Главная » Статьи по системам безопасности - видеонаблюдение, скс, скд, атс » Методика классификации угроз
Статьи

Методика классификации угроз

Журнал "БДИ" № 4, 2009 год

Владимир Маликов,
Учебный центр Департамента охраны МВД Республики Беларусь


Одним из важных этапов проектирования современных систем информационной безопасности для объектов различных категорий является составление перечня угроз с последующей их классификацией, что позволяет обеспечить адекватный им выбор методов и средств защиты. При классификации угроз информационной безопасности необходимо выполнять их анализ с учетом жизненного цикла системы защиты и предъявляемых к ней требований, что в совокупности гарантирует защиту объектов от несанкционированного доступа.

Целью настоящей статьи является разработка методики классификации угроз иерархической системы информационной и инженерно-технической защиты объектов с учетом этапов ее жизненного цикла. На сегодняшний день понятие жизненного цикла системы используется в ряде нормативных документов, а также в практической деятельности компаний в области обеспечения информационной безопасности. Так, согласно NIST 800-30 [1], считается, что система управления рисками должна быть интегрирована в систему управления жизненным циклом. По исследованиям группы R&D Effectiveness компании Alcatel [2] — под жизненным циклом изделия следует понимать совокупность всех операций, необходимых для того, чтобы описать, разработать, реализовать, скомплектовать, использовать, обслуживать и прекратить выпуск изделия и его соответствующих вариантов.

Следует отметить, что типовые схемы жизненного цикла описываются международным стандартом ISO/IEC 15288:2008 «Системная инженерия — процессы жизненного цикла систем» [3], согласно положений которого стадии жизненного цикла жестко стандартом не документируются и могут сосуществовать или возобновляться после завершения. Таким образом, с учетом присутствия в проектируемой системе защиты различных компонентов оборудования, программного обеспечения, персонала и др. единой стандартизованной схемы жизненного цикла для систем защиты объектов пока не существует.

При проведении классификации угроз иерархической системы информационной и инженерно-технической защиты с учетом обеспечения комплексной безопасности предлагается принять во внимание следующие этапы жизненного цикла системы защиты объектов:

1. Проектирование и построение.
2. Внедрение.
3. Эксплуатация.
4. Модернизация/утилизация.

Важность этапа проектирования и установления требований к продукту обусловлена тем, что лишь 52% первоначально установленных требований к продукту находят свое отражение в его окончательной версии [4].

После принятия решения о внедрении комплексной системы безопасности следующая задача — обеспечение успешного завершения внедрения с минимальной затратой ресурсов. Ключевым элементом успеха этапа внедрения является адекватное определение целей проекта внедрения, его задач, требуемого уровня качества, необходимого сочетания всех видов ресурсов: человеческих, финансовых, временных и др. Согласно экспертному отчету «Навстречу переменам: рынок информационной безопасности-2007» LETA IT-company (Россия) [5], затраты на внедрение средств информационной безопасности в России к 2010 году будут составлять до 30% от общей стоимости рынка безопасности.

Необходимость этапа эксплуатации системы защиты обусловлена тем, что от надежной и устойчивой работоспособности системы защиты напрямую зависит возможность функционирования организации, предприятия в целом. Согласно экспертному отчету «Навстречу переменам: рынок информационной безопасности-2007/2008» LETA IT-company (Россия) [6], в области информационной безопасности в России в 2007–2008 годах: стоимость работ по оказанию (сопровождению) услуг составила 29% от общего рынка безопасности в 912 млн. долларов США, стоимость программного обеспечения составила 65% от общего рынка безопасности, стоимость аппаратного обеспечения составила 6% от общего рынка безопасности.

Проблемы модернизации/утилизации системы обеспечения безопасности являются ключевыми при определении технической и экономической целесообразности дальнейшей эксплуатации системы. Так, по данным Gartner Inc. [7], сопровождение программных продуктов занимает 60-80% затрат на весь производственный цикл, а 40% времени разработчики тратят не на разработку, а на поддержку уже рабочей системы.

На основании изложенного выше проведем классификацию угроз иерархической системы информационной и инженерно-технической защиты объектов с учетом этапов жизненного цикла по следующей методике.

На первом этапе классификации выполняется декомпозиция системы защиты объектов на законченные функциональные модули (уровни). Для этого система защиты должна рассматриваться, начиная с этапа детектирования угрозы и заканчивая реагированием на инцидент безопасности.

