Тема 2. Оценка рисков ис невыполнения требований стандарта информационной безопасности (иб)
Цель: закрепить знания и получить навыки по количественной оценке степени защищенности ИС и риска невыполнения требований стандарта по ИБ.
Задание. На основании исходного состава требований стандарта ISO 17799 (таблица 2.1, 2.2. методических указаний), а также класса и особенности анализируемого риска ИС требуется определить:
а) значимость требований стандарта ИБ для заданного класса ИС;
б) степень защищенности и риск невыполнения требований ИБ ИС;
в) выбор требований для первоочередной реализации с целью снижения риска до приемлемого уровня.
Выполнение работы.
1. Определить исходный состав требований по важнейшим направлениям ИБ, в соответствии с существующими стандартами, а также класса и особенностей анализируемой ИС (таблица 2.2. методических указаний).
2. Проводится аудит ИС и оценка степени выполнения заданного перечня требований, обеспечивающий дополнительный уровень безопасности. Оценка степени выполнения требований j по направлению ИБi выбирается в зависимости от количества условий, его характеризующих, по формуле:
3. Определяется «вес» или значимость каждого анализируемого требования, характеризующего степень его влияния на ИБ организации. Наиболее точным является метод анализа иерархий [] с использованием девятибалльной шкалы доминирования сопоставляемых требований ИБ.
Метод основывается на построении иерархической модели, обеспечивающей структурирование проблемы ИБ и ее декомпозицию до уровня простых требований.
Иерархия строится с вершины – это общая цель или фокус проблемы; на втором уровне располагаются наиболее важные частные цели ИБ; на третьем – наиболее важные направления ИБ влияющих на достижение частных успехов и отражающие специфику организации; на четвертом уровне – перечень заданных требований в размере основных направлений в разрезе основных направлений ИБ.
Повышение ИБ корпоративной ИС
Предотвращение утечки/разрушения информации (2.1.)
Снижение суммарного ущерба от нарушения ИБ (2.2)
Повышение непрерывности бизнеса и доходности (2.3.)
Политика ИБ (3.1)
Управление доступом (3.2)
Управление регистрации и учета (3.3)
Управление целостности (3.4)
4.1.1 4.1.2 4.1.3 4.1.5 4.1.6 4.1.7
4.2.1 4.2.2 4.2.3 4.2.4
4.3.1 4.3.2 4.3.3
4,3,4
4.4.1 4.4.2 4.4.3 4.4.4 4.4.5 4.4.6 4.4.7
Рис.1.Иерархическая модель оценки «веса» требований ИБ корпоративной информационной системы.
Формируем матрицу бинарных отношений частных целей (уровень 2) по отношению к верхнему уровню А12.
j i |
2.1 |
2.2 |
2.3 |
2.1 |
1 |
5 |
7 |
2.2 |
1/5 |
1 |
3 |
2.3 |
1/7 |
1/3 |
1 |
а) Определение собственного вектора матрицы РС:
б) Рассчитывается вектор локальных приоритетов (по отношению к ближайшему уровню) матрицы на основе нормализации собственного вектора:
S = 3,271 + 0,843 + 0,362 = 4,476;
;
;
.
в) Определяется наибольшее собственное значение матрицы А(1,2) путем умножения элементов матрицы на вектор приоритетов:
,
λmax = 3,06.
г) Рассчитывается индекс согласованности матрицы суждений А(1,2):
д) Рассчитывается коэффициент согласованности матрицы:
- ОС меньше 15%, поэтому матрица считается
согласованной.
По такому же алгоритму решения строятся и другие матрицы суждений.
