Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

4. Критерии аудита информационной безопасности.

5. Организационно-методологические основы проведения ауди-

та информационной безопасности.

5.1. Взаимоотношение аудиторов с представителями проверяе-

мой организации.

5.2. Управление программой аудита информационной безопас-

ности.

5.3. Этапы проведения аудита информационной безопасности.

6. Инструментальное обеспечение аудита информационной

безопасности.

7. Требования к кадровому обеспечению аудиторской деятель-

ности в области информационной безопасности.

8. Реализация первоочередных мероприятий по обеспечению

аудиторской деятельности в области информационной безопас-

ности.

Согласно этому документу, под аудитом информационной без-

опасности организации понимается периодический, незави-

симый от объекта аудита и документированный процесс полу-

чения свидетельств аудита и объективной их оценки с целью

установления степени выполнения в организациях установлен-

ных требований по обеспечению информационной безопасно-

сти.

По содержанию аудит ИБ разделяется на следующие виды:

• аудит ИБ АС, эксплуатирующихся в организации;

• аудит ИБ организации.

Задачей аудита ИБ АС, эксплуатирующихся в организации,

является проверка состояния защищенности конфиденциальной

информации в организации от внутренних и внешних угроз, а

также программного и аппаратного обеспечения, от которого за-

висит бесперебойное функционирование АС. Данный вид подра-

зумевает как документальный, так и инструментальный аудит со-

стояния защищенности информации при ее сборе, обработке,

хранении с использованием различных

АС.

Задача аудита ИБ организации — проверка состояния защи-

щенности интересов (целей) организации в процессе их реализа-

ции в условиях внутренних и внешних угроз, а также предотвра-

щение утечки защищаемой конфиденциальной информации, воз-

можных несанкционированных и непреднамеренных воздействий

на защищаемую информацию.

Аудит ИБ АС, эксплуатирующихся в организации, может про-

водиться как самостоятельный вид аудита, а также являться час-

тью аудита ИБ организации. При этом он может проводиться во

время проведения аудита ИБ организации или же при проведе-

нии аудита ИБ организации могут использоваться результаты ра-

нее проведенного аудита ИБ АС, эксплуатирующихся в организа-

ции.

380

По форме аудит ИБ может быть внутренним и внешним. Внут-

ренний аудит ИБ проводится самой организацией или от ее име-

ни для внутренних целей и может служить основанием для при-

нятия декларации о соответствии требованиям стандартов или

нормативных документов по защите информации и обеспечению

информационной безопасности. Внешний аудит ИБ проводится

внешними независимыми коммерческими организациями, имею-

щими лицензии на осуществление аудиторской деятельности в

области ИБ.

Внешний аудит ИБ обязателен для всех государственных или

негосударственных организаций, являющихся собственником или

пользователем конфиденциальной информации, требующей за-

щиты в соответствии с законодательством Российской Федера-

ции, а также для всех организаций, эксплуатирующих объекты

ключевых систем информационной и телекоммуникационной

инфраструктуры Российской Федерации. Внешний аудит ИБ осу-

ществляется в соответствии с Федеральными законами, стандар-

тами и иными нормативными или правовыми актами по проведе-

нию аудита ИБ.

Основной целью аудита ИБ является установление степени со-

ответствия применяемых в организации защитных мер выбран-

ным критериям аудита ИБ.

Целями аудита ИБ могут быть:

•

потребности руководства организации в оценке защищенно-

сти конфиденциальной информации, полноты и качества выпол-

нения требований по обеспечению ИБ и защите информации;

•

оценка полноты и качества выполнения требований, предъяв-

ляемых к организации или АС, при их сертификации на соответ-

ствие законодательным требованиям, стандартам по ИБ, норма-

тивным документам или политикам безопасности либо требова-

ниям, предусмотренным контрактом;

• установление соответствия требованиям потребителей или

потребностям заинтересованных сторон;

• необходимость оценки поставщика услуг;

• оценка результативности системы управления ИБ для дости-

жения конкретных целей;

• определение областей совершенствования обеспечения ИБ

организации и защиты конфиденциальной информации.

