз- рабатываются и внедряются организационные мероприятия по за- щите информации на этапе создания системы. Под этапом создания понимаются проектирование, разработка, изготовление и испыта- ние системы. При этом следует отличать мероприятия по защите информации, проводимые организацией-проектировщиком, разра- ботчиком и изготовителем в процессе создания системы и рассчи- танные на защиту от утечки информации в данной организации, и мероприятия, закладываемые в проект и разрабатываемую докумен- тацию на систему, которые касаются принципов организации защи- ты в самой системе и из которых вытекают организационные меро- приятия, рекомендуемые в эксплуатационной документации орга- низацией-разработчиком, на период ввода и эксплуатации системы. Выполнение этих рекомендаций есть определенная гарантия защи- ты информации в АСОИ. Методы и средства защиты компьютерной информации 189 К организационным мероприятиям по защите информации в процессе создания системы относятся: организация разработки, внедрения и использования средств; управление доступом персонала на территорию, в здания и помещения; введение на необходимых участках проведения работ с режи- мом секретности; разработка должностных инструкций по обеспечению режи- ма секретности в соответствии с действующими в стране инструк- циями и положениями; при необходимости выделение отдельных помещений с ох- ранной сигнализацией и пропускной системой; разграничение задач по исполнителям и выпуску документации; присвоение грифа секретности материалам, документации, аппаратуре и хранение их под охраной в отдельных помещениях с учетом и контролем доступа исполнителей; постоянный контроль за соблюдением исполнителями режи- ма и соответствующих инструкций; установление и распределение ответственных лиц за утечку информации. Организационные мероприятия, закладываемые в инструк- цию по эксплуатации на систему и рекомендуемые организации- потребителю, должны быть предусмотрены на периоды подготовки и эксплуатации системы. Указанные мероприятия как метод защиты информации предполагают систему организационных мер, дополняющих и объ- единяющих перечисленные выше технические меры в единую сис- тему безопасности информации. 5.11. Организация информационной безопасности компании При организации информационной безопасности компании принимается политика безопасности. На основе принятой политики информационной безопасности компании определяются наиболее опасные угрозы, пути их реализации и способы нейтрализации ха- рактерные для конкретной автоматизированной системы обработки информации (АСОИ). Основы информационная безопасность 190 Таблица 5.1 Угрозы системе электронного документооборота (при автоматизированной обработке) Угроза Атака Время проведе- ния атаки Объект атаки (местоположение атакуемого) Субъект атаки (ме- стоположение ата- кующего) Код уг- розы Модифика- ция элек- тронных документов (ЭД) Изменение ПО Вне процесса функционирова- ния системы Любая станция ЛВС Эта же станция ЛВС И1 Любая станция ЛВС Сервер (через LOGIN SCRIPT) Почтовый сервер Почтовый сервер Любая станция ЛВС Сервер С любой станции ЛВС Неправильный ввод ЭД В процессе функ- ционирования системы Любая станция ЛВС Эта же станция ЛВС И2 Любая станция ЛВС Сервер (через LOGIN SCRIPT) Внедрение про- граммной за- кладки В процессе функ- ционирования системы Любая станция ЛВС Эта же станция ЛВС И3 Любая станция ЛВС Сервер (через LOGIN SCRIPT) Почтовый сервер Почтовый сервер Любая станция ЛВС Сервер Любая станция ЛВС Перехват ЭД В процессе функ- ционирования системы Сервер Любая станция ЛВС И4 В процессе пере- дачи данных Сеть передачи данных Промежуточные узлы И5 Методы и средства защиты компьютерной информации 191 Угроза Атака Время проведе- ния атаки Объект атаки (местоположение атакуемого) Субъект атаки (ме- стоположение ата- кующего) Код уг- розы Модем Промежуточные узлы Ввод несу- ществующе- го ЭД Изменение ПО Вне процесса функционирова- ния системы Любая станция ЛВС Эта же станция ЛВС И1 Любая станция ЛВС Сервер (через LOGIN SCRIPT) Почтовый сервер Почтовый сервер Сервер Любая станция ЛВС Любая станция ЛВС Внедрение про- граммной за- кладки В процессе функ- ционирования системы Любая станция ЛВС Эта же станция ЛВС И3 Любая станция ЛВС Сервер (через LOGIN SCRIPT) Почтовый сервер Почтовый сервер Сервер Любая станция ЛВС Любая станция ЛВС «Ручной ввод» В процессе функ- ционирования системы Сервер Любая станция ЛВС И6 Почтовый сервер Почтовый сервер Любая станция ЛВС ЛВС Любая станции ЛВС В процессе