Строим
матрицу
j i |
3.1 |
3.2 |
3.3 |
3.4 |
3.1 |
1 |
1/5 |
1/4 |
3 |
3.2 |
5 |
1 |
5 |
5 |
3.3 |
4 |
1/5 |
1 |
4 |
3.4 |
1/3 |
1/5 |
¼ |
1 |
ОС = 0,12 ≈ 12%
Строим
матрицу
j i |
3.1 |
3.2 |
3.3 |
3.4 |
3.1 |
1 |
6 |
2 |
5 |
3.2 |
1/6 |
1 |
1/3 |
3 |
3.3 |
1/2 |
3 |
1 |
1/3 |
3.4 |
1/5 |
1/3 |
1/3 |
1 |
ОС = 0,04 ≈ 4%
Строим
матрицу
j i |
3.1 |
3.2 |
3.3 |
3.4 |
3.1 |
1 |
3 |
3 |
4 |
3.2 |
1/3 |
1 |
1/3 |
1/4 |
3.3 |
1/3 |
3 |
1 |
2 |
3.4 |
¼ |
4 |
1/2 |
1 |
ОС = 0,11 ≈ 11%
Значения векторов локальных приоритетов сводятся в таблицу 2.1.
Таблица 2.1.Векторы локальных приоритетов элементов матриц суждений
Уровни иерархии (2)←(3) |
|||||||
|
|
|
|||||
j |
|
j |
|
j |
|
||
3.1 |
0,11 |
3.1 |
0,529 |
3.1 |
0,501 |
||
3.2 |
0,591 |
3.2 |
0,121 |
3.2 |
0,083 |
||
3.3 |
0,236 |
3.3 |
0,276 |
3.3 |
0,243 |
||
3.4 |
0,063 |
3.4 |
0,073 |
3.4 |
0,172 |
||
Строим матрицы суждений для следующего уровня иерархии.
Матрица
j i |
4.1.1 |
4.1.2 |
4.1.3 |
4.1.4 |
4.1.5 |
4.1.6 |
4.1.1 |
1 |
3 |
1/5 |
3 |
4 |
3 |
4.1.2 |
1/3 |
1 |
1/7 |
5 |
2 |
1/3 |
4.1.3 |
5 |
7 |
1 |
7 |
5 |
5 |
4.1.4 |
1/3 |
1/5 |
1/7 |
1 |
1/5 |
1/3 |
4.1.5 |
1/4 |
1/2 |
1/5 |
5 |
1 |
1/2 |
4.1.6 |
1/3 |
3 |
1/5 |
3 |
2 |
1 |
ОС = 0,14
Матрица
j i |
4.2.1 |
4.2.2 |
4.2.3 |
4.2.4 |
4.2.1 |
1 |
3 |
5 |
6 |
4.2.2 |
1/3 |
1 |
1/3 |
1/3 |
4.2.3 |
1/5 |
3 |
1 |
1/5 |
4.2.4 |
1/6 |
3 |
5 |
1 |
ОС = 0,14
Матрица
j i |
4.3.1 |
4.3.2 |
4.3.3 |
4.3.4 |
4.3.1 |
1 |
3 |
4 |
4 |
4.3.2 |
1/3 |
1 |
3 |
3 |
4.3.3 |
1/4 |
1/3 |
1 |
1/3 |
4.3.4 |
¼ |
1/3 |
3 |
1 |
ОС = 0,07
Матрица
j i |
4.4.1 |
4.4.2 |
4.4.3 |
4.4.4 |
4.4.5 |
4.4.6 |
4.4.7 |
4.4.1 |
1 |
4 |
1/4 |
1/3 |
5 |
6 |
1/5 |
4.4.2 |
1/4 |
1 |
1/2 |
1/2 |
4 |
3 |
1/5 |
4.4.3 |
4 |
2 |
1 |
1/2 |
1/2 |
1/4 |
1/3 |
4.4.4 |
3 |
2 |
2 |
1 |
1/3 |
1/3 |
2 |
4.4.5 |
1/5 |
1/4 |
2 |
3 |
1 |
1/3 |
3 |
4.4.6 |
1/6 |
1/3 |
4 |
3 |
3 |
1 |
1/5 |
4.4.7 |
5 |
5 |
3 |
1/2 |
1/3 |
5 |
1 |
ОС = 0,14
Значения векторов локальных приоритетов сводим в таблицу 2.2.
