Система поддержки принятия управленческих решений при выборе вариантов информационной безопасности тема диссертации и автореферата по ВАК РФ 08.00.13, кандидат экономических наук Рагозин, Юрий Николаевич

• Рагозин, Юрий Николаевич
• кандидат экономических наук
• 2011

Оглавление диссертации кандидат экономических наук Рагозин, Юрий Николаевич

ВВЕДЕНИЕ.

ГЛАВА 1. ЗАДАЧА ПОДДЕРЖКИ ПРИНЯТИЯ УПРАВЛЕНЧЕСКИХ РЕШЕНИЙ ПРИ ВЫБОРЕ ВАРИАНТОВ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КОММЕРЧЕСКИХ СТРУКТУР.

1.1. Основные цели разработки систем информационной безопасности в экономических информационных системах

1.2. Текущие подходы оценки безопасности информационных систем, их достоинства и недостатки.

1.3. Системы поддержки принятия решений.

ГЛАВА 2. РАЗРАБОТКА КОНЦЕПЦИИ И ИНСТРУМЕНТАЛЬНОГО СРЕДСТВА ДЛЯ ВЫБОРА ВАРИАНТОВ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КОММЕРЧЕСКИХ СТРУКТУР ПУТЕМ СОГЛАСОВАНИЯ НЕСОВПАДАЮЩИХ ИНТЕРЕСОВ ЛИЦ, ПРИНИМАЮЩИХ РЕШЕНИЯ

2.1. Формализация альтернативных вариантов систем информационной безопасности с требуемыми структурными свойствами.

2.2. Формирование лексикографически упорядоченных морфологических вариантов систем информационной безопасности

2.3. Критерии оценки безопасности информационных технологий.

2.4. Концептуальная модель инструментального средства по выработке компромиссных решений при выборе вариантов систем информационной безопасности коммерческих структур.

2.5. Компьютерная поддержка принятия компромиссного решения при выборе вариантов системы информационной безопасности.

ГЛАВА 3. ПРИКЛАДНЫЕ АСПЕКТЫ ИСПОЛЬЗОВАНИЯ ИНСТРУМЕНТАЛЬНОГО СРЕДСТВА ДЛЯ ВЫБОРА ВАРИАНТОВ СИСТЕМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПУТЕМ СОГЛАСОВАНИЯ НЕСОВПАДАЮЩИХ ИНТЕРЕСОВ ЛИЦ, ПРИНИМАЮЩИХ РЕШЕНИЯ

3.1. Методики выбора компромиссных вариантов систем информационной безопасности коммерческих структур.

3.2. Пример реализации методики «1».

3.3. Рекомендации по использованию СППР.

3.3.1. Определение эффективного способа выбора подрядчика.

3.3.2. Система управления информацией.

Введение диссертации (часть автореферата) на тему «Система поддержки принятия управленческих решений при выборе вариантов информационной безопасности»

Современный уровень развития информационных и телекоммуникационных систем и сетей в значительной степени определяет ту важную роль корпоративных компьютерных автоматизированных систем в жизни предприятий и организаций различных форм собственности, которую они играют в обеспечении финансовой устойчивости предприятия в условиях рыночной экономики. При этом на динамично развивающихся предприятиях стремительно растет объем конфиденциальных баз данных и количество пользователей, подключаемых к корпоративной сети и ее базам данных, что делает проблему защиты информационных ресурсов еще более актуальной, особенно, при организации экономических информационных систем, построенных на базе корпоративной локальной вычислительной сети (ЛВС) с использованием сети Интернет.

Известно [ 25, 33, 36,57, 66], что создать абсолютно непреодолимую систему защиты принципиально невозможно. При достаточных средствах и времени можно преодолеть любую защиту, поэтому имеет смысл говорить только-о некотором приемлемом уровне безопасности. Высокоэффективная система защиты стоит дорого, использует при работе существенную часть ресурсов ЛВС и может создавать ощутимые дополнительные неудобства для пользователей. Важно правильно выбрать тот достаточный уровень защиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми.