пере- дачи данных Сеть передачи данных Промежуточные узлы И7 Модем Промежуточные узлы Нарушение конфиден- циальности ЭД Изменение ПО Аналогично предыдущему случаю Внедрение про- граммной за- кладки Просмотр с эк- рана В процессе функ- ционирования Любая станция ЛВС Любая станция ЛВС И8 Основы информационная безопасность 192 Угроза Атака Время проведе- ния атаки Объект атаки (местоположение атакуемого) Субъект атаки (ме- стоположение ата- кующего) Код уг- розы системы Почтовый сервер Почтовый сервер Перехват ЭД В процессе функ- ционирования системы ЛВС Любая станция ЛВС И4 В процессе пере- дачи данных Сеть передачи данных Промежуточные узлы И5 Модем Несанкциони- рованное копи- рование Вне процесса функционирова- ния системы Сервер Любая станция ЛВС И9 Отказ от факта полу- чения ЭД Изменение ПО В процессе функ- ционирования системы Любая станция ЛВС Любая станция ЛВС И3 Почтовый сервер Почтовый сервер В процессе пере- дачи данных Внешняя органи- зация Внешняя организа- ция Отказ от ав- торства ЭД Аналогично предыдущему случаю Дублирова- ние ЭД Изменение ПО Аналогично предыдущему случаю Внедрение про- граммной за- кладки «Повтор в сети» В/вне процесса функционирова- ния системы Сервер Любая станция сети И12 ЛВС Любая станция сети Сеть передачи данных Промежуточные узлы Методы и средства защиты компьютерной информации 193 Угроза Атака Время проведе- ния атаки Объект атаки (местоположение атакуемого) Субъект атаки (ме- стоположение ата- кующего) Код уг- розы Модем Потеря или уничтоже- ние ЭД Перехват ЭД В процессе функ- ционирования системы Сервер Любая станция сети И4 ЛВС Любая станция сети Сеть передачи данных Промежуточные узлы Модем Несанкциони- рованное копи- рование Вне процесса функционирова- ния системы Сервер Любая станция ЛВС И9 Изменение ПО Аналогично предыдущему случаю Внедрение про- граммн. заклад- ки НСД к АРМ системы электронно- го докумен- тооборота НСД В/вне процесса функционирова- ния системы Любая станция ЛВС Эта же станция ЛВС И13 Любая станция ЛВС Сервер (через LOGIN SCRIPT) Почтовый сервер Почтовый сервер Любая станция ЛВС Сервер Любая станция ЛВС Любая станция ЛВС Из внешней сети (Internet) НСД к кана- лу передачи данным НСД к каналу В процессе функ- ционирования системы ЛВС Любая станция сети И14 В процессе пере- дачи данных Сеть передачи данных Промежуточный узел И15 Основы информационная безопасность 194 Угроза Атака Время проведе- ния атаки Объект атаки (местоположение атакуемого) Субъект атаки (ме- стоположение ата- кующего) Код уг- розы Модем Нападение из внешней сети Атака из внеш- ней сети В/Вне процесса функционирова- ния системы Сервер И18 Станция сети Модем Маршрутизатор Нарушение работоспо- собности процесса функцио- нирования системы Изменение ПО, изменение кон- фигурации ап- паратных средств, внедре- ние программ- ных закладок В/Вне процесса функционирова- ния системы На всех техноло- гических участках На всех технологиче- ских участках И17 Несанкцио- нированное конфигури- рование маршрути- заторов Несанкциони- рованное кон- фигурирование маршрутизато- ров В/Вне процесса функционирова- ния системы Маршрутизаторы Любая станция сети передачи данных И18 Методы и средства защиты компьютерной информации 195 Таблица 5.2 Меры защиты от реализации угроз Код уг- розы Меры защиты Организационные Физические Технические И1 1. Инструкция по внесе- нию изменений в конфи- гурации ПО 2. Инструкции пользова- телям 3. Задание ответственно- сти за нарушение установ- ленных правил 4. Инструкция по изме- нению полномочий поль- зователей 1. Разграничение доступа в помещения 2. Физическая за- щита помещений 1. Запрет загрузки АРМ с гибких маг- нитных дисков 2. Защита исполняемых файлов от из- менения 3. Замкнутая среда разрешенных для запуска программ для каждого пользова- теля системы 4. Периодический контроль целостно- сти исполняемых файлов и настроек программных средств 5. Использование ЭЦП 6. Регистрация событий И3 1. Инструкция по внесе- нию изменений в конфи- гурации ПО 2. Инструкции пользова- телям 3. Задание ответственно- сти за нарушение установ- ленных правил 1. Разграничение доступа в помещения 2. Физическая за- щита помещений 1. Запрет загрузки АРМ с гибких маг- нитных дисков 2. Защита исполняемых и системных файлов от изменения 3. Замкнутая среда разрешенных для запуска программ для каждого пользова- теля системы 4. Периодический контроль целостно- сти системы 5. Регистрация событий 6. Использование средств обнаружения нападений И5 1. Договор с внешней организаций 1. За рамками пол- номочий организа- ции 1. Преобразование информации 2. Использование ЭЦП 3. Контроль времени Основы информационная безопасность 196 Код уг- розы Меры защиты Организационные Физические Технические И6 1. Инструкция по изме- нению полномочий поль- зователей 2. Инструкции пользова- телям 3. Задание ответственно- сти за нарушение установ- ленных правил 1. Изоляция защи- щаемой системы от других систем орга- низации 1. Ограничение доступа к РС, серверу и т.