Модель и метод оценки эффективности системы обеспечения информационной безопасности корпоративного хранилища данных кредитных организаций Российской Федерации тема диссертации и автореферата по ВАК РФ 05.13.19, кандидат технических наук Королева, Ольга Юрьевна

• Королева, Ольга Юрьевна
• кандидат технических наук
• 2012

Оглавление диссертации кандидат технических наук Королева, Ольга Юрьевна

СОДЕРЖАНИЕ

СОДЕРЖАНИЕ

Перечень сокращений

ВВЕДЕНИЕ

Глава 1. Методологические основы построения СОИБ в кредитных организациях

1.1. Система обеспечение информационной безопасности. Понятие и структура

1.2. Направления обеспечения информационной безопасности

1.3. Принципы построения СОИБ

1.4. Корпоративное хранилище данных. Понятие и основные задачи

1.5. КХД как объект защиты

1.6. Принципы построения СОИБ КХД

Глава 2. Формирование Политики информационной безопасности корпоративного хранилища данных кредитных организаций

2.1. Политика информационной безопасности кредитной организации

2.2. Методика разработки и реализации решений по обеспечению ИБ КХД

2.3. Политика ИБ КХД кредитных организаций

2.4. Методы защиты информации для обеспечения ИБ КХД

Глава 3. Оценка эффективности СОИБ КХД

3.1. Понятие эффективности

3.1.1. Оценка СОИБ на соответствие ГОСТ

3.1.2. Оценка соответствия СОИБ требованиям РД и СТРК

3.2. Общие методы оценки эффективности СОИБ

3.2.1. Вероятностный подход к оценке эффективности СОИБ

3.2.2. Экспериментальный подход к оценке эффективности СОИБ

3.2.3. Экспертный подход к оценке эффективности СОИБ

3.2.4. Эмпирический подход к оценке эффективности СОИБ

Глава 4. Модель и Метод оценки эффективности СОИБ КХД кредитных организаций

4.1. Модель оценки эффективности СОИБ КХД

4.2. Метод оценки эффективности СОИБ КХД

4.3. Рекомендации по повышению эффективности СОИБ КХД кредитных организаций

ЗАКЛЮЧЕНИЕ

Список использованных источников

ПРИЛОЖЕНИЕ А

ПРИЛОЖЕНИЕ В

ПРИЛОЖЕНИЕ С

ПЕРЕЧЕНЬ СОКРАЩЕНИЙ

BDW - Banking Data Warehouse (Хранилище данных для финансовых структур)

IEC - Международная Электротехническая Комиссия; IP - Internet Protocol (Межсетевой протокол);

ISO - International Organization for Standardization (международная организация по стандартизации);

VPN - Virtual Private Network (виртуальная частная сеть); АИС - автоматизированная информационная система; АС - автоматизированная система; ЗБ - задание по безопасности; ИБ - информационная безопасность;

ИСО - международная организация по стандартизации (ISO);

ИТ - информационные технологии;

КХД - Корпоративное хранилище данных;

ЛВС - локальная вычислительная сеть;

МЭК - Международная Электротехническая Комиссия (IEC);

ОО - объект оценки;

ОС - операционная система;

ПЗ - профиль защиты;

ПК - показатель качества;

ПО - программное обеспечение;

ПРВ - плотности распределения вероятностей;

ПТС - программно-технические средства;

ПЭФ - показателей эффективности;

РФ - Российская федерация;

РД - Руководящие документы;

СТРК - Специальные требования и рекомендации;

СВТ - средство вычислительной техники;

СИБ - система обеспечения информационной безопасности;

СМИБ - система менеджмента информационной безопасности;

СОИБ - система обеспечения информационной безопасности;

СРД - системы разграничения доступа;

СУИБ - система управления информационной безопасности;

ЭВМ - электронно-вычислительная машина;

ФСБ - Федеральная служба безопасности;

ФСТЭК - Федеральная служба

ФП - Функциональные пакеты;

ЧПК - Частный показатель качества.