Чтобы обеспечить неизменность характеристик безопасности информации, к ее обработке в автоматизированных системах нужно предъявлять и реализовывать соответствующие требования по ее защите. Эти требования необходимо задавать как для изделий (программных, программно-аппаратных или аппаратных средств), применяемых в ЛВС, так и для ЛВС в целом, реализующей конкретную информационную технологию.

В соответствии с этим большое значение имеет система стандартов и иных нормативных документов, устанавливающих требования к защищенности информации в компьютерных системах. В большинстве случаев эти требования задаются перечнем механизмов защиты, которые необходимо иметь в компьютерной системе для того, чтобы она соответствовала определенному классу защиты. Что касается автоматизированных систем, то в этой области действуют как новые, так и старые нормативные документы. Это, прежде всего, Руководящий документ Гостехкомиссии России (ныне ФСТЭК - Федеральная служба технического и экспортного контроля) 1992 года «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация АС и требования по защите информации», предъявляющий к ним статичные и порой труднореализуемые требования, которые инвариантны к результатам оценки рисков безопасности и среде эксплуатации, а реализация этих требований не всегда эффективна с точки зрения результативности защиты. Кроме того, задаваемые на основе этого документа требования безопасности не согласуются ни по структуре, ни по форме представления с новой нормативной базой оценки безопасности изделий информационных технологий (т.е. с международными Общими критериями и ГОСТ Р ИСО\МЭК 15408 - 2002) [ 16 ].

В настоящее время разработкой и реализацией проектов по защите объектов информатизации занимается достаточно большое количество специализированных российских предприятий, наиболее известными из которых являются Научно-испытательный институт систем обеспечения комплексной безопасности (НИИ СОКБ), Ассоциация Защиты Информации «КОНФИДЕНТ» - крупный системный интегратор, ФГУП НЛП «Гамма», компании «Мульти Софт Сервис», «Центр безопасности информации МАСКОМ», «Лаборатория Касперского», «АНКАД», МО ПНИЭИ и др. Наличие необходимого пакета лицензий федеральных органов позволяет им оказывать широкий спектр услуг в области защиты информации, рекламируя соответствующим образом преимущества как своих разработок, так и технологий зарубежных производителей - своих потенциальных партнеров. К примеру, в свое время на основе проведенной аналитической работы компания «Конфидент» рекомендовала к применению перспективную, на их взгляд, технологию «Zero Knowledge based Security», разработанную американской фирмой MICROFRAME и используемую ею в широком спектре устройств обеспечения безопасных сетевых соединений.

Для существующих объектов информатизации современный рынок средств защиты информации можно условно разделить на две группы:

- средства защиты для госструктур, позволяющие выполнять требова ния нормативно-правовых документов (федеральных законов, указов президента РФ, постановлений Правительства РФ), а также требования нормативно-технических документов (государственных стандартов, руководящих документов ФСТЭК( Гостехкомиссии) России^ Министерства обороны РФ и ФСБ РФ);

- средства защиты для коммерческих компаний и структур, позволяющие выполнять рекомендации СТР-К Гостехкомиссии России, ГОСТ Р ИСО/МЭК 15408-2002 и ISO 17799:2 [15, 16, 52-54].

Для выполнения существующих требований и надлежащей защиты конфиденциальной информации в госструктурах допускается использование только сертифицированных средств. Например, средства защиты от несанкционированного доступа (НСД), межсетевые экраны и средства построения VPN, средства защиты информации от утечки за счет ПЭМИН и прочие должны иметь соответствующие сертификаты по требованиям безопасности информации. В частности, для защиты от НСД рекомендуется использовать аппаратно-программные средства семейств Secret Net («Информзащита»), Dallas Lock («Конфидент»), «Аккорд» (ОКБ САПР), электронные замки «Соболь» и их модификации («Информзащита»), USB - токены («Аладдина») и прочие. Для защиты информации, передаваемой по открытым каналам связи рекомендованы аппаратно-программные межсетевые экраны с функциями организации VPN, например, Firewall-1 /VPN-1 (Check Point), «Застава» («Элвис +»), VipNet («Инфотекс»), «Континент» («Информзащита») и другие.