Таблица 2.2.Векторы локальных приоритетов элементов матриц суждений
Уровни иерархии (3)←(4) |
|||||||
|
|
|
|
||||
j |
|
j |
|
j |
|
j |
|
4.1.1 |
0,283 |
4.2.1 |
0,572 |
4.3.1 |
0,52 |
4.4.1 |
0,151 |
4.1.2 |
0,165 |
4.2.2 |
0,081 |
4.3.2 |
0,26 |
4.4.2 |
0,104 |
4.1.3 |
0,225 |
4.2.3 |
0,109 |
4.3.3 |
0,08 |
4.4.3 |
0,106 |
4.1.4 |
0,049 |
4.2.4 |
0,233 |
4.3.4 |
0,14 |
4.4.4 |
0,163 |
4.1.5 |
0,105 |
|
|
|
|
4.4.5 |
0,115 |
4.1.6 |
0,172 |
|
|
|
|
4.4.6 |
0,112 |
|
|
|
|
|
|
4.4.7 |
0,247 |
ж) рассчитывается глобальный приоритет требований ИБ относительно верхнего уровня (фокуса) иерархической модели. Значение глобального приоритета требований ИБ используется для установления «веса» в баллах, который определяет их вклад в обеспечение ИБ. Расчет выполняется итеративно, начиная со второго уровня по цепочке взаимосвязанных элементов. Глобальный приоритет любого элемента, начиная с третьего уровня, является составным и определяется как сумма произведений его локального приоритета по отношению к взаимосвязанным с ним элементам старшего уровня на их глобальный приоритет. В общем случае глобальный приоритет любого элемента уровня С определяется по формуле:
где:
-глобальный приоритет элемента i,
расположенного на старшем уровне (l-1);
n – количество уровней в модели иерархии;
ml; mi-1 – общее количество элементов на уровнях l и (l-1).
Расчет глобальных приоритетов сводится в таблицу 2.3.
Таблица 2.3.Глобальные приоритеты для элементов уровня (3)
Элементы уровня (l-1) |
Элементы уровня l |
||||
i |
|
3.1 |
3.2 |
3.3 |
3.4 |
2.1 |
0,731 |
0,11 |
0,591 |
0,236 |
0,063 |
2.2 |
0,188 |
0,529 |
0,121 |
0,276 |
0,073 |
2.3 |
0,081 |
0,501 |
0,083 |
0,243 |
0,172 |
Глобальный приоритет |
0,22 |
0,461 |
0,244 |
0,074 |
|
Нормализованный |
0,22 |
0,461 |
0,244 |
0,074 |
|
Аналогично расчет выполняется для элементов уровня 4. Значения глобальных приоритетов требований необходимо нормализовать.
Таблица 2.4.Глобальные приоритеты для элементов уровня (4)
Подсистема |
Код требования, j |
|
bi, % |
1 |
1.1 |
0,062 |
6,2 |
1.2 |
0,036 |
3,6 |
|
1.3 |
0,05 |
5 |
|
1.4 |
0,011 |
1,1 |
|
1.5 |
0,023 |
2,3 |
|
1.6 |
0,038 |
3,8 |
|
2 |
2.1 |
0,264 |
26,4 |
2.2 |
0,037 |
3,7 |
|
2.3 |
0,05 |
5 |
|
2.4 |
0,107 |
10,7 |
|
3 |
3.1 |
0,127 |
12,7 |
3.2 |
0,063 |
6,3 |
|
3.3 |
0,02 |
2 |
|
3.4 |
0,034 |
3,4 |
|
5 |
5.1 |
0,011 |
1,1 |
5.2 |
0,008 |
0,8 |
|
5.3 |
0,008 |
0,8 |
|
5.4 |
0,012 |
1,2 |
|
5.5 |
0,009 |
0,9 |
|
5.6 |
0,008 |
0,8 |
|
5.7 |
0,018 |
1,8 |
|
|
∑ |
100 |
|
4. Проводится оценка обобщающих показателей уровня защищенности ИС по степени выполнения требований стандарта ИБ. Степень защищенности ИС можно характеризовать следующими показателями:
а) степень выполнения требований по отношению к заданному профилю защиты:
где
- балльная оценка «веса» требования j,
принадлежащего подсистеме (разделу) i;
,
- степень выполнения требования j
подсистемы i, соответственно
достигнутая (фактическая) и требуемая
по заданному профилю защиты.