Цели аудита ИБ определяет заказчик аудита ИБ. Исходя из

целей аудита ИБ, заказчиком внешнего аудита ИБ может быть

проверяемая организация или любая другая организация, имею-

щая регулирующее или контрактное право заказывать аудит ИБ.

Аудитором по ИБ является физическое лицо, отвечающее ква-

лификационным требованиям и имеющее квалификационный ат-

тестат аудитора по ИБ, выдаваемый уполномоченным федераль-

ным органом или органом по аккредитации аудиторской деятель-

381

ности в области ИБ. Аудитор может осуществлять свою деятель-

ность индивидуально или в составе аудиторской организации

по

Б.

Аудиторская организация по ИБ — это коммерческая органи-

зация, осуществляющая аудиторские проверки по ИБ, оказываю-

щая сопутствующие аудиту ИБ услуги. Аудиторская организация

по ИБ осуществляет свою деятельность после получения лицен-

зии от уполномоченного Федерального органа по аккредитации и

лицензированию для выполнения аудита в области

Б.

Глава

Методы и модели оценки

эффективности КСЗИ

20.1.

Показатель уровня защищенности,

основанный на экспертных оценках

Многие методы и модели оценки эффективности КСЗИ были

рассмотрены нами в предыдущих главах. В гл.

были приведены

формальные модели безопасности, в гл. 19 — рассмотрены веро-

ятностный и оценочный подходы к оценке безопасности, а также

требования руководящих документов. В настоящей главе мы про-

должим разговор об оценке эффективности КСЗИ и остановимся

на двух основных аспектах, не рассмотренных в предыдущих гла-

вах. В разд. 20.1 показано, как можно ввести показатель защи-

щенности, основанный на экспертных оценках, а в разд. 20.2 при-

ведены различные подходы к проведению необходимого для это-

го экспертного опроса. Раздел 20.3 посвящен вопросам экономи-

ческой эффективности КСЗИ, поэтому он в какой-то степени

перекликается с разд. 1.4.

Для определения состояния безопасности информации в уч-

реждениях, автоматизированных системах на основе совокупно-

сти сформированных тестов можно использовать показатель, при-

меняемый для оценки уровня защищенности, базирующийся на

оценках тестируемого (он предложен в работе [19]).

Указанный уровень определяется по результатам ответов со-

трудников предприятия на предлагаемые экспертами п вопросов.

Предварительно эксперты определяют коэффициенты важности

(KB)

Pj,j

= l,n каждого задаваемого вопроса, используя метод

относительного ранжирования, в котором список всех вопросов

заносится в таблицу относительного ранжирования (попарного

сравнения). Такой метод позволяет сравнить два элемента, игно-

рируя все остальные, что значительно облегчает процесс приня-

тия решения. Эксперт принимает решение путем голосования за

один из вопросов (1 голос) либо путем разделения своего голоса

(если значимость вопросов, по его мнению, одинакова, то в таб-

лицу заносятся числа 0,5 и 0,5). После формирования

они

нормализуются по формуле

383

PNj=Pj/^Pj

(20.1)

7=1

таким образом, чтобы выполнялось условие

f.PNj-1

(20.2)

Далее вводится лингвистическая переменная (ЛП) — «уро-

вень защищенности», базовое терм-множество которой представ-

ляется пятью нечеткими термами Т

{Т

, Т

имею-

щими соответственно названия «низкий» (Н), «ниже среднего»

(НС), «средний» (С), «выше среднего» (ВС) и «высокий» (В).