Средства защиты информации для коммерческих структур более многообразны, среди них:

- средства управления обновлениями программных компонент автоматизированных систем;

- средства межсетевого экранирования;

- средства построения VPN;

- средства контроля доступа;

- средства обнаружения вторжений и аномалий;

- средства резервного копирования и архивирования;

- средства централизованного управления безопасностью;

- предотвращение вторжений на уровне серверов;

- аудита и мониторинга средств безопасности;

- контроля деятельности сотрудников в сети Интернет;

- анализа содержимого почтовых сообщений;

- анализа защищенности информационных систем;

- защиты от спама;

- защита от атак класса «Отказ в обслуживании»;

- контроля целостности;

- инфраструктура открытых ключей;

- усиленной аутентификации и прочие.

Наряду с рынком систем защиты информации быстрыми темпами развивается рынок услуг консалтинга, внедрения и сопровождения таких систем. Предложения российских поставщиков пользуются растущим спросом, однако еще не все руководители осознали необходимость комплексного внедрения подобных средств. Часто для обеспечения безопасности применяется различное бесплатное или условно бесплатное программное обеспечение, а многие виды сетевого оборудования уже содержат поддержку VPN и встроенные межсетевые экраны, которыми корпоративная система информационной безопасности (СИБ) нередко и ограничивается. Как правило, имеющиеся в компании решения СИБ дополняются и наращиваются постепенно, поскольку количество продуктов и технологий постоянно растет, да и необходимые средства на их получение не удается выделить сразу. В результате в крупных организациях получаются трудно управляемые системы с компонентами от разных производителей, а в месте стыковки систем возникают дополнительные уязвимости СИБ.

Очевидно, что при наличии конкурирующих предложений для выбора приемлемой системы информационной безопасности локальной вычислительной сети (СИБ ЛВС) конкретного предприятия желательно иметь некую систему поддержки принятия решения (СППР) для лиц принимающих решения (ЛПР).

В условиях многокритериального оценивания, определяемого множеством служб и механизмов безопасности ЛВС, встает проблема согласования решений - проведения переговоров между заинтересованными лицами по выбору компромиссного решения. В настоящее время только компьютерные СППР способны обеспечить сравнение и анализ большого количества вариантов (проектов) СИБ ЛВС, каждый из которых оценивается по многим критериям.

Разработка такой СППР особенно актуальна для коммерческих структур при их оснащении корпоративными ЛВС с желаемым (приемлемым) уровнем информационной безопасности, в то время, как государственные предприятия (организации) обязаны обеспечить соответствующий уровень безопасности ЛВС, определенный действующими нормативно-методическими документами Российской Федерации в области защиты государственной тайны и конфиденциальной информации.

Цель и задачи исследования. Целью диссертационной работы является разработка методического обеспечения выбора вариантов систем информационной безопасности коммерческих структур на основе предложенных критериев (и шкал их измерений), принципиально не сводимых к одному критерию, и компьютерной СППР.

Цель диссертационной работы предопределила постановку и решение следующих задач:

- анализ основных целей СИБ ЛВС, структуры и назначения служб и механизмов безопасности современных корпоративных информационных сетей;

- анализ текущих подходов оценки безопасности информационных систем и выбор определяющих критериев для СИБ ЛВС;

- анализ основных направлений развития компьютерных СППР на современном этапе;

- разработка алгоритмов и компьютерных программ для выработки компромиссных решений ЛПР с несовпадающими интересами.

Предметом исследования являются процессы принятия управленческих экономических решений по выбору вариантов систем информационной безопасности коммерческих структур.