п. 2. Разрешение доступа к серверу толь- ко с защищенных рабочих станций 3. Ограничение доступа к серверу по номеру сетевой карты 4. Запрет одновременного доступа к серверу пользователей с одинаковым именем 5. Регистрация событий 6. Использование средств обнаружения нападений И8 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 1. Разграничение доступа в помещения 2. Защита помеще- ний 1. Хранитель экрана 2. Ограничение доступа к РС 3. Разграничение доступа к РС И9 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 1. Разграничение доступа в помещения 2. Физическая за- щита помещений 1. Ограничение доступа к серверу по номеру сетевой карты 2. Разрешение доступа к серверу толь- ко с защищенных рабочих станций 3. Запрет одновременного доступа к серверу пользователей с одинаковым именем 4. Преобразование информации 5. Защита консоли сервера 6. Регистрация событий 7. Использование средств обнаружения нападений Методы и средства защиты компьютерной информации 197 Код уг- розы Меры защиты Организационные Физические Технические И11 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 1. Изоляция защи- щаемой системы от других систем орга- низации 1. Ограничение доступа к РС 2. Разграничение доступа к РС 3. Регистрация событий 4. Использование средств обнаружения нападений И12 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 3. Ведение архивов ЭПД и ЭД 1. Изоляция защи- щаемой системы от других систем орга- низации 1. Квитирование 2. ЭЦП 3. Контроль времени 4. Регистрация событий И13 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 3. Инструкция по ис- пользованию СЗИ от НСД 4. Ограничение людей, имеющих право конфигу- рировать маршрутизаторы 1. Разграничение доступа в помещения 2. Физическая за- щита помещений 3. Изоляция защи- щаемой системы от других систем орга- низации 1. Ограничение доступа к РС, серверу 2. Разграничение доступа пользовате- лей к РС, серверу 3. Регистрация событий 4. Хранитель экрана 5. Изменение стандартного имени ад- министратора системы защиты 6. Разрешение работы в сети только одного администратора системы защиты или администратора сети 7. Владельцем всех исполняемых файлов в системе, а также критических настроек дол- жен быть администратор системы защиты 8. Использование средств обнаружения нападений 9. Использование межсетевых экранов Использование антивирусных программ Основы информационная безопасность 198 Код уг- розы Меры защиты Организационные Физические Технические 10. Использование всех встроенных в марщрутизаторы средств защиты И14 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 1. Защита кабель- ной системы Нет И15 1. За рамками полномочий ОРГАНИЗАЦИИ И16 1. Инструкции пользова- телям 2. Задание ответственно- сти за нарушение установ- ленных правил 1. Разграничение доступа в помещения 2. Физическая за- щита помещений 1. Ограничение доступа к архиву ЭПД 2. Резервное копирование 3. Использование антивирусных про- грамм И17 Все меры Все меры Все меры И18 1. Инструкция по ис- пользованию Интернет 2. Договор с внешней организацией 3. Инструкции пользова- телям 4. Задание ответственно- сти за нарушение установ- ленных правил 1. Ограничение числа используемых модемов 2. Физическая изоляция РС для доступа в глобальные сети от АРМ системы ЭП и ЭД 3. Ограничение доступа к РС, имею- щим модемы 4. Регистрация событий 5. Использование средств обнаружения нападений 6. Использование межсетевых экранов 7. Использование всех встроенных в маршрутизаторы средств защиты Методы и средства защиты компьютерной информации 199 5.12. Выбор средств информационной безопасности В настоящее время без применения средств и методов защиты информации не обходится ни одна отрасль экономической деятель- ности человека. Современный отечественный и зарубежный рынок представляет большое количество всевозможных программных и аппаратных средств, направленных на защиту информации. Фи- нансовые затраты на приобретение и содержание данных средств колеблются в больших пределах. Поэтому актуальным стал вопрос об оптимальном выборе