Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

Метод Дельфы в отличие от традиционного подхода к до-

стижению согласованности мнений экспертов путем открытой

дискуссии предполагает полный отказ от коллективных обсуж-

дений. Это делается с целью уменьшить влияние таких психоло-

гических факторов, как присоединение к мнению наиболее ав-

торитетного специалиста, нежелание отказаться от публично вы-

сказанного мнения, следование за мнением большинства. В ме-

тоде Дельфы принимаются специальные меры для исключения

влияния на конечный результат экспертов, обладающих даром

убеждать других. По мнению источника, данный метод, бесспорно

является самым распространенным как за рубежом, так и в на-

шей стране.

Прямые дебаты в данном методе заменены тщательно разра-

ботанной программой последовательных индивидуальных опро-

сов, проводимых обычно в форме анкетирования. Ответы экс-

пертов обобщаются и вместе с

новой

дополнительной информа-

цией поступают в распоряжение экспертов, после чего они уточ-

няют свои первоначальные ответы. Такая процедура повторяет-

ся несколько раз до достижения приемлемой сходимости сово-

купности высказанных мнений. Недостатками метода Дельфы

являются значительное время, требуемое на повторение большо-

го числа итераций экспертизы и необходимость неоднократного

пересмотра экспертом своих ответов, вызывающая у него отрица-

тельную реакцию.

20.3.

Экономический подход к оценке

эффективности КСЗИ

Материалы данного раздела основаны на лекции, читавшейся

преподавателями кафедры ИУ-8 МГТУ им. Баумана [19].

Подходы к определению размеров ущерба, который может быть

нанесен предприятию вследствие распространения сведений огра-

ниченного доступа, зависят от многих факторов:

• от области деятельности предприятия, к которой относятся

сведения;

• от степени определенности информации, используемой при

принятии решения (полная информация, знание вероятностных

характеристик, полная неопределенность);

•

от сферы проявления ущерба (в отдельных сферах либо ком-

плексно в нескольких сферах).

Рассмотрение моделей для определения размеров ущерба нач-

нем со случаев, когда сведения касаются достаточно узкой облас-

ти деятельности, сфера проявления ущерба ограничена и инфор-

мация для принятия решения вполне определенна.

390

20.3.1.

Определение размеров ущерба

с использованием моделей «осведомленность —

эффективность»

Рассматриваемый подход к оценке размеров ущерба, наступа-

ющего в результате распространения сведений, составляющих тай-

ну предприятия, основан на анализе влияния изменения осве-

домленности соперника (конкурента) об этих сведениях на эф-

фективность функционирования объектов — носителей сведений.

При этом анализируются объекты, находящиеся в наиболее ост-

ром конфликте с соответствующими объектами соперника, от

исхода которого зависит эффективность функционирования объек-

тов, их живучесть, затрагиваются жизненно важные интересы сто-

рон. Именно против них соперник будет использовать все имею-

щиеся в его распоряжении ресурсы и в первую очередь будет стре-

миться получить подробные сведения о них.

Основу рассматриваемого подхода составляет моделирование

функционирования объекта защиты в условиях реализации контр-

мер, разработанных с учетом полученной информации. Ущерб от

утечки сведений оценивается по величине снижения эффектив-

ности функционирования объекта и величине возникающих при

этом экономических потерь.

Для определения возможного ущерба вследствие распростра-

нения сведений выполняются следующие процедуры:

1) оценка априорной (исходной) осведомленности соперника

о защищаемых объектах (т.е. осведомленности до распростране-

ния сведений об объектах) и прогнозирование ее изменения в

течение жизненного цикла объекта защиты;

2) оценка изменения осведомленности соперника при распро-

странении сведений об объектах;

3) прогнозирование возможных контрмер (угроз) со стороны

соперника как результата его реакции на изменение осведомлен-

ности об объекте с учетом заблаговременной подготовки им науч-

но-технического задела для опережающей реакции;

4) моделирование влияния контрмер соперника на эффектив-

ность функционирования защищаемого объекта путем изменения

соответствующих исходных данных и параметров модели для оцен-

ки эффективности объекта; оценка снижения эффективности

объекта в зависимости от реализованных контрмер;

5) оценка экономического ущерба вследствие снижения эф-

фективности объекта.

Оценка априорной осведомленности соперника об объекте пред-

ставляет собой задачу прогнозирования «за соперника» характе-

ристик объекта и оценку точности и достоверности такого про-

гноза.