Теоретической и методологической базой исследования являлись международные и отечественные нормативно-методические и руководящие документы [6-10, 14-16, 21-24, 52-54] в области информационной безопасности и защите информации, а также работы ведущих отечественных и зарубежных специалистов в области принятия решений в условиях многокритериально-сти.

Научная новизна диссертации заключается в следующем:

- предложен набор критериев и шкал их измерения для оценки СИБ корпоративных информационных сетей коммерческих структур, принципиально не сводимых к одному критерию, и на их основе разработан многокритериальный подход к выбору компромиссных вариантов СИБ ЛВС;

- разработаны методики выбора компромиссных решений ЛПР с несовпадающими интересами, только часть из которых являются строго экономическими.

Практическое значение результатов диссертации заключается в реальной возможности их использования коммерческими структурами при выборе приемлемого варианта СИБ ЛВС для конкретных условий их функционирования.

Результаты диссертационного исследования нашли практическое применение, подтвержденные соответствующими актами о внедрении: Акт о внедрении ОАО «Центральный телеграф» г. Москва от 16.05.07 г., Акт от 05.03.10 г. о внедрении в учебный процесс в Московском государственном индустриальном университете по дисциплине «Организация и технология защиты информации». Получены авторские свидетельство о регистрации электронного ресурса, отвечающего требованиям новизны и приоритетности: «Выбор компромиссного варианта системы информационной безопасности локальных вычислительных сетей» (свидетельство № 15568 от 05.04.2010 г. ИНИМ РАО ОФЭРНиО , инв. номер ВНТИЦ № 50201000500) и свидетельство о государственной регистрации программ для ЭВМ № 2010614156 от 25.06.2010 г. «Удаленный электронный научно-образовательный комплекс по направлению «Информационная безопасность».

Публикации. Основное содержание диссертации отражено в одиннадцати публикациях общим объемом 7,3 п.л. (в том числе без соавторов — 4,9 п.л.). В их числе две публикации в материалах российских и международных научных конференций и три публикации в ведущих рецензируемых научных журналах и изданиях, рекомендуемых ВАК.

Структура работы. Диссертация состоит из введения, трех глав основного текста, заключения, библиографического списка (111 наименований) и шести приложений. Основной текст диссертации содержит 127 машинописных страниц, 41 рисунок и 4 таблицы.

Заключение диссертации по теме «Математические и инструментальные методы экономики», Рагозин, Юрий Николаевич

Выводы о приемлемости рисков

8)

Формирование профиля защиты ЛВС

8) итоговая оценка риска в информационной системе и принятие решения о дополнительных мерах безопасности

Рис.1 Л. Модель формирования профиля защиты СИБ ЛВС

Объективными факторами являются:

- угрозы информационной безопасности, характеризующиеся вероятностью возникновения и вероятностью реализации;

- уязвимости СИБ ЛВС, влияющие на вероятность реализации угрозы. Уязвимости могут возникать из-за недостатков: а) требований, т.е. продукт или система ИТ могут обладать требуемыми от них функциями и свойствами, но все же содержать уязвимости, которые делают их непригодными или неэффективными в части безопасности, б) проектирования, т.е. продукт или система ИТ не отвечает спецификации, и/или уязвимости являются следствием некачественных стандартов проектирования или неправильных проектных решений, в) эксплуатации, т.е. продукт или система ИТ разработаны в полном соответствии с корректными спецификациями, но уязвимости возникают как результат неадекватного управления при эксплуатации ;

- риск - фактор, определяющий возможный ущерб предприятия в результате реализации угрозы информационной безопасности (отражает вероятные финансовые потери - прямые или косвенные).

