facebook
twitter
vk
instagram
linkedin
google+
tumblr
akademia
youtube
skype
mendeley
Wiki
Global international scientific
analytical project
GISAP
GISAP logotip
Перевод страницы
 

МЕТОДИКА ОЦЕНКИ РИСКОВ ДЛЯ АКТИВОВ ИНФОРМАЦИОННО-ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ

МЕТОДИКА ОЦЕНКИ РИСКОВ ДЛЯ АКТИВОВ ИНФОРМАЦИОННО-ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ
Гурам Амиранович Вашакидзе, студент

Паслен Владимир Владимирович, заведующий кафедрой, ph.d. технических наук, доцент

Щербов Игорь Леонидович, старший преподаватель

Якушина Анна Евгеньевна, старший преподаватель

Донецкий национальный технический университет, Украина

Участник первенства: Национальное первенство по научной аналитике - "Украина";

Открытое Европейско-Азиатское первенство по научной аналитике;

Проведен анализ последовательности принятия решения по управлению информационной безопасностью в информационно-телекоммуникационной системе (ИТС) в соответствии с рекомендациями стандарта ISO/IEC 27005 «Информационные технологии. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности», ISO/IEC 31010 «Менеджмент риска. Методы оценки риска», Рекомендация МСЭ-Т X.805 «Архитектура безопасности для систем, обеспечивающих связь между оконечными устройствами».

Рассмотрена процедура анализа воздействия угроз на свойства информации, подлежащей защите, и на управляемость системы защиты ИТС. Рассмотрены наиболее распространенные методы оценки риска. Предложен порядок дискретной оценки риска для информационно-телекоммуникационной системы  на основе экспертных оценок ожидаемого ущерба в случае реализации угроз.

Ключевые слова. Информационно-телекоммуникационная система, методы оценки риска, методы обеспечения безопасности, алгоритм принятия решений.

The analysis of the sequence of decision-making information security management of information and telecommunications system (ITS) was made on the base of standard ISO/IEC 27005  “Information Technology. Methods and means of security. Information Security Risk Management” recommendations and  ITU-T X.805  “Security architecture for systems providing end-to-end communications” recommendations.

The procedure of analyzing the impact of threats on the properties of the information to be protected, and manageability of the protection of ITS system was considered. The most prevalent methods of risk assessment were considered. The order discrete risk assessment for in information and telecommunications system was proposed on the base of expert estimates of expected damage in case of threats realization.

Keywords. Information and telecommunication systems, risk assessment, security techniques, decision-making   algorithm.

 

Постановка задачи

Применение в повседневной жизни как отдельно взятого человек, так и государства в целом, современных информационно-телекоммуникационных технологий позволяет получать все блага достижений современной науки и техники. При этом все значительнее возрастает зависимость процессов жизнедеятельности человека от окружающего его информационного пространства. Данная зависимость приводит к возникновению новых видов угроз – кибернетических преступлений.

Разработка эффективных моделей и методов управления безопасностью информационно-телекоммуникационных систем (ИТС) с целью противодействия кибернетической преступности, является актуальной задачей. Сложность ее выполнения обуславливается такими факторами как:

-необходимость выполнения совокупности технических требований для совместной работы программных продуктов и оборудования различных производителей;

-эффективное использование каналов связи и соблюдение требований электромагнитной совместимости;

-потенциальные угрозы для безопасности ИТС и обрабатываемой в ней информации;

-возможность модернизации;

-себестоимость и др [1].

Безусловно, решение данной задачи должно базироваться на требованиях международных стандартов и рекомендаций. При этом обязательным условием при принятии решения является выполнение требований национального законодательства, регламентирующего данную сферу деятельности.