средства защиты информации, при этом, чтобы оно удовлетворяло как возрастающим требованиям к защите информации, так и имело приемлемую цену. Очевидно, что ожидаемая полная стоимость защиты инфор- мации слагается: с одной стороны, из ожидаемых потерь от реализа- ции злоумышленником угроз информации и, с другой стороны, за- трат на приобретение и содержание средств защиты. График зави- симости ожидаемой полной стоимости защиты информации от за- трат на ее приобретение, содержание и стоимости ущерба от реали- зации угроз информации показан на рис. 5.3. Рис. 5.3. График зависимости ожидаемой полной стоимости защиты информации от затрат на ее приобретение, содержание и стоимости ущерба от реализации угроз информации Основы информационная безопасность 200 Совершенно очевидно, что оптимальным решением пробле- мы защиты информации было бы выделение средств в размере C opt , поскольку именно при этом обеспечивается минимизация общей стоимости защиты информации. Решение вопроса оценки ожидаемых потерь при нарушении защищенности информации принципиально может быть получено лишь тогда, когда речь идет о защите информации, которую как-то можно оценить, в основном, промышленной, коммерческой и им подобной, хотя и здесь встречаются весьма серьезные трудности. Что касается оценки ущерба при нарушении средств защиты ин- формации, содержащей государственную, военную и им подобную тайну, то здесь до настоящего времени строгие подходы к ее полу- чению не найдены. Для определения затрат на приобретение и содержание средств, обеспечивающих требуемый уровень защищенности ин- формации, необходимо, рассмотрев предполагаемые угрозы ин- формации, выбрать те, которые действительно могут иметь место в конкретном случае. Необходимо определить уровень ущерба от реализации каждой из этих угроз. Итак, предположим, что известно n видов угроз информации и ожидаемый уровень ущерба j r ( n , j 1 ) от реализации каждой из них в течение определенного срока (срока планирования). Кроме того, имеется перечень из m устройств, относительно которых из- вестны затраты на содержание устройства i c ,( m , i 1 ) в течение данного срока, которые могут включать цену устройства, оплату труда обслуживающего персонала, расход на техническое обеспече- ние и др., и кроме того известен уровень нейтрализации устройст- вом каждой из угроз ij p ( m , i 1 ; n , j 1 ). Обозначим за ij A событие, при котором устройство i нейтрали- зует угрозу j, и пусть известны вероятности P(A ij ) = p ij для всех воз- можных i и j. Следовательно, чтобы рассчитать наиболее рациональные затра- ты на защиту информации, необходимо минимизировать функцию n j mj m j j j m i i i ) A Y .. A Y A Y ( P r c x ) x ( F 1 2 2 1 1 1 1 , (1) Методы и средства защиты компьютерной информации 201 где i x - булевы переменные (0 - устройство решено не использовать и 1 - принято решение об использовании устройства), i Y - либо достоверное событие (если устройство будет использовано), либо невозможное (устрой- ство использовано не будет). Первая сумма является затратами на защиту информации, вторая - потерями от реализации угроз при достигнутом уровне защиты. События ij A независимы. Известно, что вероятность суммы независимых случайных событий n 2 1 X X X ,.., , равна . )) ( ( ))... ( ))( ( )( ( ... ... )) ( ))( ( )( ( )) ( )( ( ) ( ) ... ( 1 2 1 n 2 1 3 1 2 1 n 3 2 1 X P 1 X P 1 X P 1 X P X P 1 X P 1 X P X P 1 X P X P X X X X P (2) С учетом (2) формула (1) примет вид: } ))] A ( P x ( ... )) A ( P x ))( A ( P x )( A ( P x .. )) A ( P x ))( A ( P x )( A ( P x )) A ( P x )( A ( P x ) A ( P x [( { r c x ) x ( F j , m m j j mj m j j j n j j j j j m i i i 1 1 2 2 1 1 2 2 1 1 3 3 1 1 1 2 2 1 1 1 1 1 1 1 1 1 1 Если минимизировать функцию ) (x F относительно перемен- ных i x , то можно выявить, какие из устройств следует использовать, чтобы общие расходы на защиту информации и само значение за- трат (в частности, затрат на обеспечение безопасности и потерь от реализации угроз) были минимальны. В расчеты можно ввести такой параметр, как время. Тогда рас- ход на содержание устройства i c можно представить в виде двух составляющих: цена устройства (если требуется его приобретение) и затраты на обслуживание. Затраты на обслуживание вычисляются как произведение времени на затраты в единицу времени. Величину r j можно представить как произведение трех величин: времени пла- нирования, частоты реализации угрозы и финансового ущерба от реализации одной угрозы. На основе вышесказанного следует, что для экономически вы- годного приобретения набора средств защиты информации компь- ютерных систем необходимо решить ряд задач: Основы информационная безопасность 202 1. Рассмотрев предполагаемые угрозы информации, выбрать те, которые действительно могут иметь место в конкретном случае, и определить уровень ущерба от реализации каждой из этих угроз. 