На этапе анализа рисков определяется возможность понести убытки из-за нарушения режима информационной безопасности организации, детализируются характеристики (или составляющие) рисков для информационных ресурсов и технологий. Результаты анализа используются при выборе средств защиты, оценке эффективности существующих и проектируемых подсистем информационной безопасности. Под управлением рисками понимается процесс идентификации и уменьшения рисков, которые могут воздействовать на информационную систему. Наличие системы управления рисками (Risk Management) является обязательным компонентом общей системы обеспечения информационной безопасности на всех этапах жизненного цикла информационной системы. В-свое время в середине 90-х схожие концепции анализа рисков, управления рисками на всех стадиях жизненного цикла информационной технологии были предложены многими зарубежными национальными институтами стандартов и крупными организациями, специализирующихся в решении комплексных проблем информационной безопасности. Российские аналитики стали использовать эти методики на практике. Несколькими отечественными организациями также были разработаны собственные методики анализа и управления рисками, разработано собственное программное обеспечение, которое наряду с зарубежным, имеется на отечественном рынке.

Оценка рисков может проводиться с использованием различных как качественных, так и количественных шкал. Главное, чтобы существующие риски были правильно идентифицированы и проранжированы в соответствии со степенью их критичности для организации. На основе такого анализа может быть разработана система первоочередных мероприятий по уменьшению величины рисков до приемлемого уровня.

В настоящее время имеется большое разнообразие как методов анализа и управления рисками, так и реализующих их программных средств. Современные методы и средства анализа и управления рисками информационных систем компаний достаточно подробно и в доступной форме изложены в работах С.В. Симонова и Н. Кукановой [59,60]. Одним из популярных является метод CRAMM (ССТА Risk Analysis and Management Method), разработанный Агентством по компьютерам и телекоммуникациям Великобритании по заданию Британского правительства в 1985 г. и используемый в качестве государственного стандарта как правительственными, так и коммерческими организациями. Разработкой и сопровождением одноименного программного продукта, реализующего этот метод, занимается фирма Insight Consulting Limited.

В результате обобщения практического опыта использования метода CRAMM были выявлены его сильные и слабые стороны [48].

К сильным сторонам метода относят следующие:

CRAMM является хорошо структурированным и широко опробованным методом анализа рисков, позволяющим получать реальные практические результаты, программный инструментарий метода может использоваться на всех стадиях проведения аудита безопасности ИС, в основе программного продукта лежит достаточно объемная база знаний по контрмерам в области информационной безопасности, базирующейся на рекомендациях британского стандарта BS 7799, гибкость и универсальность метода позволяет использовать его для аудита ИС любого уровня сложности и назначения, CRAMM можно использовать в качестве инструмента для разработки плана непрерывности бизнеса и политик информационной безопасности предприятия, метод может использоваться в качестве средства документирования механизмов безопасности ИС.

К недостаткам метода CRAMM относят следующее:

• использование метода требует специальной подготовки и высокой квалификации аудитора,

• метод в гораздо большей степени подходит для оценки уже существующих ИС, находящихся на стадии эксплуатации, нежели для ИС, находящихся на стадии разработки,

• аудит по методу CRAMM — процесс достаточно трудоемкий и может потребовать месяцев непрерывной работы,

• программный инструментарий метода генерирует большое количество бумажной документации, которая не всегда оказывается полезной на практике,

• метод не позволяет создавать собственные шаблоны отчетов или модифицировать имеющиеся.

• Возможность внесения дополнений в базу знаний CRAMM не доступна пользователям, что вызывает определенные трудности при адаптации этого метода к потребностям конкретной организации.

Другим мощным средством анализа и управления рисками является программное обеспечение Risk Watch, разрабатываемое американской компанией Risk Watch, Inc. В семейство Risk Watch входят программные продукты для проведения различных видов аудита безопасности. Оно включает в себя следующие средства аудита и анализа рисков:

• Risk Watch for Physical Security - для физических методов защиты ИС,

• Risk Watch for Information Systems — для информационных рисков,

• HIPАА-WATCH for Healthcare Industry- для? оценки соответствия требованиям стандарта HIPАА,

• Risk Watch RW17799 for IS017799 - для оценки требованиям стандарта ISO 17799.