б) процент выполнения требований по отношению к общему количеству требований стандарта:
в) риск невыполнения заданного профиля защиты:
г) риск невыполнения требований стандарта по ИБ:
Расчет выполняется в табличной форме.
Таблица 2.5. Показатели защищенности ИС
i |
j |
|
|
|
|
|
|
|
|||||||
1 |
1.1 |
6,2 |
1 |
1 |
6,2 |
6,2 |
0 |
0 |
|||||||
1.2 |
3,6 |
0 |
1 |
0 |
3,6 |
-3,6 |
0 |
||||||||
1.3 |
5 |
1 |
1 |
5 |
5 |
0 |
0 |
||||||||
1.4 |
1,1 |
1 |
0,25 |
1,1 |
0,275 |
0,825 |
0,825 |
||||||||
1.5 |
2,3 |
0 |
1 |
0 |
2,3 |
-2,3 |
0 |
||||||||
1.6 |
3,8 |
1 |
0 |
3,8 |
0 |
3,8 |
3,8 |
||||||||
2 |
2.1 |
26,4 |
1 |
0 |
26,4 |
0 |
26,4 |
26,4 |
|||||||
2.2 |
3,7 |
1 |
0,75 |
3,7 |
2,775 |
0,925 |
0,925 |
||||||||
2.3 |
5 |
1 |
1 |
5 |
5 |
0 |
0 |
||||||||
2.4 |
10,7 |
0 |
0 |
0 |
0 |
0 |
10,7 |
||||||||
3 |
3.1 |
12,7 |
1 |
0,2 |
12,7 |
2,54 |
10,16 |
10,16 |
|||||||
3.2 |
6,3 |
1 |
0 |
6,3 |
0 |
6,3 |
6,3 |
||||||||
3.3 |
2 |
1 |
1 |
2 |
2 |
0 |
0 |
||||||||
3.4 |
3,4 |
1 |
0 |
3,4 |
0 |
3,4 |
3,4 |
||||||||
5 |
5.1 |
1,1 |
1 |
1 |
1,1 |
1,1 |
0 |
0 |
|||||||
5.2 |
0,8 |
1 |
1 |
0,8 |
0,8 |
0 |
0 |
||||||||
5.3 |
0,8 |
0 |
0 |
0 |
0 |
0 |
0,8 |
||||||||
5.4 |
1,2 |
1 |
0 |
1,2 |
0 |
1,2 |
1,2 |
||||||||
5.5 |
0,9 |
1 |
0 |
0,9 |
0 |
0,9 |
0,9 |
||||||||
5.6 |
0,8 |
0 |
1 |
0 |
0,8 |
-0,8 |
0 |
||||||||
5.7 |
1,8 |
1 |
0 |
1,8 |
0 |
1,8 |
1,8 |
||||||||
Итого: |
100 |
- |
- |
81,4 |
32,39 |
49,01 |
67,21 |
||||||||
Таким образом, риск невыполнения требований ИБ заданного профиля защиты составляет 60,21 %, а требований 67,21%.
Для снижения риска несоответствия защиты ИС до профильного уровня, соответствующего данному классу систем, необходимо выполнить максимальное количество требований.
5. Выбор наиболее значимых требований ИБ, для первоочередной их реализации на анализируемом объекте и снижении уровня риска до приемлемых значений исходя из выделенных финансовых средств на ЗИ.
Таблица 2.6. Наиболее значимые требования для первоочередной реализации
Ранг |
№ в стандарте |
Название требования |
Оценка |
1 |
2.1 |
Идентификация и контроль доступа субъектов в систему |
26,4 |
2 |
3.1 |
Регистрация и учет: а) входа/выхода субъектов из системы; б) выдачи выходных документов; в)запуск/завершение программ и процессов; г) доступа субъектов к элементам ИС; д) изменение полномочий |
12,7 |
3 |
2.4 |
Контроль доступа к томам, каталогам, файлам, носителям данных. |
10,7 |
4 |
3.2 |
Учет носителей информации |
6,3 |
5 |
1.1 |
Наличие утвержденной политики безопасности |
6,2 |