Анализ состояния проблемы и решение задачи

Учитывая широкий спектр юридических и физических лиц предоставляющих услуги, оборудование и программное обеспечение для информационно-телекоммуникационных систем Международным союзом электросвязи в рекомендации МСЭ-T X.805 предложена архитектура защиты для систем, обеспечивающих связь между оконечными устройствами (рис.1). Данная архитектура позволяет произвести детализацию составных частей ИТС, с целью упрощения принятия решения, направленного на эффективное управление, контроль и использования сетевой инфраструктуры, услуг и приложений. Архитектура защиты обеспечивает комплексную, сверху донизу сквозную область сетевой защиты и может применяться к элементам сети, услугам и приложениям, с тем, чтобы обнаруживать, прогнозировать и исправлять уязвимость защиты [2].

Принятая архитектура защиты систем, обеспечивающих связь между оконечными устройствами, позволяет более качественно провести оценку риска безопасности ИТС. С этой целью, исходя из рекомендаций международного стандарта ISO/IEC 27005 «Менеджмент риска информационной безопасности», в начальной стадии принятия решения производится учет активов, уязвимость которых может повлиять на степень защищенности ИТС.

Для этого необходимо рассмотреть выделяемые плоскости защиты ИТС:

-управления;

-контроля;

-конечного пользователя.

Следуя рекомендациям МСЭ-T X.805, для каждой плоскости в соответствии с предназначением, выявляются активы относящиеся к уровню инфраструктуры, предоставляемых услуг, применяемых приложений. Безусловно, к данному процесу должен быть привлечен персонал, имеющий соответсвующую квалификацию и опыт работы.

Так в соответствии с рекомендациями в области стандартизации банка России РС БР ИББС -2.2-2009 установлены следующие требования к привлекаемым экспертам:

-наличие высшего образования;

-опыт работы в данной профессиональной области не менее четырех лет;

-систематическое повышение квалификации;

-способность идентифицировать людей, способных продоставить необходимую информацию;

-обладание навыками делового и управленческого взаимодействия[3].

На следющем этапе определяются угрозы для идентифицированных активов.

Угрозы для ИТС по своей природе подразделяются на природные и техногенные, последние в свою очередь делятся на случайные и умышленные. На данном этапе также определяется источник угроз и «область» действия угрозы, то есть, на какие составные части ИТС может воздействовать данная угроза. 

Этап оценки уязвимости активов схематично представлен на рисунке 2.

Рис.2. Оценка уязвимости активов от вероятных угроз.

Измерения защиты по своей сути представляют комплекс реализованных мер по защите ИТС.Выделяется восемь основных измерений защиты[2]:

1)           управление доступом;

2)           аутентификация;

3)           сохранность информации;

4)           конфиденциальность данных;

5)           безопасность связи;

6)           целостность данных;

7)           доступность;

8)           секретность.

В случае успешной реализации угрозы активам может быть нанесен ущерб, который может привести к потере свойств информации или управляемости ИТС:

-целостности (i);

-доступности(a);

-конфиденциальности(c);

-наблюдаемости(s).

Результаты оценки уязвимости активов на примере угроз, которые могут быть реализованы с учетом уязвимости протоколов межсетевого взаимодействия, представлены в таблице 1.

Таблица 1

Угрозы для информационной безопасности ИТС 

Угрозы

конфиденциальность

целостность

доступность

наблюдаемость

весовой коэффициент

1

Анализ протоколов

с1

i1

a1

s1

p1

2

Сканирование сетей

с2

i2

a2

s2

p2

3

Автоматический подбор

паролей

с3

i3

a3

s3

p3

4

Spoofing

с4

i4

a4

s4

p4

5

Захват сетевых подключений

с5

i5

a5

s5

p5

6

Подмена сетевых объектов

с6

i6

a6

s6

p6

7

Разнесенный отказ в обслуживании

с7

i7

a7

s7

p7

8

Удаленное вторжение

с8

i8

a8

s8

p8

 

Используя полученные данные, можно получить количественную оценку уязвимости конкретного актива от вероятных угроз по следующе формуле:

Весовой коэффициент pkопределяет чстоту появления данной угрозы относительно совокупности возможных угроз и вычисляется на основе анализа статистических данных или с использованием известных методик [4].

В дальнейшем вопрос принятия риска в упрощенной форме сводится к алгоритму, представленному на рисунке 3.