В методе Risk Watch в качестве критериев для'оценки и управления рисками используются «предсказание годовых потерь» (Annual Loss Expectancy — ALE) и оценка «возврата от инвестиций» (Return on Investment — ROI).

Семейство программных продуктов-Risk. Watch по мнению специалистов имеет массу достоинств. К недостаткам данного продукта относят его относительно высокую стоимость.

Следует отметить и еще один программный продукт, разрабатываемый компанией Risk Associates, - систему COBRA ( Consultative Objective and Вi-Functional Risk Analysis) как средство анализа рисков и оценки соответствия ИС стандарту ISO 17799: COBRA реализует методы количественной оценки рисков, а также инструменты для консалтинга и проведения обзоров безопасности. При разработке инструментария COBRA были: использованы принципы построения экспертных систем, обширная база знаний по угрозам и уязвимостям, а также большое количество вопросников, с успехом применяющихся на практике. В семейство программных продуктов COBRA входят COBRA ISO 17799 Security Consultant, COBRA Policy Compliance Analyst и COBRA Data Protection Consultant.

Из отечественных продуктов, представленных на российском рынке, следует отметить программное обеспечение ПО «АванГард» разработки института системного анализа РАН, которое позиционируется как экспертная система управления информационной безопасности. Предлагаются две версии метода: «АванГард — Анализ» - для проведения анализа рисков и «АванГард -Контроль» для управления рисками. Данный программный комплекс обладает развитыми средствами для построения моделей информационных систем с позиций информационной безопасности и позволяет строить модели разных уровней (административного, организационного, программно-технического, физического) и разной степени абстракции. К недостатку следует отнести то, что введение исходных данных (ущерба и вероятности реализации угрозы) полностью перекладывается на аналитика (пользователя). Какой-либо верификации значений не предполагается

Наряду с рассмотренными достаточно сложными подходами к оценке уровня риска существуют и простые одномерные подходы [ 1],.которые рассматривают только ограниченные компоненты. При этом основой формального описания системы защиты традиционно считается модель системы защиты с полным перекрытием, в которой рассматривается взаимодействие «области угроз», «защищаемой области» и «системы защиты». Таким образом, рассматриваются три множества:

T={t¡} — множество угроз безопасности информации 0={oj} — множество объектов защищаемой системы М={шк} — множество механизмов защиты ЛВС

Элементы этих множеств находятся между собой в определенных отношениях, собственно и описывающих систему модели. Для описания системы защиты может быть использована графовая модель, в которой множество отношений «угроза-объект» образует двухдольный граф. Цель защиты состоит в том, чтобы перекрыть все возможные ребра в графе. Это достигается введением третьего набора М, в результате чего получается трехдольный граф.

Развитие модели предполагает введение еще двух элементов: V = {у;} - множества уязвимостей системы, под которыми на практике понимают не саму возможность осуществления угрозы безопасности информации, а те свойства системы, которые либо способствуют успешному осуществлению угрозы, либо могут быть использованы злоумышленником для осуществления угрозы;

В ={Ь|} - множества барьеров, представляющих собой пути осуществления угроз безопасности информации, перекрытые средствами защиты.

В результате получаем следующую модель (рис. 1.2) , описывающую систему защиты информации с учетом наличия в ней уязвимостей. Множество

Область утро > Т Система ¡ащшы 1¥1 Набор барьеров О унівимостей V

Защищаемая область О

Рис. 1.2. Модель системы защиты объектов информатизации

Таким образом, в такой модели с полным перекрытием для любой уязвимости существует устраняющий ее барьер. Наличие механизмов защиты и их прочность является важным фактором, определяющим защищенность корпоративной информационной сети.

В идеале каждый механизм защиты должен исключать соответствующий путь реализации угрозы. В действительности же механизмы защиты обеспечивают лишь некоторую степень сопротивляемости угрозам безопасности. Поэтому в качестве характеристик элемента множества барьеров рассматривают набор Рк, XV/с, Ш, где Ра - вероятность реализации угрозы, а- - величина возможного ущерба при удачном осуществлении угрозы в отношении защищаемого объекта,

Ш - степень сопротивляемости механизма защиты, характеризующаяся вероятностью его преодоления.