Диапазон изменения параметров (носителей)

l,L (L

5 —

количество термов) можно отобразить на универсальное множе-

ство

[0, 4], а функции принадлежности

\i,,

\,L

определить

следующим образом:

-i

Ц/

, .,

..,

л2

(20.3)

В результате получаются следующие эталонные нечеткие чис-

ла (НЧ), отражающие введенную

ЛП:

{1.0/0,

0.5/1,

0.2/2,

0.1/3,

0.06/4},

НС

{0.5/0,1.0/1,

0.5/2,

0.2/3,

0.1/4},

{0.2/0,

0.5/1,1.0/2,

0.5/3,

0.2/4},

(20.4)

ВС

{0.1/0,

0.2/1,

0.5/2,

1.0/3,

0.5/4},

{0.06/0,

0.1/1,

0.2/2,

0.5/3,1.0/4},

графическое изображение которых представлено на рис. 20.1.

Для построения показателя сотрудник должен ответить на п

вопросов по

УУ-балльной

шкале, причем значение

может быть

различным для каждого вопроса.

Далее диапазон

Г^

;

-,АГЛ

{X_j

0, Xj

изменения парамет-

ра X), j

(количество баллов по каждому вопросу) отобража-

ется на универсальное

множество^

= [0, L - 1]. Пересчет фик-

сированного значения

e.X_.,Xj

соответствующий элемент

€

[0,1

-1]

выполняется по формуле

=(L-l)-

(20.5)

384

0,9

0,8

0,7

0,6

0,5

0,4

0,3

0,2

НС

ВС

\г /

/ \.

•

у.

•х /

/ \

\ А

! Ч

^s'

.^" ^^

ч/^

*ч /

^""^««^^^

—.

'—"

1 2 3

Рис.

20.1.

Эталонные нечеткие числа

а функции принадлежности

ц/(£/*),/

= l,L

нечеткого терма

с но-

мером

определяются

так:

i+(K-i+i)

(20.6)

где

PNj,

j = l,n —

коэффициенты важности, определенные экс-

пертом

по

каждому вопросу.

В завершение формируется показатель уровня защищенности,

образованный

на

основании следующего нечеткого логического

выражения:

M*J)=

У, АЦ/.

(20.7)

где

-\,L

—

номер терма

из

базового терм-множества

Т;

-\,п

—

номер вопроса.

В работе

[19]

приведен следующий пример. Пусть служащему

организации были заданы следующие вопросы

(п = 4):

Хранятся

ли

свежие копии данных

за

пределами организа-

ции (дайте оценку

пределах

от

нуля

до

трех)?

Часто

ли

производится резервное копирование данных (оцен-

ку произведите

диапазоне

от

нуля

до

пяти)?

Производится

ли

антивирусный контроль

(для

ответа выбе-

рите значение

от

нуля

до

десяти)?

Всегда

ли

удаляются ненужные файлы (ответ лежит

преде-

лах

от

нуля

до

четырех)?

Грибунин

385

Таблица

20.1.

Результаты вычисления KB по результатам

экспертного опроса

№

вопроса

1,9

1,2

0,2

3,1

1,4

3,8

3,6

0,8

4,8

3,9

4,2

/>,;=1,4

3,1+3,8

4,8

11,7

1,9+3,6+3,9=9,4

1,2

1,4+4,2

6,8

0,2+1,1+0,8

2,1

PNj,

0,39

0,31

0,23

0,07

Ответы

(в

баллах)

Xf,j=

1,4

1,5

3,5

3,6

№

вопроса

u],j

2,8

0,8

3,6

Та

Щф

0,08

0,07

0,63

0,48

блица 20.2

v№)

0,34

0,17

0,96

0,56

\4(Vj)

0,54

0,44

0,7

v№)

0,34

0,95

0,2

0,92

»Щ)

0,08

0,33

0,11

0,96

Результаты вычисления

каждого из вопросов, определяе-

мые группой из пяти экспертов, и ответы служащего представле-

ны в табл. 20.1.

Далее по формулам (20.5) и (20.6) вычисляются значения U*,

1,4 и

|x/(£/J),

j = 1,5. Результаты вычислений представлены в

табл. 20.2.

По выражению (20.7) вычисляется показатель уровня защищен-

ности по формуле

{X*)

v л

\xj.

В результате вычисления по-

j=\

лучим, что

(т.е.