Введение диссертации (часть автореферата) на тему «Модель и метод оценки эффективности системы обеспечения информационной безопасности корпоративного хранилища данных кредитных организаций Российской Федерации»

ВВЕДЕНИЕ

«Кто владеет информацией, тот владеет миром»

Уинстон Черчилль

Массовое создание, внедрение и эксплуатация информационных систем привело к возникновению спектра проблем в сфере безопасности личности, общества и государства. Потребность в обеспечении безопасности связана с тем, что существует множество субъектов и структур, весьма заинтересованных в чужой информации и готовых заплатить за это высокую цену. Сегодня специалисты из самых разных областей знаний, так или иначе, вынуждены заниматься вопросами обеспечения информационной безопасности. Высокие требования, предъявляемые к уровню информационной безопасности, специфичность системы связи и передачи данных предопределяют необходимость проведения оценки эффективности системы обеспечения информационной безопасности [1,2].

Информационно-коммуникационные технологии и услуги в настоящее время являются ключевым фактором в развитии почти всех областей социально-экономической сферы и представляют собой наиболее активно развивающийся сектор российской экономики.

Согласно Гражданскому кодексу РФ информация рассматривается в качестве одного из видов объектов гражданских прав, что обусловлено особой ролью информации в гражданском обществе и ее влиянием на экономические отношения [3,4].

Информация (от латинского тйэгтайо - ознакомление, разъяснение, изложение) представляет собой сведения (сообщения, данные) независимо от формы их представления. Информация в современном мире стала наиважнейшим ресурсом, который влияет на уровень развития всех сфер

человеческой жизни. Экономические и политические отношения под воздействием информационного развития получают новые перспективы [5].

Под информационной безопасностью понимается состояние защищенности информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение состояния защищенности. [6]

Выбор темы диссертационного исследования обусловлен необходимостью обеспечения информационной безопасности при создании, развитии и эксплуатации такой информационной системы, как корпоративное хранилищ данных кредитных организаций, обеспечивающее сохранность, содержащихся в нем информационных активов с наивысшей степенью защищенности.

В силу того, что корпоративное хранилище данных представляет собой относительно новый класс информационных систем, проблема обеспечения его безопасности требует изучения и концептуальной проработки при выборе организационных мер и программно-технических решений по защите информационных ресурсов данного объекта защиты.

Выработка решений по обеспечению информационной безопасности включает в себя изучение и оценку существующих возможностей, определение подходов к защите информации в корпоративном хранилище данных, изложение предлагаемой методологии и рекомендаций, изучение особенностей организации разграниченного доступа пользователей к данным и к ресурсам. Так же неотъемлемой частью проектирования является совершенствование нормативных, правовых и нормативно-методических документов в области

защиты информации, используемых кредитной организацией, проведение экспертизы и контроля качества защиты информации путем оценки эффективности выбранного решения.

В связи с этим, оценка эффективности системы обеспечения информационной безопасности (далее - СОИБ) корпоративного хранилища данных является важным этапом при проектировании и последующем внедрении решений и механизмов обеспечивающих информационную безопасность в кредитных организациях.

Целью исследования является повышение защищенности и надежности функционирования КХД кредитной организации путем проведения оценки эффективности существующей либо проектируемой системы обеспечения информационной безопасности, на основе анализа рассчитываемого «коэффициента эффективности».

Оценка эффективности СОИБ в исследовании проводится путем анализа рассчитываемого «коэффициента эффективности», представляющего собой величину, обратно пропорциональную суммарной величине остаточных рисков информационной безопасности, содержащего сведения о потенциальных угрозах информационной безопасности, эффективности механизмов защиты и оценку ущерба при реализации угроз.

В соответствии с целью в работе поставлены следующие задачи:

1. Определение актуальных моделей угроз и нарушителя ИБ КХД кредитных организаций.

2. Разработка модели оценки эффективности СОИБ КХД, на основе данных об актуальных моделях угроз и нарушителя ИБ КХД кредитных организаций.

3. Разработка метода расчета коэффициента эффективности СОИБ (получение его аналитической формы).

Методологическая основа исследования

Методологическую основу исследования составляют общенаучные и специальные методы познания, труды отечественных и зарубежных ученых и специалистов по информационной безопасности, нормативные документы Банка России, энциклопедическая и справочная литература, материалы периодической печати, а также опыт организации работ по обеспечению информационной безопасности в Главном управлении Банка России по Санкт-Петербургу.