2. Для определения уровня ущерба от реализации каждой из угроз экономической информации необходимо иметь достаточное количество статистических данных о проявлениях этих угроз и их последствиях. По России такая статистика практически отсутствует, однако некоторые банковские структуры ее собирают. В США же, сбору и обработке этих данных уделяется большое внимание. В ре- зультате этого получено большое количество данных по ряду угроз, которые могут быть положены в основу данных расчетов. 3. Решение вопроса оценки ожидаемых потерь, при наруше- нии защищенности информации, принципиально может быть по- лучено лишь тогда, когда речь идет о защите информации, которую как-то можно оценить, в основном экономической, промышленной, коммерческой и им подобной. 4. Необходимо оценить надежность элементов системы защи- ты. Но на текущий момент нет общепринятой методики оценки за- щищенности компьютерных систем, как и нет общетеоретического подхода к решению этой проблемы. Поэтому появляется вопрос о разработке методики, благодаря которой можно с достаточной точ- ностью оценить надежность как отдельных элементов защиты, так и системы защиты в целом. 5. 13. Информационное страхование Создание системы информационной безопасности компании на основе программных и технических средств экономически неце- лесообразно. В этой связи актуальность приобретает использование механизма страхования. Активное развитие рынка информационного страхования должно обеспечить распределение последствий от наступления ин- формационных рисков среди максимально большого количества ком- паний. Учитывая то, что размер убытков от наступления информаци- онных рисков может оказаться весьма существенным и в отдельных случаях даже стать причиной банкротства, которое в дальнейшем мо- жет привести к падению финансовых показателей целого ряда компа- ний, информационное страхование в данном случае может выступить в качестве инструмента, поддерживающего стабильность рынка. Методы и средства защиты компьютерной информации 203 Остановимся более подробно на вопросе о том, как примене- ние информационного страхования может повысить эффективность работы АСОИ компании. Предположим, что компания при нор- мальной работе имеет доход 1 e I , при этом с вероятностью p можно сказать, что потери компании в случае нанесения вреда хранимой у нее информации составят e o e 1 e I I L где 0 e I – доход компании в случае нанесения ущерба ее информа- ционной системе. Убытки компании могут быть следующие: прямые убытки от информационных рисков; убытки, связанные с восстановлением информации; убытки, связанные с перерывами в производстве; убытки, связанные с потерей клиентов; убытки, связанные с ответственностью перед третьими лицами. Защита, предоставляемая по полису страхования информаци- онных рисков, может, по желанию клиента, распространяться одну из групп, а также на все группы. Обозначим через s размер страхового возмещения, которое бу- дет выплачено страховой компанией в случае наступления страхового случая, при этом стоимость страховой защиты составляет y долларов за 1 доллар покрытия. В случае наступления страхового случая (кото- рое может произойти с вероятностью p) полезность страхования ин- формационных рисков будет соответствовать доходу компании в слу- чае отсутствия убытков, связанных с причинением ущерба хранимой информации, за вычетом расходов на покупку полиса, плюс размер возмещения, полученного по условиям страхования: s ys I U e 1 При безубыточном прохождении полиса (вероятность этого составляет 1-р) полезность будет определяться на основе дохода компании при отсутствии убытков минус расходы, связанные с оп- латой страховой премии: ys I U e 1 Основы информационная безопасность 204 Таким образом, при покупке полиса страхования удается мак- симизировать ожидаемую полезность для обоих случаев – как при наступлении страхового случая, так и при безубыточном прохожде- нии полиса: ys I U p 1 s ys L s e 1 e e 1 I pU EU max arg Компания может выбрать один из трех путей защиты от ин- формационных рисков: развитие классических средств защиты информации; создание специальных резервов (самострахование); страхование. Как самострахование, так