Система информационной и инженерно-технической защиты объектов от несанкционированного доступа имеет иерархическую структуру, что позволяет исключить утечку информации с одного уровня защиты на другой, повысить эффективность ее функционирования и гибкость управления. Типовая система защиты любого из объектов состоит из следующих уровней: объектовый, каналов сопряжения и телекоммуникаций, обеспечения и управления безопасностью.

К объектовому уровню относятся технические средства и системы обеспечения физической безопасности (охранно-пожарная сигнализация, системы пожаротушения и оповещения о пожаре, автоматическая система контроля и управления доступом (АСКУД), система видеонаблюдения (СВН), средства инженерно-технической укрепленности), аппаратно-программный комплекс мониторинга состояния систем жизнеобеспечения объекта (энергоснабжение, системы вентиляции и кондиционирования, водоснабжение и канализация, мониторинг концентрации токсичных веществ, радиационный контроль), программно-технические средства и системы обеспечения информационной безопасности (средства криптографической защиты информации, средства защиты информации от несанкционированного доступа, средства подавления и др.).

Уровень каналов сопряжения и телекоммуникации предназначен для передачи служебных информационных сигналов о состоянии объекта охраны в единый информационно-аналитический центр по сбору, отработке, принятию решений по безопасности охраняемых объектов.

Единый информационно-аналитический центр по сбору, отработке, принятию решений по безопасности охраняемых объектов относится к уровню обеспечения и управления безопасностью.

На следующем этапе выполняется анализ угроз для каждого уровня системы защиты на каждом из этапов его жизненного цикла. В настоящей методике будем принимать во внимание следующие этапы жизненного цикла системы защиты объектов:

1. Проектирование и построение.
2. Внедрение.
3. Эксплуатация.
4. Модернизация/утилизация.

Отнесение угрозы к той или иной категории выполняется методом экспертных оценок. Для классификации угроз безопасности используются следующие их категории в соответствии с этапами жизненного цикла системы:

1. Проектирование и построение:
- угрозы, возникающие при проектировании системы защиты;
- угрозы, возникающие при классификации и категорировании объекта защиты.

2. Внедрение:
- угрозы, связанные с реализацией структуры внедрения;
- угрозы, связанные с процессами квалификации, обучения и контроля качества выполняемых работ.

3. Эксплуатация:
- угрозы, связанные с нарушением безопасности системы;
- реагирование на угрозы безопасности: с введением специальных планов и без введения специальных планов.

4. Модернизация/утилизация:
- угрозы, связанные с перспективной модернизацией/утилизацией;
- угрозы, связанные с текущей модернизацией/утилизацией.

Для того чтобы исключить ошибочное отнесение угрозы к той или иной категории, предлагается проводить анализ угрозы по следующим критериям: характер ее воздействия, цель воздействия, условия начала воздействия, механизм реализации.

Так, например, анализ угроз, возникающих при проектировании системы защиты, будет выглядеть следующим образом.

Характер воздействия угрозы: при проектировании системы защиты возникают различные конструкторские и/или технологические угрозы, связанные с ошибками при разработке ее структуры и инженерно-технологической реализации.

Цель воздействия: умышленное/неумышленное внесение ошибок в проект системы с целью дальнейшего использования ее уязвимостей.

Условия начала воздействия: ошибки взаимодействия структур, недостаточность квалификации и/или профессионального подбора персонала, неправильное применение вновь разработанных и/или существующих средств безопасности.

Механизм реализации угрозы: применение ошибочных конструкторско-технологических решений вносит скрытые уязвимости в систему защиты, которые проявляются на этапах ее внедрения и эксплуатации.

Анализ угроз, связанных с процессами квалификации, обучения и контроля качества выполняемых работ.

Характер воздействия: выполнение работ по оказанию (сопровождению) услуг в области безопасности неквалифицированным персоналом, проведение формального обучения особенностям внедрения специального оборудования, недостаточный контроль качества выполняемых работ.

Цель воздействия: использование недостаточной квалификации персонала и недостаточного контроля качества работ в процессе внедрения системы безопасности.

Условия начала осуществления воздействия: неправильная оценка квалификации персонала, неграмотный менеджмент в области контроля качества.

Механизм реализации: при внедрении системы безопасности объекта не используются полностью ранее заложенные на этапе проектирования функциональные возможности системы по пресечению и отражению угроз.

После анализа угроз далее предлагается провести детальную классификацию определенной угрозы на основе метода экспертных оценок с учетом следующего перечня:

1. Угрозы, возникающие при проектировании системы защиты:
- конструкторские угрозы (ошибки проектирования);
- технологические угрозы (выбор технологии).