Научная новизна диссертационного исследования состоит в следующем:

- определены следующие понятия: «актуальная модель угроз» и «актуальная модель нарушителя» для корпоративного хранилища данных;

- разработана модель оценки эффективности СОИБ корпоративного хранения данных кредитных организаций с учетом актуальных угроз информационной безопасности;

- разработан метод расчета оценки эффективности СОИБ корпоративного хранилища данных кредитных организаций, основанный на вероятностном и эмпирическом методах.

Практическая значимость исследования состоит в создании модели и метода оценки эффективности СОИБ корпоративного хранилища данных кредитных организаций, позволяющих сделать вывод об уровне защищенности ресурсов и адекватности выбираемых решений по защите информации. Данная оценка позволяет в дальнейшем сделать выводы, направленные на повышение уровня эффективности СОИБ и качества проектных и технологических решений, принимаемых на этапах создания указанной системы.

Ряд положений может быть включен в обоснование предложений по совершенствованию научно-технических методов эффективной защиты информации и созданию систем защиты. Так же результаты исследования

могут быть использованы в развитии научных представлений и понятий в области цикла общих профессиональных дисциплин специальности 075300 «Организация и технология защиты информации», на курсах повышения квалификации, при подготовке и переподготовке кадров по защите информации, при проведении дальнейших научных исследований по данной проблематике.

Апробация результатов исследования.

Основные положения диссертации докладывались на научно-практических конференциях СПбНИУ ИТМО и других научно-практических конференциях. Отдельные теоретические и практические положения работы используются в учебном процессе кафедры «Мониторинга и прогнозирования информационных угроз» СПбНИУ ИТМО, разработке нормативной документации Центрального Банка Российской Федерации.

Заключение диссертации по теме «Методы и системы защиты информации, информационная безопасность», Королева, Ольга Юрьевна

ЗАКЛЮЧЕНИЕ

Основным результатом диссертационного исследования направленного на разработку модели и метода оценки эффективности системы обеспечения информационной безопасности корпоративного хранилища данных кредитных организаций Российской Федерации является вывод о том, что в настоящее время не существует универсального метода проведения указанной оценки. Каждый, рассмотренный в исследовании метод позволяет учитывать лишь отдельные подмножества факторов, влияющих на эффективности системы обеспечения информационной безопасности. Решение данной задачи возможно лишь при использовании комплексного подхода к оценке эффективности, с использованием различных методов и методик. В исследовании разработан метод оценки, включающий в себя вероятностный, эмпирический и оценочный подходы.

Вероятностный подход позволил оценить значения вероятностей реализации потенциально возможных угроз информационной безопасности кредитной организации и актуальных угроз корпоративного хранилища данных, полученных на основе актуальных моделей угроз и нарушителя ИБ КХД кредитных организаций. С использованием эмпирического подхода были получены значения сопротивляемости механизмов защиты КХД кредитной организации и проведен расчет величины остаточного риска. Что касается оценочного подхода, то он использовался при разработке управляющего звена в модели оценки эффективности СОИБ, предназначенного для проведения аудита уровня эффективности СОИБ.

Поскольку база статистики по реализации того или иного вида угроз как правило носит общий характер, то для определения указанного показателя лучше использовать метод экспертных оценок в совокупности с вероятностным. При написании указанного исследования проведение данной оценки было затруднительным, таким образом, в качестве значений вероятностей реализации угроз были приняты условные значения, позволяющие наглядно отобразить процесс вычисления коэффициента эффективности СОИБ КХД.

Важным выводом является и то, что обеспечение эффективной защиты информации в КХД, путем построения СОИБ, выполняющей цели и задачи обеспечения ИБ КХД на уровне и с качеством, установленным руководящими документами и требованиями Политики ИБ кредитной организации, возможно лишь при грамотной проработке вопросов построения актуальных моделей угроз и нарушителя ИБ КХД кредитной организации. Так же для построения эффективной СОИБ необходимо грамотно подходить к вопросам выбора мер и средств защиты, следуя принципам разумной достаточности и экономической оправданности выбираемых мер и средств защиты информации. Это возможно только в тесном взаимодействии с инфраструктурными компонентами обеспечения ИБ в кредитной организации и с комплексами мер и средств защиты информации в системах, смежных с КХД.

Так же в исследовании были выведены основные принципы построения СОИБ КХД кредитной организации, следуя которым можно достичь максимального уровня эффективности СОИБ. Данные принципы являются базовыми и, как правило, используются при построении комплексной системы защиты информации в кредитной организации. Использование указанных в исследовании принципов построения СОИБ позволяет соблюдать разумную достаточности и экономическую эффективность при выборе мер и средств защиты информации. Указанные принципы должны быть основополагающими при проектировании СОИБ.