Источниками информации при прогнозировании являются:

391

• характеристики аналогичных объектов, опубликованные в

открытой печати, передаваемые другим предприятиям при веде-

нии переговоров;

• характеристики аналогичных объектов других организаций;

•

технические, физические, экономические и другие ограниче-

ния на достижимые значения отдельных характеристик защищае-

мых объектов;

• материалы осведомленности, поступающие от органов кон-

курентной разведки.

В качестве показателей оценки осведомленности соперника о

защищаемых объектах могут использоваться:

•

среднеквадратическая ошибка определения значения сведения

(характеристики); отклонение (смещение) математического ожи-

дания значения сведения от его истинного значения; вероятность

вскрытия (определения, измерения) сведения с заданной точно-

стью за заданное время; время вскрытия сведения с точностью, не

хуже заданной, — для сведений количественного характера;

• вероятность правильного распознавания (перепутывания)

объекта; вероятность определения сведения за заданное время;

время определения сведения с вероятностью, не менее заданной, —

для сведений качественного характера (например, назначение

объекта, наличие определенного свойства).

Оценка изменения осведомленности соперника при распро-

странении сведений осуществляется путем сравнения истинных

значений сведений со значениями сведений, которые могут быть

известны сопернику.

Если ошибки определения сведений по результатам прогноза

несущественны с точки зрения принимаемых решений по реали-

зации контрмер, то распространение сведений об объекте прак-

тически не повлияет на осведомленность соперника о нем и, сле-

довательно, на эффективность функционирования объекта.

Прогнозирование возможных контрмер против объекта осуще-

ствляется с использованием информации о существующих у со-

перника способах

средствах воздействия на защищаемый объект

и их возможном развитии. При этом необходимо определить, ка-

кие из контрмер могут быть быстро реализованы в краткосрочном

периоде времени, а какие требуют для реализации более длитель-

ного времени.

Следует отметить, что соперник предпринимает дополнитель-

ные контрмеры, если рассматриваемый объект представляет для

него

угрозу,

например, эффективность новых объектов значительно

превышает эффективность уже существующих.

Оценка снижения эффективности объекта в зависимости от

возможных контрмер осуществляется с использованием имеющих-

ся моделей функционирования защищаемых объектов путем из-

менения исходных данных и параметров моделей. Для этого мо-

392

дели должны быть чувствительны к изменениям в действиях со-

перника, и позволять получать оценки при значительном рефлек-

сивном изменении его облика в зависимости от осведомленности

об объекте.

Моделирование влияния контрмер соперника на эффективность

функционирования защищаемого объекта осуществляется с ис-

пользованием следующей процедуры. В процессе жизненного

цикла объектов, как правило, постепенно изменяется осведом-

ленность соперника от незнания их характеристик до полного и

достоверного их

знания.

Защищаемые объекты, как правило, слож-

ны по составу, могут характеризоваться значительным количеством

сведений, поэтому количество возможных вариантов (состояний

осведомленности) соперника может быть велико.

В то же время некоторые состояния осведомленности могут

отличаться несущественно относительно реализуемых на их ос-

нове контрмер и наносимого при этом ущерба. Поэтому выбира-

ется ограниченное число принципиально отличающихся друг от

друга состояний осведомленности о защищаемых объектах. Каж-

дое состояние осведомленности характеризуется совокупностью

(комбинацией) сведений, необходимых для реализации хотя бы

одной из контрмер.

Между различными состояниями осведомленности устанавли-

ваются отношения предшествования и следования во времени в

соответствии с расширением перечня сведений, характеризующих

эти варианты. В результате этого формируется граф изменения

осведомленности об объекте. Вершинам графа соответствуют раз-

личные состояния осведомленности, а дугам — переходы из од-

ного состояния в другое. Начальное состояние графа соответству-

ет случаю отсутствия у соперника достоверных сведений; конеч-

ное состояние — полной осведомленности.

Контрмеры соперника по возможности их одновременной ре-

ализации подразделяются на следующие классы:

•

простые (для данного состояния осведомленности существу-

ет только одна мера);

•

альтернативные (из нескольких вариантов мер одновременно

может реализоваться только одна);

•

обобщенные, реализуемые путем наращивания (при реализа-

ции всех мер формируется обобщенная мера).

Отношения между различными контрмерами также отобража-

ются в виде графа. Вершинам графа соответствуют простые и обоб-

щенные контрмеры, а дугам — включение данной контрмеры в

обобщенную контрмеру.

Взаимосвязь между вариантами осведомленности и контрме-

рами отображаются в виде дуг, соединяющих два вышеназванных

графа. Каждой из дуг может быть поставлена в соответствие оцен-

ка времени перехода системы из одного состояния в другое, кото-

393

рые связываются этими дугами.