и страхование выполняют функцию по минимизации последствий наступления ущерба, связанного с причинением вреда информации. Основная разница между ними состоит в том, что в случае страхования ущерб будет распределяться между целой группой страхователей, а в случае создания специаль- ных резервов (самострахование) возмещение будет происходить це- ликом из собственных средств. Вложение же денег в классические средства защиты информации – попытка уменьшить не размер, а вероятность наступления убытков. Страхование информационных рисков в нашей стране осуще- ствляется рядом компаний. Следует отметить тот факт, что страхо- вание информационных рисков пока еще во многом служит не для обеспечения защиты от информационных рисков, а для подчерки- вания имиджа Страхователя. Рассмотрим методику страхования информационных рисков Ингосстраха. К расчетным показателям относятся: q – ожидаемое количество договоров страхования; Sc – средняя страховая сумма по одному договору страхования; Sв – средняя сумма страхового возмещения по одному догово- ру страхования; P – вероятность наступления страхового события по виду ин- формационного риска (этих видов предусмотрено 6). Страховой тариф (Tc) определяется как сумма: Tc = NC + RN +Ng, где NC – основная часть нетто-ставки; RN – рисковая надбавка; Ng – нагрузка. Методы и средства защиты компьютерной информации 205 В основе расчета тарифных ставок лежит показатель убыточ- ности (величина выплат на 100 руб. страховой суммы), а сам расчет тарифных ставок произведен на основании предполагаемых объе- мов страховых операций. Таблица 5.3 Вид риска Показатель Sc Sв P q A 30000000 10000000 0,008 100 B 30000000 15000000 0,006 100 C 30000000 20000000 0,003 100 D 30000000 20000000 0,001 100 E 30000000 25000000 0,002 100 F 30000000 15000000 0,005 100 A – утрата, уничтожение или повреждение застрахованных информационных активов вследствие непреднамеренных ошибок в проектировании, разработке, создании, инсталляции, конфигуриро- вании, обслуживании или эксплуатации информационных систем; B – утрата, уничтожение или повреждение застрахованных информационных активов вследствие компьютерных атак, совер- шенных против страхователя; C – утрата, уничтожение или повреждение застрахованных ин- формационных активов в результате действий компьютерных вирусов; D – неправомерное списание финансовых активов в электронной форме со счетов страхователя в результате ввода мошеннических элек- тронных команд в информационную систему страхователя или в ре- зультате несанкционированной модификации компьютерного кода страхователя, или передачи фальсифицированного электронного по- ручения, якобы исходящего от имени страхователя, в банк или депози- тарий страхователя, ставших следствием несанкционированного дос- тупа к информационной системе страхователя со стороны третьих лиц, не имеющих на это соответствующих полномочий; E – утрата, уничтожение или повреждение застрахованных информационных активов или финансовых активов в электронной форме в результате умышленных противоправных действий со- трудника страхователя, совершенных самостоятельно или в сговоре для извлечения незаконной личной финансовой выгоды или нане- сения страхователю ущерба; F – убытки от временного прекращения предпринимательской деятельности вследствие наступления событий. Основы информационная безопасность 206 Как известно, основная часть нетто-ставки (NC) соответствует средним выплатам страховщика, зависящим от вероятности наступ- ления страхового случая, средней страховой суммы и среднего воз- мещения и рассчитывается по формуле c в S g P S NC Нетто-ставка (себестоимость страховой услуги) предназначена для создания страхового фонда, обеспечивающего эквивалентность взаимоотношений между страховщиком и страхователем, а также финансовую устойчивость страховой компании. Принцип эквивалентности состоит в следующем: страхователь должен заплатить страховщику столько, сколько в среднем на него ожидается произвести выплат, но, принимая на себя риск страхова- теля, страховщик кроме средних ожидаемых потерь должен взимать некоторую плату «за риск» – некоторым образом компенсирующую возможность флуктуации выплат. Другим расчетным показателем является рисковая надбавка. Она вводится для того, чтобы учесть вероятные отклонения количе- ства страховых случаев относительно их среднего значения. Воз- можны два варианта расчета рисковой надбавки: для каждого риска (страхового события) отдельно; по нескольким видам рисков (по всему или части страхового