В диссертационном исследовании приведены рекомендации по повышению уровня эффективности СОИБ КХД кредитных организаций. Данные выводы основываются на результатах расчета коэффициента эффективности СОИБ. В общем все рекомендации можно свести к реализации системы управления и мониторингва безопасности СОИБ по циклу Деминга. В работе рекомендуется принять меры к обеспечению пропорционального развития и согласованного применения комплексов мер и средств обеспечения ИБ отдельных компонентов КХД и централизованных систем управления ИБ в кредитных организациях.

Таким образом, для построения эффективной СОИБ КХД кредитной организации необходимо использовать комплексный подход. В противном случае, при использовании альтернативного подхода, при котором меры ИБ в КХД и в смежных системах осуществляются в автономном режиме, с использованием локальных средств управления и мониторинга ИБ (управление правами пользователей, регистрация событий ИБ и т.д.) несмотря на его работоспособность, не может быть рекомендован ввиду того, что существенные элементы инфраструктуры управления ИБ в этом случае приходится дублировать и укомплектовывать дополнительным персоналом, что противоречит задачам Стратегии развития банковского сектора РФ на период до 2015 года. В то время как комплексный подход при построении СОИБ КХД, предполагает согласованное применение мер и средств обеспечения ИБ.

Таким образом, основную новизну для практики представляет рассмотренные в диссертационном исследовании модель и метод оценки эффективности СОИБ КХД кредитных организаций с учетом актуальных угроз ИБ КХД. В рамках диссертационного исследования были решены следующие задачи:

- раскрыто понятие КХД, как объекта защиты; определены основные принципы построения СОИБ КХД кредитных организаций; определены понятия «Актуальная модель угроз ИБ» и «Актуальная модель нарушителя»; построены актуальные модели угроз ИБ и нарушителя для КХД кредитной организации; рассмотрены существующие методы оценки эффективности СОИБ; разработана модель оценки эффективности СОИБ КХД кредитной организации;

- разработан метод оценки эффективности СОИБ КХД кредитной организации;

- разработан алгоритм расчета оценки эффективности СОИБ; представлена модель выработки решений по повышению эффективности СОИБ по циклу Деминга.

Дальнейшее развитие данного направления предполагает проведение корректировки результатов оценки эффективности СОИБ КХД, либо другого однотипного объекта защиты, путем ввода экспертной оценки, как наиболее важной составляющей при проверке адекватности принимаемых решений по защите информации, а так же развития модели управляющего звена СОИБ, как части модели оценки эффективности.

Список литературы диссертационного исследования кандидат технических наук Королева, Ольга Юрьевна, 2012 год

СПИСОК ИСПОЛЬЗОВАННЫХ источников

1. Королева О.Ю. Разработка методики оценки показателя эффективности защищенности информационной системы на основе значений «потенциалов» источников угроз безопасности информации / Сборник тезисов VII межвузовской конференции молодых ученых. Выпуск №1. -СПб: СПбГУ ИТМО, 2010. - С. 15-16.

2. Королева О.Ю., Яковлев A.M. Оценка показателя эффективности защищенности информационной системы при построении системы защиты информации в государственных и коммерческих организациях // Проблема комплексного обеспечения информационной безопасности и совершенствование образовательных технологий подготовки специалистов силовых структур. Межвузовский сборник научно-технических статей. СПб: СПбГУ ИТМО, 2010. - С. 74.

3. Конституция Российской Федерации.

4. Гражданский кодекс Российской Федерации.

5. Королев А.Н., Плешакова О.В. Об информации, информационных технологиях и о защите информации. Постатейный комментарий к Федеральному закону. М.: Юстицинформ, 2007.— 128 с.

6. Федеральный закон РФ от 2.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации».

7. Доктрина информационной безопасности РФ. Указ Президента РФ № 1895 от 09.09.2000 //Российская газета. - 2000.

8. Федеральный закон РФ «О безопасности» № 2446-1 от 05.03.92 (с изменениями от 26.06.2008 г.).

9. ГОСТ Р ИСО/МЭК 13335-1-2006. Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий М.: Издательство стандартов, 2006.

10. ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы воздействующие на информацию. М.: Издательство стандартов, 2006.

11. Стандарт Банка России. Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения СТО БР ИББС-1.0-2010», от 21.06.2010г. -М. 2010.

12. ГОСТ Р ИСО 9001-2008 Системы менеджмента качества. Требования М.: Издательство стандартов, 2008.

13. Жигулин Г.П., Иовосадов С.Г., Яковлев А.Д. Информационная безопасность. СПб: СПб ГИТМО (ТУ), 2003 - 340 с.

14. Герасименко В.А., Малюк A.A. Основы защиты информации. М.: 1997 -537 с.

15. Степанов Е.В, Корнеев И.К. Информационная безопасность и защита информации Учебное пособие. Инфра-М. М: 2001 - 304 с.

16. Федеральный закон РФ от 07 июля 2003 г. №126-ФЗ «О связи».

17. Федеральный закон РФ от 21 июля 1993 г. №5485-1 «Закон о Государственной тайне» (ред. от 08.11.2011 Г.№309-Ф3 ).

18. Федеральный закон РФ от 27.11.92 №4015-1 «Об организации страхового дела в Российской Федерации» (ред. от 30.11.2011 № 362-ф3).

19. Федеральный закон РФ от 22.10.2004 №125 -ФЗ «Об архивном деле в Российской Федерации» (с изменениями от 04.12.2006 № 202-ФЗ).

20. Федеральный закон РФ от 29.07.2004 № 98-ФЗ «О коммерческой тайне» (ред. от 11.07.2011 № 200-ФЗ).

21. ГОСТ Р ИСО/МЭК 27001-2006 Информационные технологии методы и средства обеспечения безопасности. Система менеджмента информационной безопасности. Требования. М.: Издательство стандартов, 2006.

22. Стратегии развития банковского сектора РФ на период до 2015. 2011.

23. Заявление Правительства РФ N 1472п-П13, Банка России N 01-001/1280 от 05.04.2011 «О Стратегии развития банковского сектора Российской Федерации на период до 2015 года».

24. Белов, Е.Б. Основы информационной безопасности / Е.Б. Белов, В.П. Лось, Мещеряков Р.В., Шелупанов A.A. -М.:"Горячая линия-Телеком",2006. -544 с.

25. ГОСТ Р ИСО/МЭК 15408-1-2008 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. М.: Издательство стандартов, 2008.

26. ГОСТ Р ИСО/МЭК 17799-2005 ГОСТ Р ИСО/МЭК 17799-2005 Информационная технология. Практические правила управления информационной безопасностью. М.: Издательство стандартов, 2005.

27. Приказ Центрального банка Российской Федерации «О вводе в действие «Основных направлений политики информационной безопасности Банка России» № ОД-ЮЗ от 06.03.2006.

28. ГОСТ 34.601-90 Автоматизированные системы. Стадии создания. М.: ИПК Издательство стандартов, 1992.

29. Бузов Г.А., Калинин C.B., Кондратьев A.B. Защита Защита от утечки информации по техническим каналам. Горячая линия Телнком 2005. - 416 с.

30. Советов Б .Я. Моделирование систем: Учеб. для вузов. - М.: Высш. Шк., 2005.-220 с.

31. ГОСТ Р 50922-2006 Защита информации основные термины и определения. М.: Издательство стандартов, 2006.

32. ГОСТ Р 53114-2008 Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения. М.: Издательство стандартов, 2008.

33. Романов O.A., Бабин С.А., Жданов С.Г. Организационное обеспечение Информационной безопасности. -М.: Акаднмия, 2008. - 192 с.

34. Инструкции ЦБ РФ «О порядке принятия Банком России решения о государственной регистрации кредитных организаций и выдаче лицензий на осуществление банковских операций» от 14.01.2004 №109-И (с изм. от 14.05.2007).

35. Инструкция ЦБ РФ «Об особенности регулирования деятельности банков создающих и имеющих филиалы на территории иностранного государства» от 24.08.98 №76- И (ред. от 14.01.2011).

36. Домарев В.В. Безопасность информационных технологий. Методология создания систем защиты. - М.; СПб.; Киев, 2002. - 688 с.

37. Дидюк Ю.Е. Методика выбора средств защиты информации в автоматизированных системах / Радиотехника и системы связи, вып. 4.3, 2003.