Примечание: алгоритм повторяется до тех пор, пока M≠Mmax.

Рис.3. Алгоритм принятия риска.

Выводы.

1. Проведенный анализ стандартов и рекомендаций Международной организации по стандартизации, Международной электротехнической комиссии и Международного союза электросвязи, приводит к выводу о необходимости скорейшего внедрения данных документов в повседневную деятельность, с целью повышения защищенности ИТС государства.

2. Рассмотрена процедура анализа воздействия угроз на активы ИТС.

3. Предложен алгоритм оценки риска для информационно-телекоммуникационной системы.

 

Литература:

1. Воропаєва В. Я., Щербов І.Л. Адаптування інформаційно-телекомунікаційних систем до зовнішніх впливів // Наукові праці Донецького національного технічного університету. Серія: Обчислювальна техніка та автоматизація. Випуск 23 (201). - Донецьк, ДонНТУ, 2012. С - 83-88.

2.  Архитектура безопасности для систем, обеспечивающих связь между оконечными устройствами(ITU-T X.805«Security architecture for systems providing end-to-end communications»).

3. Рекомендациями в области стандартизации банка России РС БР ИББС -2.2-2009.

4. Воропаєва В. Я., Щербов І.Л.,  Е.Д.ХаустоваУправління інформаційною безпекою інформаційно-телекомунікаційних систем на основі моделі «plan-do-check-act» // Наукові праці Донецького національного технічного університету. Серія: Обчислювальна техніка та автоматизація. Випуск 25. - Донецьк, ДонНТУ, 2013. С - 104-110.

5. Менеджмент риска- Методы оценки риска(ISO/IEC 31010:2009«Risk management -Risk assessment techniques»).

6. Информационная технология - Методы и средства обеспечения безопасности – Менеджмент риска информационной безопасности (ISO/IEC 27005:2011 «Information technology — Security techniques — Information security risk management»).

0
Ваша оценка: Нет Средняя: 7.7 (10 голосов)
Комментарии: 20

рахимбеков сармантай мадиевич

Уважаемые Коллеги! Формируемое вместе с другими работами данное направление актуально и необходимо. Желаю дальнейших успехов. Проф.,д.т.н. Рахимбеков С.М. -эксперт.

Вашакидзе Гурам Амиранович

Уважаемый проф.,д.т.н. Рахимбеков С.М. Спасибо за Ваше внимание к работе и пожелания. Действительно, данное направление требует внимания и пристального изучения всех аспектов. Есть желание получать необходимые знания и применять их практически в данной области. С уважением, студент Вашакидзе Г. А.

Хоботова Элина

Актуальность работы обусловлена необходимостью обеспечения безопасности ИТС. Работа интересная, выполнена на высоком научном уровне, имеет четко направленное практическое значение. Заслуживает высокой оценки. Желаю авторам дальнейших успехов. С уважением, проф. Хоботова Э.Б.

Вашакидзе Гурам Амиранович

Уважаемая проф. Хоботова Э.Б.! Спасибо за обоснованный комментарий. Работа над данной темой находится в начальной стадии, но есть желание и возможность работать в данном направлении. С уважением, студент Г. А. Вашакидзе.

Лежнюк Петр Демьянович

Добрый день! Уважаемые коллеги, интересный и актуальный доклад с прикладной значимостью. Является логическим продолжением доклада профессора Стефаненка. Желаю удачи в дальнейших исследованиях, проф. П.Д. Лежнюк.

Вашакидзе Гурам Амиранович

Уважаемый проф. П.Д. Лежнюк. Спасибо за Ваш комментарий. Действительно, мы сотруднимаем с соавторами доклада профессора Стефаненко. Работа в данной области находится в начальной стадии изучения и разработки, но, надеюсь, дальшейшие труды принесут значительные результаты. С уважением, студент Г. А. Вашакидзе.

Лысенко Виктор

Уважаемые коллеги. Работа интересная и актуальная. Желаю дальнейших успехов. Лысенко В.С.