портфеля). Для расчета рисковой надбавки (RN), учитывающей вероят- ность превышения суммы выплат по перспективному портфелю над ее средними значениями, Ингосстрах использует первый спо- соб. В условиях последующей активизации практики страхования информационных рисков, повышения его привлекательности для страхователей, особенно при страховании отдельных видов и проявлений рисков, очевидно, что рисковая надбавка может рас- считываться по всему страховому полю, что позволит уменьшить ее размер. Методикой Ингосстраха предусмотрен расчет еще двух пока- зателей: совокупной нетто-ставки (SN); брутто-ставки (BC). Учитывая принятые обозначения, формула расчета совокуп- ной нетто-ставки принимает такой вид: Методы и средства защиты компьютерной информации 207 SN = NC + RN. Формула для расчета брутто-ставки (BC) , традиционно вклю- чающей совокупную нетто-ставку (SN) и нагрузку (Ng), определен- ную Ингосстрахом на уровне 30%, представляет собой отношение: Ng 1 SN BC Результаты расчета тарифных ставок свидетельствуют о том, что наиболее реальными (следовательно, с более высокими тариф- ными ставками) у страхователей считаются информационные рис- ки, возникшие вследствие направленных против него компьютер- ных атак, умышленных противоправных действий сотрудников страхователя, а также убытков от временного прекращения пред- принимательской деятельности. Таблица 5.4 Вид риска Расчетные величины BC NC RN SN A 1,06 0,27 0,47 0,74 B 1,29 0,30 0,60 0,90 C 1,10 0,20 0,57 0,77 D 0,56 0,07 0,33 0,40 E 1,09 0,17 0,59 0,76 F 1,14 0,25 0,55 0,80 Осуществив расчет результирующей тарифной ставки по стра- хованию информационных систем, Ингосстрах определил тарифную ставку в размере 1,04 (руб.) со 100 руб. страховой суммы и зафиксиро- вал диапазон существенного колебания ставки страховой премии по конкретному договору страхования за счет применения повышающих (от 1,0 до 5,0) и понижающих (от 0,2 до 1,0) коэффициентов. Ввиду практически полного отсутствия опыта работы с ин- формационными рисками, страховые компании зачастую устанав- ливают тарифы, которые в действительности не отражают реальную вероятность наступления страхового случая, связанного с нанесени- ем ущерба информации. Страхование информационных рисков осуществляется в качестве дополнительного бонуса к основному по- лису страхования, покрывающего, например, риски причинения ущерба имуществу компании. Основы информационная безопасность 208 Между тем стоит заметить, что, учитывая темпы развития ин- тереса страхования информационных рисков за рубежом, можно уверенно сказать, что и в нашей стране отношение к данному виду страхования будет меняться, и в достаточно скором времени ком- плексная система информационной безопасности компаний будет действительно комплексной и будет в дополнение ко всем осталь- ным включать еще и экономические методы защиты информации, в частности механизм страхования. Вопросы 1. Методы обеспечения информационной безопасности Россий- ской Федерации. 2. Правовые методы обеспечения информационной безопасности Российской Федерации. 3. Организационно-технические методы обеспечения информа- ционной безопасности Российской Федерации. 4. Экономические методы обеспечения информационной безо- пасности Российской Федерации. 5. Основные меры по обеспечению информационной безопасно- сти Российской Федерации в сфере экономики. 6. Наиболее важные объекты обеспечения информационной безо- пасности Российской Федерации в области науки и техники. 7. Ограничение доступа как метод обеспечения информационной безопасности. 8. Биометрические методы аутентификации человека. 9. Статистика применения биометрических технологий. 10. Отпечатки пальцев как биометрическая характеристика иден- тификации человека. 11. Глаза как биометрическая характеристика идентификации че- ловека. 12. Лицо как биометрическая характеристика идентификации че- ловека. 13. Ладонь как биометрическая характеристика идентификации человека. 14. Динамические характеристики как биометрическая характери- стика идентификации человека. 15. Классификация систем тревожной сигнализации. 16. Контроль доступа к аппаратуре как метод обеспечения инфор- мационной безопасности. Методы и средства защиты компьютерной информации 209 17. Разграничение и контроль доступа к информации как метод обеспечения информационной безопасности. 18. Предоставление привилегий на доступ как метод обеспечения информационной безопасности. 19. Идентификация и установление подлинности объекта (субъекта). 