38. Королева О.Ю. Методика оценки показателя эффективности защищенности информационной системы при построении системы защиты информации в государственных и коммерческих организациях// Развитие экономики и управления: Сборнике научных статей. Выпуск №3. - Москва: ООО «Издательство «Проспект», 2010. - С. 166.

39. Международный стандарт ISO/IEC 27006:2007 «Информационные технологии. Методы обеспечения безопасности. Требования к органам аудита и сертификации систем управления информационной безопасностью».

40. Руководящий документ. Безопасность информационных технологий. Критерии оценки безопасности информационных технологий. Утвержден приказом Гостехкомиссии России от 19 июня 2002 г. № 187 (часть 1, часть 2, часть 3).

41. Р 50.1.053-2005 Рекомендации по стандартизации «Информационные технологии. Основные термины и определения в области технической защиты информации. М.: Издательство стандартов, 2005.

42. ГОСТ Р ИСО/МЭК 15408-2-2008 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. М.: Издательство стандартов, 2008.

43. ГОСТ Р ИСО/МЭК 15408-3-2008 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности. М.: Издательство стандартов, 2008.

44. Федеральный закон Российской Федерации «О персональных данных» № 152-ФЗ от 27.07.2006 (ред. от 04.06.2011).

45. Федеральный закон Российской Федерации «О банках и банковской деятельности» от 02.12.90№ 395 - 1 (ред. от 06.12.2011).

46. Указ Президента РФ от 11.07.2004 № 870 «Вопросы Федеральной службы безопасности Российской Федерации».

47. ФСБ РФ Приказ от 09.02.2005 №66 «Об утверждении положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (положение ПКЗ-2005)», 2005.

48. Нормативно-методический документ. Специальные требования и рекомендации по технической защите конфиденциальной информации

(СТР-К). Утвержден приказом Гостехкомиссии России от 30.08.2002 № 282. М., 2002.

49. Грибунин В.Г. Комплексная система защиты информации на предприятии: учеб. Пособие для студ. Высш. Учеб. Заведений /В.Г. Грибуние ,В.В. Чудовский. - М.: 2009. - 416 с.

50. Вентцель Е.С., Овчаров JI.A. Теория вероятностей и ее инженерные приложения: Учебное пособие для вузов / - Зе изд., перераб. и доп. - М. : Издательский центр «Академия», 2003 . - 480 с.

51. Шелухин О.И., Тенякшев A.M., Осин A.B. Моделирование информационных систем: Учебное пособие. - М. Радиотехника, 2005. -368 с.

52. Ярочкин, В .И., Бузанова, Я.В. Аудит безопасности фирмы: теория и практика: Учеб. пособие для вузов. - М.:Академический Проект, Королев: Парадигма, 2005. - 352 с.

53. Положение о государственном лицензировании деятельности в области защиты информации. Утверждено Решением Государственной технической комиссии при Президенте Российской Федерации и Федерального агентства правительственной связи и информации при Президенте Российской Федерации от 27.04.94 №10 (с изменениями от 24.06.97 №60).

54. Садердинов, A.A. Информационная безопасность предприятия / A.A. Са-дердинов, В.А. Трайнев, A.A. Федулов. -М.: "Дашков и КО", 2006. -336 с.

55. Грушо A.A. Теоретические основы защиты информации / A.A. Грушо, Е.Е. Тимонина. -М.: Изд-во агентства «Яхтсмн», 1996. - 187 с.

56. Анохин А. Н. Методы экспертных оценок (применение в задачах эргономического обеспечения деятельности оператора АЭС). Учебное пособие. — Обнинск: ИАТЭ, 1996. — 148 с.

57. Майкл Ховард, Дэвид Лебланк. «Защищенный код», издательство «Русская редакция», 2005. - 704 с.

58. Ерохин С.С. Модель нарушителей для информационных систем электронной коммерции. Научная сессия ТУ СУР — 2009: Материалы докладов Всероссийской научно-технической конференции студентов, аспирантов и молодых ученых, Томск, 2009.

59. Королева О.Ю., Яковлев A.M. Метод «потенциалов» при оценки эффективности построения комплексной системы обеспечения безопасности субъектов инновационной деятельности // Естественные и технические науки. Выпуск №6. - Москва: ООО «Издательство «Спутник+», 2010.