При таком подходе прочность к-го барьера характеризуется величиной остаточного риска (Шэкл), связанного с возможностью осуществления угрозы при использования соответствующего механизма защиты, и определяется по следующей формуле:

Ш8кй = Р* \Уа(1-К*) (1.1)

Для определения величины защищенности 8 всей автоматизированной системы используют следующую формулу: в = 1/ Е Ш8кА= 1/(Е РЛ \¥а(1- ИА)) (1.2)

Где

РА ,\УА, Ш е [ ОД]

В этой формуле знаменатель определяет суммарную величину остаточных рисков, связанных с возможностью осуществления угроз в отношении ЛВС при использовании соответствующих механизмов защиты. Суммарная величина остаточных рисков характеризует общую уязвимость системы защиты, а защищенность определяется как величина, обратная уязвимости. При отсутствии в ЛВС барьеров, перекрывающих определенные уязвимости, степень сопротивляемости механизма защиты Ш принимается равной нулю.

На практике получение точных значений величин защищенности 8 затруднено, поскольку понятия угрозы, ущерба и сопротивляемости механизмов защиты трудно формализовать. Вместе с тем, для защиты информации экономического характера, допускающей оценку ущерба, разработаны стоимостные методы оценки эффективности средств защиты информации. В этом случае выбор оптимального состава средств защиты связан с минимизацией затрат на внедрение средств защиты и возможных потерь в результате успешного осуществления угроз.

Существует также и подход, при котором риск, связанный с угрозой, рассматривается как функция относительной вероятности, что угроза может произойти, и ожидаемых потерь, которые могут быть понесены при реализации угрозы. В этом случае риск рассчитывается как произведение нормализованных вероятности появления угрозы (через определенное уязвимое место) и возможных потерь.

Вероятность появления угрозы может быть нормализована как значение, которое меняется от 1 до 3. Единица будет соответствовать низкой вероятности, двойка - умеренной вероятности, а тройка - высокой. Стоимость потерь также определяется как целое число в интервале от 1 до 3. Поэтому риск может быть рассчитан как число в интервале от 1 до 9. Значение риска 1 или 2 будет считаться низким риском, риск 3 или 4 будет умеренным риском, а риск 6 или 9 будет высоким риском (таблица 1.1).

ЗАКЛЮЧЕНИЕ

1. Разработана концепция выбора вариантов систем информационной безопасности корпоративных сетей коммерческих структур путем согласования несовпадающих интересов в случае наличия множества критериев оценки.

2. Предложен инструментарий по упорядочению и сокращению вариантов систем информационной безопасности с определенными структурными

• свойствами на базе методов морфологического анализа сложных систем.

3. Разработана информационная модель согласования несовпадающих интересов в случае наличия многих критериев оценки вариантов СИБ ЛВС коммерческих структур.

4. Разработана автоматизированная подсистема в системе поддержки принятия решений, названная «Выбор компромиссного решения -системы информационной безопасности ЛВС» («ВКР-СИБ ЛВС») коммерческих структур, реализующая выдвинутую концепцию. Применение системы ВКР целесообразно в случае, когда число критериев больше или равно 2, количество рассматриваемых альтернативных вариантов проекта велико и множество критериальных оценок дискретно.

5. Разработаны методики выбора вариантов СИБ-ЛВС коммерческих структур путем согласования несовпадающих интересов в случае антагонистических и неантагонистических интересов ЛПР.

6. Апробация разработанной системы ВКР-СИБ показала эффективность ее применения при выборе вариантов СИБ-ЛВС коммерческих структур в случае наличия несовпадающих интересов.