Вашакидзе Гурам Амиранович

Уважаемый коллега Лысенко В.С. Спасибо за Ваш комментарий. Есть желание работать в данной области и достигнуть значительных результатов. С уважением, студент Г. А. Вашакидзе.

Елесин Михаил Анатольевич

Работа интересная и актуальная, во многом перекликается с докладом Кирякова В. В., Стефаненко П. В. и др. С уважением проф. Елесин М.А.

Вашакидзе Гурам Амиранович

Уважаемый проф. Елесин М.А. Спасибо за Ваш комментарий. Действительно, данная работа, работа Кирьянова В. В. и соавторов имеют некоторые точки прикосновения. Написание работ сопровождалось обменом опыта и сведений в данной области. С уважением, студент Г. А. Вашакидзе.

Симонян Геворг Саркисович

Отличная и практическая статья. Вопрос безопасности и риска всегда актуален. Желаю научних успохов. С уважением к.х.н., доцент Симонян Г.С.

Вашакидзе Гурам Амиранович

Уважаемый к.х.н., доцент Симонян Г.С. Спасибо за Ваш комментарий. Предложенная работа находится в начальной стадии, но с учетом того, что данная тема является актуальной и востребованной, есть желание работать в предложенном направлении. С уважением, студент Г.А. Вашакидзе.

Кайда Светлана Владимировна

Очень интересная статья. На данный момент проблема обеспечения информационной безопасности становится все более актуальной. Хочу добавить, что для построения и функционирования эффективной системы внутренней информационной безопасности необходимы три вещи: передача этой функции на аутсорсинг, комплексный подход и постоянное обновление системы. Желаю авторам успеха!

Вашакидзе Гурам Амиранович

Уважаемая Светлака Кайда. Спасибо за Ваш емкий и обоснованный комментарий. Предложенные Вами рекомендации построения эффективной системы информационной безопасности будут проанализированы и использованиы в последующих работах. С уважением, студент Г. А. Вашакидзе.

Горбийчук Михаил Иванович

Уважаемые авторы! Ваш доклад в многих положениях перекликается с докладом Кирякова В. В., Стефаненко П. В. и др. В частности совпадают формулы (1) Вашего доклада и ф-ла (2) доклада упомянутых авторов. Если это общеизвестная формула, то желательна ссылка на соответствующей источник. В целом работа заслуживает внимания. С уважением проф. М. И. Горбийчук.

Вашакидзе Гурам Амиранович

Уважаемый проф. М. И. Горбийчук. Спасибо за проявленный интерес к данной работе и Ваш комментарий. Действиетльно, предложенная статья, статья В.В. Кирьянова и соавторов имеют подобный подход к данному вопросу и некоторые аспекты решения поставленных задач. Да, конечно, имеется источник, в котором описана возможность применения аддитивного показателя качества и возможность реализации выбора средств защиты с помощью математических фомул: Герасимов Б.М., Дивизинюк М.М., Субач И.Ю. Системы поддержки принятия решений: проектирование, применение, оценка эффективности. – Севастополь: Издательский центр СНИЯЭиП, 2004. - 320 с. (раздел 1.8.3 Методы принятия решений в условиях неопределенности стр. 125). С важением, студент Г. А. Вашакидзе.

Mammadov Javanshir

Научный вопрос, который рассматривают авторы статьи, посвящается актуальной проблеме обеспечения безопасности ИТС. Для решения данного вопроса авторами был проведен анализ воздействия угроз на активы ИТС и разработан алгоритм оценки риска для информационно-телекоммуникационной системы. Простота изложения вопроса исследования и разработанного алгоритма является признаком надежности и эффективности функционирования системы в целом. Но применение метода интеллектуаллизации при разработке алгоритма обеспечил бы более высокий уровень надежности функционирования системы. С уважением д.т.н., проф. Мамедов Дж.Ф.

Вашакидзе Гурам Амиранович

Уважаемый д.т.н., проф. Мамедов Дж.Ф. Спасибо за проявленный интерес к данной работе и емкий комментарий. Предложенная работа находится в начальной стадии освоения всех деталей и тонкостей данного вопроса. Ваше пожелание применения меода интеллектуализации при разработке алгоритма внесет значительный вклад в написание последующих работ в данной области. С уважением, студент Г.А. Вашакидзе.