Для

получения оценок влияния

осведомленности

об

объекте

на

эффективность

его

функциони-

рования

величину возникающего ущерба рассматриваются про-

цессы, протекающие

трех взаимосвязанных графах: изменения

осведомленности, реализации контрмер

изменения эффектив-

ности функционирования объекта. Содержание этих процессов

состоит

следующем.

Последовательно

определенному моменту времени достига-

ется одно

из

состояний графа осведомленности. При достижении

этого состояния начинается процесс реализации соответствующей

контрмеры.

При

реализации этой контрмеры достигается одно

из

состояний

графе изменения эффективности функционирования

объекта. Время достижения заданного состояния

графе измене-

ния эффективности функционирования объекта рассчитывается

как сумма времени, необходимого сопернику для достижения

со-

ответствующего состояния осведомленности,

времени, необхо-

димого

для

реализации связанных

этим состоянием контрмер.

Результаты расчетов эффективности функционирования объекта

при различной осведомленности соперника упорядочиваются

по

величине эффективности

также отображаются

виде графа,

наглядно отображающего процесс снижения эффективности функ-

ционирования объекта

при

возрастании осведомленности

о нем

соперника.

Оценка экономического ущерба вследствие снижения эффек-

тивности объекта может быть получена двумя способами. Первый

способ заключается

определении дополнительных денежных

за-

трат, необходимых

для

восстановления утраченной эффективно-

сти объекта (путем применения дополнительного количества объек-

тов, выделения дополнительных ресурсов для этих объектов

т.д.).

Величина экономического ущерба при восстановлении эффек-

тивности

за

счет применения дополнительного количества объек-

тов рассчитывается

по

формуле

г/=Л

сер^

доп

[(С

сер +

гэ

)Т

(20.8)

где

cep

—

объем серийного производства рассматриваемых объек-

тов;

aon

—

необходимое дополнительное количество объектов,

приходящихся

на

один исходный объект;

сер

—

стоимость

се-

рийного производства объекта;

гэ

—

стоимость годовой эксплуа-

тации объекта;

—

продолжительность эксплуатации объекта.

Величина

mTl

рассчитывается

использованием методик

(мо-

делей) оценки эффективности объектов

из

условия восстановле-

ния

их

проектной эффективности, снизившейся вследствие воз-

растания осведомленности соперника

характеристиках послед-

них.

Второй способ оценки экономического ущерба основывается

на оценке денежных затрат

на

создание объекта

требуемой

про-

394

ектной эффективностью. При снижении эффективности вслед-

ствие возрастания осведомленности соперника и принятия им

контрмер считается, что определенная доля затрат на создание

объекта, пропорциональная снижению эффективности, затрачена

впустую и отражает величину ущерба. В этом случае величина

экономического ущерба ориентировочно рассчитывается по фор-

муле

ЛГ

ер

сер

8Ж,

(20.9)

где

W/ W— относительное снижение эффективности объек-

та вследствие возрастания осведомленности соперника о его ха-

рактеристиках; W — проектная эффективность объекта;

—

ожидаемое снижение эффективности объекта вследствие возрас-

тания осведомленности и принятия соперником контрмер.

20.3.2.

Определение размеров ущерба

с использованием экспертных оценок

Ключевым моментом в отнесении информации к категории

ограниченного доступа является оценка величины ущерба, нано-

симого предприятию в результате преждевременного раскрытия

информации.

В рассматриваемой проблеме мы сталкиваемся со случаем, когда

не существует элементарных измеримых свойств ущерба безопас-

ности предприятия и возможности его нанесения в случае рас-

крытия или утечки информации. Отсутствие статистических дан-

ных и трудность оценки ущерба безопасности предприятия в ре-

зультате раскрытия информации определяют выбор метода экс-

пертных оценок для его измерения.

Для сопоставления различных сведений, определяющих необ-

ходимость их закрытия или ограничения доступа к ним, а также

для определения соответствующей этим сведениям степени кон-

фиденциальности, можно сравнивать рассматриваемые сведения

по степени проявления всей совокупности возможных угроз в слу-

чае несанкционированного распространения сведений, составля-

ющих тайну.

В этом случае возникает задача ранжирования, или определе-

ния «веса» (важности) каждой угрозы с тем, чтобы получить еди-

ную меру или показатель, характеризующий угрозу безопасности

предприятия в целом. Важность угроз безопасности предприятия

можно оценивать по величине возможного ущерба, который мо-

жет быть нанесен при их реализации.