2. Угрозы, возникающие при классификации и категорировании объекта защиты:
- угрозы в классификации по признаку важности (экономические);
- угрозы в категорировании (структурные).

3. Угрозы, связанные с реализацией структуры внедрения:
- угрозы централизованного внедрения;
- угрозы децентрализованного внедрения.

4. Угрозы, связанные с процессами квалификации, обучения и контроля качества выполняемых работ:
- угрозы недостаточной квалификации персонала;
- угрозы недостаточного обучения персонала;
- угрозы в осуществлении контроля качества выполняемых работ.

5. Угрозы, связанные с нарушением безопасности системы:
- внешние угрозы (природно-техногенные, электронно-технические, физические);
- внутренние угрозы (административно-управленческие, программно-аппаратные, физические).

6. Реагирование на угрозы безопасности:
- угрозы, связанные с введением специальных планов защиты (при точной классификации перечня угроз системе безопасности);
- угрозы, связанные с отсутствием специальных планов защиты (наличие нетиповых угроз/комбинаций угроз системе безопасности).

7. Угрозы, связанные с перспективной модернизацией/утилизацией:
- угрозы, связанные с перспективной плановой (закладывается из требований предшествующего (статистического) уровня угроз/комбинаций угроз и вариантов прогнозных показателей их развития) модернизацией/утилизацией;
- угрозы, связанные с перспективной неплановой (закладывается из требований современного уровня угроз/комбинаций угроз, показатели важности которых были оценены ранее неправильно) модернизацией/утилизацией.

8. Угрозы, связанные с текущей модернизацией/утилизацией:
- ликвидация открытых угроз;
- ликвидация скрытых угроз.

После детальной классификации угроз проводится анализ и динамическая коррекция полученных результатов согласно критериям эффективности отражения атак введенными средствами и системами защиты.

Использование анализа и динамической коррекции результатов оценки позволяет учитывать варианты появления новых, ранее не рассмотренных угроз, а также варианты изменения приоритетов оценки и детализации ранее учтенных угроз.

В качестве критериев эффективности локализации угроз введенными средствами и системами защиты предлагается использование:
- технического критерия эффективности средств и систем защиты;
- экономического критерия эффективности средств и систем защиты.

Таким образом, предложенная методика обеспечивает классификацию угроз иерархической системы информационной и инженерно-технической защиты объектов на всех этапах жизненного цикла, с применением методов и средств системной инженерии, экспертных оценок, а также механизма динамической коррекции результатов, что в совокупности позволяет значительно усовершенствовать процесс проектирования систем защиты и обеспечить гарантированную защиту объектов различных форм собственности от несанкционированного доступа.

Метод оценки эффективности Для оценки состояния системы безопасности объекта, устанавливающей уровень ее соответствия определенным критериям, необходимо проведение детализированной оценки эффективности информационной и инженерно-технической защиты объектов различных форм собственности.

В связи с тем, что существующие в настоящее время методы не позволяют провести указанную выше уценку, в качестве действенного способа решения такой задачи предлагается использование метода оценки эффективности на основе профилей безопасности.

Оценку информационной и инженерно-технической защиты объектов различных форм собственности возможно проводить в следующем порядке:

1. Декомпозиция системы защиты объектов на законченные функциональные модули (уровни). Предлагается использование варианта декомпозиции, который учитывает полный цикл обеспечения защиты, начиная с этапа детектирования угрозы до реагирования на инцидент в сфере безопасности: объектовый уровень, уровень каналов сопряжения и телекоммуникации, уровень обеспечения и управления безопасностью.

2. Следующим этапом является соотнесение уровня системы защиты к определенным этапам жизненного цикла. В настоящем методе будем принимать во внимание следующие этапы жизненного цикла системы защиты объектов:

- проектирование и построение;
- внедрение;
- эксплуатация;
- модернизация/утилизация.

3. Проведение комплексной классификации объектов по признакам физической и информационной безопасности с учетом особенностей доступа с отнесением к следующим группам объектов:

- с упрощенным доступом;
- с ограниченным доступом;
- с важным доступом;
- доступ с расширенной защитой;
- доступ с максимальной защитой.

4. Далее формируется оценочная матрица угроз иерархической системы информационной и инженерно-технической защиты объектов:

4.1. Проводится классификация угроз иерархической системы информационной и инженерно-технической защиты объектов с учетом этапов жизненного цикла.