Трещалин Михаил Юрьевич

Уважаемые Коллеги! Предложенный Вами алгоритм решения задачи защиты ИТС актуален и полезен для практической деятельности. Очень интересная работа. Желаю повсеместного внедрения! С уважением д.т.н., профессор Трещалин М.Ю.

Вашакидзе Гурам Амиранович

Уважаемый д.т.н., профессор Трещалин М.Ю. Спасибо за внимание к работе, Ваш комментарий и пожелание. Несмотря на то, что предложенная работа находится в начальной стадии освоения данного вопроса, есть желание развиваться и работать над усовершенствованием и внедрением предложенных алгоритмов. С уважением, студент Г.А. Вашакидзе.
Комментарии: 20

рахимбеков сармантай мадиевич

Уважаемые Коллеги! Формируемое вместе с другими работами данное направление актуально и необходимо. Желаю дальнейших успехов. Проф.,д.т.н. Рахимбеков С.М. -эксперт.

Вашакидзе Гурам Амиранович

Уважаемый проф.,д.т.н. Рахимбеков С.М. Спасибо за Ваше внимание к работе и пожелания. Действительно, данное направление требует внимания и пристального изучения всех аспектов. Есть желание получать необходимые знания и применять их практически в данной области. С уважением, студент Вашакидзе Г. А.

Хоботова Элина

Актуальность работы обусловлена необходимостью обеспечения безопасности ИТС. Работа интересная, выполнена на высоком научном уровне, имеет четко направленное практическое значение. Заслуживает высокой оценки. Желаю авторам дальнейших успехов. С уважением, проф. Хоботова Э.Б.

Вашакидзе Гурам Амиранович

Уважаемая проф. Хоботова Э.Б.! Спасибо за обоснованный комментарий. Работа над данной темой находится в начальной стадии, но есть желание и возможность работать в данном направлении. С уважением, студент Г. А. Вашакидзе.

Лежнюк Петр Демьянович

Добрый день! Уважаемые коллеги, интересный и актуальный доклад с прикладной значимостью. Является логическим продолжением доклада профессора Стефаненка. Желаю удачи в дальнейших исследованиях, проф. П.Д. Лежнюк.

Вашакидзе Гурам Амиранович

Уважаемый проф. П.Д. Лежнюк. Спасибо за Ваш комментарий. Действительно, мы сотруднимаем с соавторами доклада профессора Стефаненко. Работа в данной области находится в начальной стадии изучения и разработки, но, надеюсь, дальшейшие труды принесут значительные результаты. С уважением, студент Г. А. Вашакидзе.

Лысенко Виктор

Уважаемые коллеги. Работа интересная и актуальная. Желаю дальнейших успехов. Лысенко В.С.

Вашакидзе Гурам Амиранович

Уважаемый коллега Лысенко В.С. Спасибо за Ваш комментарий. Есть желание работать в данной области и достигнуть значительных результатов. С уважением, студент Г. А. Вашакидзе.

Елесин Михаил Анатольевич

Работа интересная и актуальная, во многом перекликается с докладом Кирякова В. В., Стефаненко П. В. и др. С уважением проф. Елесин М.А.

Вашакидзе Гурам Амиранович

Уважаемый проф. Елесин М.А. Спасибо за Ваш комментарий. Действительно, данная работа, работа Кирьянова В. В. и соавторов имеют некоторые точки прикосновения. Написание работ сопровождалось обменом опыта и сведений в данной области. С уважением, студент Г. А. Вашакидзе.

Симонян Геворг Саркисович

Отличная и практическая статья. Вопрос безопасности и риска всегда актуален. Желаю научних успохов. С уважением к.х.н., доцент Симонян Г.С.

Вашакидзе Гурам Амиранович

Уважаемый к.х.н., доцент Симонян Г.С. Спасибо за Ваш комментарий. Предложенная работа находится в начальной стадии, но с учетом того, что данная тема является актуальной и востребованной, есть желание работать в предложенном направлении. С уважением, студент Г.А. Вашакидзе.