20. Объекты идентификации и установления подлинности в АСОИ. 21. Идентификация и установление подлинности личности. 22. Идентификация и установление подлинности технических средств. 23. Идентификация и установление подлинности документов. 24. Идентификация и установление подлинности информации на средствах ее отображения и печати. 25. Защита информации от утечки за счет побочного электромаг- нитного излучения и наводок. 26. Методы и средства защиты информации от побочного элек- тромагнитного излучения и наводок информации. 27. Методы и средства защиты информации от случайных воздей- ствий. 28. Методы защиты информации от аварийных ситуаций. 29. Организационные мероприятия по защите информации. 30. Организация информационной безопасности компании. 31. Выбор средств информационной информации. 32. Информационное страхование. Тесты 1. Метод защиты информации ограничение доступа заключается: 1. в контроле доступа к внутреннему монтажу, линиям связи и технологическим органам управления; 2. в создании физической замкнутой преграды с организацией доступа лиц, связанных с объектом функциональными обязанностями; 3. в разделении информации на части и организации доступа к ней должностных лиц в соответствии с их функциональными обя- занностями и полномочиями; 4. в том, что из числа допущенных к ней должностных лиц вы- деляется группа, которой предоставляется доступ только при одно- временном предъявлении полномочий всех членов группы; 5. в проверке, является ли проверяемый объект (субъект) тем, за кого себя выдает. Основы информационная безопасность 210 2. Метод защиты информации контроль доступа к аппаратуре заключается: 1. в контроле доступа к внутреннему монтажу, линиям связи и технологическим органам управления; 2. в создании физической замкнутой преграды с организацией доступа лиц, связанных с объектом функциональными обязанностями; 3. в разделении информации на части и организации доступа к ней должностных лиц в соответствии с их функциональными обя- занностями и полномочиями; 4. в том, что из числа допущенных к ней должностных лиц вы- деляется группа, которой предоставляется доступ только при одно- временном предъявлении полномочий всех членов группы; 5. в проверке, является ли проверяемый объект (субъект) тем, за кого себя выдает. 3. Метод защиты информации разграничение и контроль досту- па к информации заключается: 1. в контроле доступа к внутреннему монтажу, линиям связи и технологическим органам управления; 2. в создании физической замкнутой преграды с организацией доступа лиц, связанных с объектом функциональными обязанностями; 3. в разделении информации на части и организации доступа к ней должностных лиц в соответствии с их функциональными обя- занностями и полномочиями; 4. в том, что из числа допущенных к ней должностных лиц вы- деляется группа, которой предоставляется доступ только при одно- временном предъявлении полномочий всех членов группы; 5. в проверке, является ли проверяемый объект (субъект) тем, за кого себя выдает. 4. Метод защиты информации предоставление привилегий на доступ заключается: 1. в контроле доступа к внутреннему монтажу, линиям связи и технологическим органам управления; 2. в создании физической замкнутой преграды с организацией доступа лиц, связанных с объектом функциональными обязанностями; 3. в разделении информации на части и организации доступа к ней должностных лиц в соответствии с их функциональными обя- занностями и полномочиями; Методы и средства защиты компьютерной информации 211 4. в том, что из числа допущенных к ней должностных лиц вы- деляется группа, которой предоставляется доступ только при одно- временном предъявлении полномочий всех членов группы; 5. в проверке, является ли проверяемый объект (субъект) тем, за кого себя выдает. 5. Метод защиты информации идентификация и установление подлинности заключается: 1. в контроле доступа к внутреннему монтажу, линиям связи и технологическим органам управления; 2. в создании физической замкнутой преграды с организацией доступа лиц, связанных с объектом функциональными обязанно- стями; 3. в разделении информации на части и организации доступа к ней должностных лиц в соответствии с их функциональными обя- занностями и полномочиями; 4. в том, что из числа допущенных к ней должностных лиц вы- деляется группа, которой предоставляется доступ только при одно- временном предъявлении полномочий всех членов группы; 5. в проверке, является ли проверяемый объект (субъект) тем, за кого себя выдает. Методы и средства защиты компьютерной информации 212 |