60. Дацун H.H., Жигулин Г.П., Королева О.Ю., Несвит М.М. Методы оценки защищенности информационных систем от уязвимостей, включая НДВ// Научно-технический вестник Поволжья. Выпуск №6. - Казань, 2011.

61. Ашихмин В.Н., Гитман М.Б., Келлер И.Э. Введение в математическое моделирование. - М.: Логос, 2005. - 439 с.

62. Бодрова H.A., Родина Т.В., Суслина И.А. Элементы теории вероятностей и математической статистики /Под редакцией В.П. Смирнова/Учебное пособие. - СПб: СПбГИТМО(ТУ), 2011.

63. Коваленко, И. Н. Теория вероятностей и математическая статистика / И.Н. Коваленко, A.A. Филиппова. М.: Высшая школа, 1978.- 368с.

64. Колмогоров, А.Н. Теория информации и теория алгоритмов / А.Н. Колмогоров. -М.: Наука, 1987. -303 с.

65. Тараканов КВ., Овчаров Л.А., Тырышкин А.Н. Аналитические методы исследования систем. — М.: Советское радио, 1974. - 240 с.

66. Технология системного моделирования/ Под общ. ред. СВ. Емельянова. М.: Машиностроение; Берлин: Техник, 1988. - 520 с.

67. Карпычев В.Ю. Цена информационной безопасности /В.Ю. Карпычев, В.А. Минаев /Системы безопасности. №5, 2003.

68. Малюк, A.A. Введение в защиту информации в автоматизированных системах / A.A. Малюк, Н.С. Пазизин, Н.С. Погожин. -М.: Горячая линия Телеком, 2004. -147 с.

69. Торокин, A.A. Инженерно-техническая защита информации /A.A. Торокин. -М.: Телиос АРВ", 2005. -960 с.

70. Герасименко, В. А. Защита информации в автоматизированных системах обработки данных. В 2-х кн./ В.А. Герасименко. -М.: Энергоатомиздат., 1994.-400 с.

71. Жигулин Г.П. Прогнозирование угроз автоматизированным системам управления. СПб: СПб ГИТМО (ТУ), 2003.

72. Жигулин Г.П., A.C. Бузинов, Р.И. Шабаев. Моделирование и прогнозирование информационных угроз. СПб: СПб ГУ ИТМО, 2011.

73. Минько A.A. Статистический анализ в MSExcel. - М.: Издательский дом «Вильяме», 2004. - 448 с.

74. Хорев A.A., Железняк В.К., Макаров Ю.К., Оценка Эффективности методов защиты речевой информации. Общесистемные вопросы защиты информации: монография/под ред. Е.М. Сухарева, М.:Радитехника, 2003.

75. Стандарт Банка России. Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности СТО БР ИББС-1.1-2007», от 01.05.2007. -М. 2007.

76. Девянин, П.Н. Модели безопасности компьютерных систем / П.Н. Девянин.- М.:"Академия". 2005. -144 с.

77. Завгородний, В.И. Комплексная защита информации в компьютерных системах / В.И. Завгородний. -М.: 2001. - 264 с.

78. Дорф, Р. Современные системы управления / Р. Дорф, Р. Бишоп. -М.: Лаборатория Базовых Знаний "Юнимедиастайл", 2002. - 832 с.

79. Мирошниченко М.В. Организация управления и обеспечение национальной безопасности Российской Федерации. / В.М. Мирошниченко. —М.: Изд-во «Экзамен», 2002. - 256 с.

80. Дидюк Ю. Е. Разработка методического обеспечения оптимального формирования состава и анализа эффективности комплекса средств защиты информации : Дис. ... канд. техн. наук: 05.13.19 :Воронеж, 2004 135 с.

81. Парахин В.Н. Разработка метода оценивания эффективности систеи защиты информации: автореферат дис. ... канд. технич. наук: 05.13.19. -М., 1999.

82. Сайт - Искусство управления информационной безопасностью -iso27000.ru.

83. Сайт Центрального банка Российской Федерации www.cbr.ru.

84. Официальный сайт ФСТЭК России - www.fstec.ru.

85. Официальный сайт компании «Консультант плюс» www.consultant.ru.

86. Сайт - База гостов РФ - gostexpert.ru.

87. Официальный сайт Федерального агентства по техническому регулированию и метрологии - www.gost.ru.