Кайда Светлана Владимировна

Очень интересная статья. На данный момент проблема обеспечения информационной безопасности становится все более актуальной. Хочу добавить, что для построения и функционирования эффективной системы внутренней информационной безопасности необходимы три вещи: передача этой функции на аутсорсинг, комплексный подход и постоянное обновление системы. Желаю авторам успеха!

Вашакидзе Гурам Амиранович

Уважаемая Светлака Кайда. Спасибо за Ваш емкий и обоснованный комментарий. Предложенные Вами рекомендации построения эффективной системы информационной безопасности будут проанализированы и использованиы в последующих работах. С уважением, студент Г. А. Вашакидзе.

Горбийчук Михаил Иванович

Уважаемые авторы! Ваш доклад в многих положениях перекликается с докладом Кирякова В. В., Стефаненко П. В. и др. В частности совпадают формулы (1) Вашего доклада и ф-ла (2) доклада упомянутых авторов. Если это общеизвестная формула, то желательна ссылка на соответствующей источник. В целом работа заслуживает внимания. С уважением проф. М. И. Горбийчук.

Вашакидзе Гурам Амиранович

Уважаемый проф. М. И. Горбийчук. Спасибо за проявленный интерес к данной работе и Ваш комментарий. Действиетльно, предложенная статья, статья В.В. Кирьянова и соавторов имеют подобный подход к данному вопросу и некоторые аспекты решения поставленных задач. Да, конечно, имеется источник, в котором описана возможность применения аддитивного показателя качества и возможность реализации выбора средств защиты с помощью математических фомул: Герасимов Б.М., Дивизинюк М.М., Субач И.Ю. Системы поддержки принятия решений: проектирование, применение, оценка эффективности. – Севастополь: Издательский центр СНИЯЭиП, 2004. - 320 с. (раздел 1.8.3 Методы принятия решений в условиях неопределенности стр. 125). С важением, студент Г. А. Вашакидзе.

Mammadov Javanshir

Научный вопрос, который рассматривают авторы статьи, посвящается актуальной проблеме обеспечения безопасности ИТС. Для решения данного вопроса авторами был проведен анализ воздействия угроз на активы ИТС и разработан алгоритм оценки риска для информационно-телекоммуникационной системы. Простота изложения вопроса исследования и разработанного алгоритма является признаком надежности и эффективности функционирования системы в целом. Но применение метода интеллектуаллизации при разработке алгоритма обеспечил бы более высокий уровень надежности функционирования системы. С уважением д.т.н., проф. Мамедов Дж.Ф.

Вашакидзе Гурам Амиранович

Уважаемый д.т.н., проф. Мамедов Дж.Ф. Спасибо за проявленный интерес к данной работе и емкий комментарий. Предложенная работа находится в начальной стадии освоения всех деталей и тонкостей данного вопроса. Ваше пожелание применения меода интеллектуализации при разработке алгоритма внесет значительный вклад в написание последующих работ в данной области. С уважением, студент Г.А. Вашакидзе.

Трещалин Михаил Юрьевич

Уважаемые Коллеги! Предложенный Вами алгоритм решения задачи защиты ИТС актуален и полезен для практической деятельности. Очень интересная работа. Желаю повсеместного внедрения! С уважением д.т.н., профессор Трещалин М.Ю.

Вашакидзе Гурам Амиранович

Уважаемый д.т.н., профессор Трещалин М.Ю. Спасибо за внимание к работе, Ваш комментарий и пожелание. Несмотря на то, что предложенная работа находится в начальной стадии освоения данного вопроса, есть желание развиваться и работать над усовершенствованием и внедрением предложенных алгоритмов. С уважением, студент Г.А. Вашакидзе.
Партнеры
 
 
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
image
Would you like to know all the news about GISAP project and be up to date of all news from GISAP? Register for free news right now and you will be receiving them on your e-mail right away as soon as they are published on GISAP portal.