3), поэтому для принятия решения об

уровне защищенности следует выбрать название терма

Следо-

вательно, для данного примера уровень защищенности определя-

ется как средний.

Рассмотрим подробнее методы проведения экспертного опроса.

20.2.

Методы проведения экспертного опроса

Методы опроса делятся на две группы [2]:

• очные (личные) и заочные;

• индивидуальные и групповые (коллективные).

386

Личный опрос — это процедура, в процессе которой исследо-

ватель осуществляет очный контакт с экспертом. Недостатком оч-

ного опроса являются большие затраты труда и времени со сторо-

ны как исследователя, так и экспертов. Необходимость длитель-

ного участия в экспертизе обычно вызывает недовольство со сто-

роны экспертов. Кроме того, при очном опросе могут возникать

нежелательные искажения информации вследствие психологиче-

ского воздействия исследователя на эксперта.

Заочный опрос осуществляется путем пересылки анкеты экс-

перту по почте, его преимущества — простота и дешевизна. Одна-

ко надежность полученных данных может быть ниже, чем при

очном опросе, поскольку некоторые вопросы эксперт может не-

правильно истолковать, а на некоторые вообще не дать ответа.

Рассмотрим вторую группу методов проведения опроса более

подробно.

Индивидуальные методы опроса. Сравнительно простым ме-

тодом проведения индивидуального экспертного опроса является

способ типа «интервью». Название метода говорит само за себя:

свои суждения эксперт высказывает в беседе с человеком, осуще-

ствляющим опрос (прогнозистом), отвечая на поставленные пе-

ред ним вопросы. Эксперт в данном случае не имеет времени для

предварительного анализа вопросов, поэтому прогнозист при про-

ведении интервью должен тщательно продумывать формулиров-

ки и смысловое содержание вопросов. Необходимо учитывать тот

факт, что наш язык является полиморфным, и в силу этого воп-

росы нужно формулировать так, чтобы всеми экспертами они

понимались однозначно. Результаты интервью во многом зависят

от специальной подготовленности прогнозиста и от его умения

вести свободную беседу, удерживая инициативу в своих руках.

Вторым способом проведения индивидуального экспертного

опроса является «аналитический» способ. Сюда относятся до-

кладная записка и морфологический анализ. Аналитический спо-

соб предполагает длительную работу эксперта по анализу постав-

ленных перед ним вопросов. Термин «морфологический анализ»

был впервые введен американским астрофизиком Ф. Цвики, ко-

торый занимался техническим прогнозированием в области реак-

тивных двигателей. При использовании этого метода объект про-

гнозирования рассматривается прежде всего с точки зрения его

структуры, а не с точки зрения выполняемых им функций.

В основе морфологического метода лежит заранее разработан-

ная схема рассмотрения объектов прогнозирования, предназна-

ченная для выявления возможных вариантов решений некоторой

многоаспектной проблемы. При этом выделяются различные типы

характеристик анализируемых объектов, их различные свойства с

указанием элементов каждого типа. Затем формируются различ-

ные варианты развития анализируемых объектов на основе пере-

387

бора всех возможных сочетаний характеристик каждого типа. Об-

щее число вариантов может быть определено как произведение

количества элементов каждого типа:

где V

—

общее число вариантов построения некоторого техниче-

ского средства;

= 1,

2,...,

п\

п — количество различных характе-

ристик;

— количество характеристик г'-го типа.

В процессе анализа каждого из выделенных вариантов эксперт

определяет те из них, которые перспективны с точки зрения до-

стижения определенной цели в будущем.

Важным при использовании морфологического метода являет-

ся способ оценки эффективности различных вариантов.

Групповые методы опроса в общем случае предполагают, что

мнение группы экспертов надежнее, чем мнение отдельного инди-

видуума, что обусловило популярность групповых методов опро-

са. Основное преимущество этих методов заключается в возмож-

ности разностороннего анализа количественных и качественных

аспектов проблемы. Недостатком является то, что мнения даже

специалистов в одной узкой области могут расходиться, а, значит,

не исключено, что на один и тот же вопрос можно получить от

специалистов одного профиля различный ответ.