Для распределения угроз безопасности предприятия по раз-

личным рангам важности оценивается их числовое значение ис-

ходя из парных сравнений важности угроз. При этом использует-

ся избыточная информация, поскольку каждая угроза

последова-

395

тельно сравнивается со всеми остальными. Методологической

основой проведения этой работы целесообразно выбрать метод,

разработанный Т.Л.Саати.

При оценке угроз и связанной с ними важности «ущербов»

необходимо прежде всего разрешить проблему измерения вели-

чины возможного ущерба, который может проявиться в результа-

те раскрытия (утечки) информации.

Чтобы представить результат сравнения двух «ущербов» в виде

разумных цифр, требуется глубокое понимание сравниваемых

«ущербов» и в особенности того, в какой степени их свойства

влияют на интересы предприятия. Предполагается, что источни-

ком суждений является опрос экспертов, осведомленных в дан-

ной области.

Группе экспертов предлагается оценить степень важности ущер-

бов по их влиянию на интересы предприятия методом парного

сравнения и заполнить матрицу парных сравнений А -

(а,-,).

Каж-

дый эксперт, пользуясь вербально-числовой шкалой, заполняет

матрицу парных сравнений:

/<%/>

*> б,

где

ау

— результат сравнения относительной важности /-го

и у'-го

«ущерба».

Параметры

назначаются в соответствии с вербально-число-

вой шкалой, приведенной в табл. 20.3.

Основная цель применения вербальной числовой шкалы со-

стоит в том, чтобы облегчить задачу привлекаемым к экспертизе

специалистам и обеспечить единое толкование оценок отдельны-

ми экспертами.

Важности ущербов определяются на основе вычисления мно-

жества собственных векторов для каждой матрицы. Вычисление

собственных векторов — не очень сложная задача, однако может

потребовать довольно много времени. К счастью, имеются не-

сложные пути получения хорошего приближения к приоритетам.

Одним из наилучших путей является геометрическое среднее. Это

можно сделать, перемножая элементы в каждой строчке и извле-

кая корни п-й степени, где п — число элементов. Полученный

таким образом столбец чисел нормализуется делением каждого

числа на сумму всех чисел.

Пример парного сравнения важности ущербов представлен в

табл. 20.4.

Все оценки парных сравнений подвержены погрешностям, ко-

торые могут привести к несогласованным выводам. Степень со-

гласованности суждений экспертов оценивается индексом согла-

сованности (ИС).

В каждой матрице ИС может быть приближенно вычислен

следующим образом. Сначала суммируется каждый столбец суж-

396

Таблица 20.3. Шкала сравнительной оценки важности угроз

(ущербов)

Величина

относительной

важности

2,4,6,8

Величины,

обратные

приведенным

выше

Определение

Равная важность

Умеренное превосходство

одного над другим

Существенное или сильное

превосходство

Значительное

превосходство

Очень сильное

превосходство

Промежуточные решения

между двумя соседними

Если при сравнении одного

вида ущерба с другим полу-

чено одно из вышеуказан-

ных чисел (например, ве-

личины 5), то при сравне-

нии второго вида ущерба

с первым получаем обрат-

ную

величину(например,

1/5)

Объяснение

Равное влияние двух

видов ущерба на безопас-

ность предприятия

Опыт и суждения позво-

ляют сделать вывод о не-

много большем воздей-

ствии одного ущерба

по сравнению с другим

Опыт и суждения позво-

ляют

вывод

сильном

воздействии одного ущер-

ба по сравнению с другим

Одному виду ущерба

дается настолько сильное

превосходство, что он

становится практически

значительным

Очевидность превосход-

ства одного вида ущерба

над другим подтвержда-

ется наиболее сильно

Применяются в компро-

миссном случае

дений, затем сумма первого столбца умножается на величину

первой компоненты нормализованного вектора приоритетов,

сумма второго столбца — на вторую компоненту и т.д. Затем

полученные числа суммируются. Таким образом можно полу-

чить величину, обозначенную X. Для индекса согласованности

имеем ИС =

(к

- п)/(п - 1), где п — число сравниваемых элемен-

тов. Для обратно симметричной матрицы всегда X > п.

397

Таблица

20.4.