4.2. На основе метода экспертных оценок с учетом статистических данных по вопросам информационной и физической безопасности, имущественных преступлений проводится выставление вероятности реализации классифицированных угроз и значимости их реализации.

4.3. Определяется величина угрозы на уровень системы безопасности.

4.4. Вычисляется общий уровень по виду угроз для этапа жизненного цикла уровня безопасности системы.

4.5. Определяется общий уровень по видам угроз по этапу жизненного цикла уровня безопасности системы.

4.6. Вычисляется общий уровень угроз по всем этапам жизненного цикла уровня безопасности.

4.7. Определяется общий риск потерь по уровню системы безопасности (денежное выражение).

Критичность ресурса определяется системой критериев:

- ущерб репутации организации;
- безопасность персонала;
- разглашение коммерческих сведений;
- финансовые потери и др.

4.8. Вычисляется общий риск потерь по трем уровням системы безопасности.

5. Далее формируется оценочная матрица технической оснащенности информационной и инженерно-технической защиты объектов:

5.1. Проводится классификация технической оснащенности системы информационной и инженерно-технической защиты объектов.

5.2. На основе метода экспертных оценок с учетом технической оснащенности системы информационной и инженерно-технической защиты объектов проводится выставление значимости средств защиты, образующих логически законченную подсистему защиты.

6. Затем определяем базовые критерии надежности обеспечения безопасности объекта введенными средствами и системами защиты.

6.1. Технический критерий эффективности средств и систем защиты — Кт:

- позволяет определить техническую эффективность введенных средств и систем защиты, т.е. вероятность отражения атак (0 ? 1);

- определяется на основе оценочной матрицы технической оснащенности информационной и инженерно-технической защиты объектов;

- будем считать, что вероятность успешного отражения атаки принимается при Кт = 0,9 ? 1,0;

- обеспечение Кт = 0,9/1,0 является условием проведения дальнейшего анализа по экономическому критерию эффективности.

6.2. Экономический критерий эффективности средств и систем защиты — Кэ:

- позволяет определить экономическую эффективность введенных средств и систем защиты, т.е. соотношение стоимости введенных технических средств и систем защиты к суммарной стоимости потерь по ресурсам объекта, которая определяется критериями: ущерб репутации организации, безопасность персонала, разглашение коммерческих сведений, финансовые потери и др.

- определяется на основе оценочной матрицы угроз иерархической системы информационной и инженерно-технической защиты объектов.

Разработанный метод оценки эффективности информационной и инженерно-технической защиты объектов различных форм собственности на основе профилей безопасности позволяет проводить анализ и динамическую коррекцию результатов оценки с учетом вариантов:

- появления новых, ранее не классифицированных видов угроз, а также вариантов изменения приоритетов оценки, углубления и детализации ранее классифицированных угроз;

- появления новых средств и систем безопасности в области информационной и инженерно-технической защиты объектов различных форм собственности, а также изменения приоритетов в оценке действующих систем защиты на основе анализа их эффективности.

Введенные технический и экономический критерии оценки системы защиты позволяют получить численные значения оценки эффективности с учетом затрат на обеспечение защиты объектов.

Литература Special Publications (800 Series) [Электрон. ресурс]. Режим доступа: http: // csrc.nist.gov/ publications/PubsSPs.html/. Жизненный цикл продукта: основные методики инженерии требований [Электрон. ресурс]. Режим доступа: http://www.osp.ru/os/2006/07/ 3290801.

ISO/IEC 15288:2008 [Электрон. ресурс]. Режим доступа: http: //www.iso.org/ iso/catalogue_detail?csnumber=43564.

CHAOS Chronicles v. 3.0, The Standish Group Int'l, 2003 [Электрон. ресурс]. Режим доступа: www.standishgroup.com/chaos/toc.php.

Навстречу переменам: рынок информационной безопасности-2007 [Электрон. ресурс]. Режим доступа: http:// http://leta.ru/research.

Навстречу переменам: рынок информационной безопасности-2007–2008 [Электрон. ресурс]. Режим доступа: http://leta.ru/http://leta.ru/research 2008/.

Special Reports [Электрон. ресурс]. Режим доступа: http://www.gartner.com/.

Взято с http://daily.sec.ru/

01.07.2010



------------------------------------------------------------------------------------------------------------------------------
Облако тегов:
Угрозы методика Безопасность
Постоянная бдительность – такова цена свободы. /Т. Джефферсон/