Групповые методы экспертного опроса делятся на два класса:

одни используют открытую дискуссию, другие — опрос с

помо-

щью анкет. Представителями открытой дискуссии являются ме-

тоды комиссии, суда, мозговой атаки (мозговой штурм, отнесен-

ная оценка). Недостаток дискуссии в том, что для оценки обоб-

щенного мнения всей группы экспертов не используется аппарат

математической статистики. Анкетирование исключает непосред-

ственное общение между экспертами. Свои заключения по по-

ставленным перед ними вопросам эксперты представляют ано-

нимно. Такой способ организации работы экспертов использует

метод Дельфы.

Метод комиссии состоит в открытой дискуссии по обсуждае-

мой проблеме для выработки единого мнения экспертов. Коллек-

тивное мнение определяется в результате тайного или открытого

голосования. В некоторых случаях к голосованию не прибегают,

выявляя результирующее мнение в процессе дискуссии. Преиму-

щество метода комиссии состоит в росте информативности экс-

пертов, поскольку при обсуждении эксперты приводят обоснова-

ния своих оценок, под воздействием которых некоторые участни-

ки комиссии могут изменить первоначальную точку зрения.

К недостаткам относится отсутствие анонимности. Оно может при-

водить к достаточно сильным проявлениям конформизма со сто-

роны экспертов, присоединяющих свои мнения к мнению более

388

компетентных и авторитетных экспертов даже при наличии про-

тивоположной точки зрения. Дискуссия часто сводится к полеми-

ке наиболее авторитетных экспертов, в которой часто верх берет

не обоснованность, а количество приводимых доводов «за» и «про-

тив». Кроме того, публичность высказываний может приводить к

нежеланию некоторых экспертов отказаться от ранее высказан-

ного мнения, даже если оно в процессе дискуссии претерпело

изменения. При использовании метода комиссии не исключено

взаимное влияние мнений экспертов, которое при соблюдении

ряда условий может способствовать созданию творческой атмо-

сферы и непрерывному генерированию идей.

Экспертиза по методу суда использует аналогии с судебным

процессом. Часть экспертов объявляется сторонниками рассмат-

риваемого решения, они выступают в качестве защиты, приводя

доводы в его пользу. Часть экспертов регулируют ход экспертизы

и выносят окончательное решение. В процессе экспертизы «функ-

ции» экспертов могут меняться. Метод суда обладает теми же пре-

имуществами и недостатками, что и метод комиссии.

Метод мозговой атаки — один из наиболее применяемых в

—60-х

гг. XX в. методов. Основная направленность мозговой

атаки — выявление новых идей. Суть метода заключается в про-

ведении ряда заседаний членов экспертной группы с соблюдени-

ем следующих правил:

• концентрируется внимание на одной четко сформулирован-

ной проблеме;

• подхватывается идея любого рода.

Последнее правило основано на гипотезе о том, что:

• среди большого числа идей имеется по меньшей мере не-

сколько хороших;

• не подвергается критике ни одна идея;

• не оценивается априори значение или смысл любой идеи.

В мозговой атаке существенная роль принадлежит руководите-

лю, знающему о конечной цели экспертизы и направляющему

дискуссию в соответствующее русло. Однако если руководитель

стремится выделить лишь перспективные, с его точки зрения, идеи,

результат экспертизы оказывается менее значительным. Основ-

ной недостаток метода состоит в том, что приходится оценивать

все идеи. Многие из них оказываются глупы или совершенно не

относятся к рассматриваемому вопросу.

Синектика — метод, при котором проблема рассматривается

небольшой группой экспертов. Руководитель экспертизы выдви-

гает проблему, объясняет ее, а эксперты предлагают вариант ре-

шения. Несколько минут руководитель анализирует его и гово-

рит, что ему в нем нравится, а что нет. Затем выдвигаются новые

предложения, которые также анализируются до тех пор, пока не

будет найдено возможное решение.

389