Матрица парных сравнений

Ущерб

i/6

1/8

1/4

Оценка компонент

собственного вектора

3,63

0,87

0,31

Нормализованный

результат оценки

0,74

0,18

0,07

Сравним

эту

величину

с той,

которая получилась

бы при

случайном выборе количественных суждений

из

шкалы

1/9, 1/8,

1/7,...,

1, 2,..., 9, но при

образовании обратно симметричной мат-

рицы. Ниже даны средние согласованности

для

случайных мат-

риц разного порядка:

Размер матрицы

123456789

Случайная согласо-

ванность

0 0,58 0,9 1,12 1,24 1,32 1,41 1,45 1,49

Если разделить

ИС на

число, соответствующее случайной

со-

гласованности матрицы того

же

порядка, получим отношение

со-

гласованности (ОС). Величина ОС должна быть порядка

или

менее, чтобы быть приемлемой.

некоторых случаях можно допу-

стить

но не

более. Если

ОС

выходит

из

этих пределов,

то

участникам нужно исследовать задачу

проверить свои суждения.

Для рассматриваемого примера имеем:

(1 +

1/6

1/8)

•

0,75

1 +

1/4)

•

0,18

•

0,07

3,19;

ИС =

(3,19 - 3)/(3 - 1)

0,095;

ОС =

0,095/0,58

0,16 (16

%).

Полученная величина

ОС

меньше

20%,

следовательно, согла-

сованность экспертов достаточная.

Полезным способом исследования большого числа угроз,

по-

зволяющим существенно сократить объем вычислений, является

группирование

их в

классы. После анализа классов угроз безопас-

ности предприятия

их

элементы попарно сравниваются между

собой

по

величине ущерба

по

относительной важности

этом

классе.

В общем случае величина ущерба

от

реализации отдельной

уг-

розы безопасности предприятия зависит

от

внешних

внутрен-

них условий развития предприятия. Вследствие этого сопоставле-

ние угроз должно проводиться

для

возможных сценариев, причем

для каждого формируется свой

ряд

«весов» угроз

с тем,

чтобы

дальнейшем

при

определении совокупного ущерба

от

распро-

странения оцениваемого сведения

для

определения степени кон-

фиденциальности выбрать максимальный ущерб

из

множества

совокупных ущербов, соответствующих различным рассмотрен-

ным сценариям развития предприятия.

398

Предполагается, что для оценки каждого подмножества угроз

выбирается группа экспертов, знакомых со сравниваемыми угро-

зами и их влиянием на безопасность предприятия.

После определения векторов приоритетов всех уровней иерархии

угроз рассчитывается вектор приоритетов угроз нижнего уровня.

Расчет величин возможных ущербов в результате проявления

отдельных угроз безопасности предприятия может быть получен

также с использованием имеющихся математических моделей,

например рассмотренной в разд. 20.3.1. Если в обоих случаях (с

помощью экспертов и на моделях) не были допущены грубые про-

счеты, то полученные оценки нельзя отнести к категории взаимо-

исключающих результатов. Наоборот, оба подхода, дополняя друг

друга на независимой основе, должны обеспечить более объек-

тивную выработку требуемых рекомендаций.

Не все из оцененных по величине ущерба угроз безопасности

предприятия могут проявляться при раскрытии того или иного

сведения. Оценка возможности возникновения угроз в результате

раскрытия или утечки тех или иных сведений может быть прове-

дена с помощью экспертов, хорошо понимающих ценность этой

информации

связь таких сведений с угрозами безопасности пред-

приятия. Для однозначного представления оценок используется

специальная вербально-числовая шкала.

Степень связи

«сведение—угроза»

характеризует «вероятность»

проявления оцениваемой угрозы безопасности предприятия при

раскрытии (утечке) соответствующего сведения. Оценку степени

связи

«сведение—угроза»

необходимо проводить для различных

моментов времени. Указание момента времени и периода прогно-

за оценки степени связи

«сведение—угроза»

является важным

пунктом при проведении экспертизы, так как возможность про-

явления угроз при раскрытии того или иного сведения является

случайной величиной и зависит от многих факторов, в том числе

от складывающейся в стране и мире политической и экономичес-

кой ситуации.

Оценки степени или возможности нанесения ущерба безопас-

ности предприятия в результате утечки отдельных сведений субъек-

тивны в том смысле, что два человека могут приписать различные

числа одному и тому же возможному исходу. Однако поскольку

эти оценки базируются на информации, опыте и анализе объек-

тивной действительности, предполагается, что при прочих рав-

ных условиях различие между ними не столь существенно и для

подготовки решений использовать их нельзя.

В результате проведенных оценок и обработки полученных

данных формируется матрица

«сведения—угрозы»,

элементы ко-

торой характеризуют возможность проявления угроз безопасно-

сти предприятия в результате преждевременного раскрытия ин-

формации.

399