7. Выбор компромиссного варианта решения с помощью системы «ВКР-СИБ ЛВС» коммерческих структур на основе учета предпочтений ЛПР на множестве экономических и неэкономических критериев сводится к конкретному экономическому результату.

Список литературы диссертационного исследования кандидат экономических наук Рагозин, Юрий Николаевич, 2011 год

1. Астахов А. Анализ защищенности корпоративных автоматизированных систем. CISA, 2002 г.

2. Барсуков B.C. Обеспечение информационной безопасности М.;ТЭК,1996.

3. Баутов А. Стандарты и оценка эффективности защиты информации. Доклад на Третьей Всероссийской практической конференции «Стандарты в проектах современных информационных систем». Москва. 23-24 апреля 2003 г.

4. Баутов А. Экономический взгляд на проблемы информационной безопасности. /Открытые системы. № 2, 2002 г.

5. Борисов В.И. Проблемы векторной оптимизации.// Исследование операций. Методологические аспекты. М.: Наука, 1972.

6. Вихорев С., Ефимов А. Практические рекомендации по информационной безопасности. Jet Info, № 10-11. 1996.

7. Вихорев С., Кобцев Р. Как определить источник угроз. Открытые системы, № 7-8. 2002.

8. Волкович B.JI. Многокритериальные задачи и методы их решения. // Труды семинара Кибернетика и вычислительная техника, " Сложные системы управления".- Киев: Наукова думка, вып.1, 1969.

9. Гайкович В., Першин А*. Безопасность электронных банковских систем. М.; Компания Единая Европа. 1994.

10. Ю.Гайкович В.Ю., Ершов Д.В. Основы безопасности информационных технологий. М. 1995.

11. Галатенко В. Информационная безопасность — основы.Л Системы управления базами данных, № 1, 1996.

12. Геннадиева Е.Г. Технико-экономические задачи защиты информации. \Безопасность информационных технологий. № 3. 1997.

13. З.Герасименко В.А. Защита информации в автоматизированных системах обработки данных. M. 1993

14. Горбунов А., Чуменко В. Выбор рациональной структуры средств защиты информации в АСУ. http:// kiev-security.org.ua/box/2/26.shtml

15. ГОСТ 28147-89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования.

16. ГОСТ Р ИСО\МЭК 15408-2002 «Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий»

17. Д.А. Ляшко. Вопросы построения защищенных гетерогенных корпоративных ЛВС \Information Security, № 3, 2005 г.

18. Девянин П.М. и др. Теоретические основы компьютерной безопасности: Учебное пособие -М.; Радио и связь. 2000.

19. Джоффрион А., Дайер Дж., Файнберг А. Решение задач оптимизации при многих критериях на основе человеко-машинных процедур. // Вопросы анализа и процедуры принятия решений. -М.: Мир, 1976.

20. Домарев В.В. Защита информации и безопасность компьютерных систем. К. 1999.

21. Дубов Ю.А., Травкин С.И., Якимец В.Н. Многокритериальные модели формирования и выбора вариантов систем. -М.: Наука, 1986.

22. Емельянов C.B., Ларичев О.И. Многокритериальные методы принятия решений. М.: Знание, 1985.

23. Еремин В.М., Рагозин Ю.Н. Выбор вариантов обеспечения безопасности в информационных системах муниципальных организаций. \ Проблемы регионального и муниципального управления. Материалы Международной научной конференции. Москва, 2005г.

24. Зима В., Млодовян А. Молдовян Н. Безопасность глобальных сетевых технологий. СПБ.; BHV Санкт-Петербург. 2002.

25. Кини Р. Функции полезности многомерных альтернатив.// Вопросы анализа и процедуры принятия решений. М.: Мир, 1976.

26. Краснекер A.C. Об адаптивном подходе к задаче принятия решений при нескольких критериях. //Вопросы оптимального программирования в производственных задачах. Изд. Воронежского университета, 1972, с. 18-23.

27. Ларичев О.И., Поляков O.A. Человеко-машинные процедуры решения многокритериальных задач математического программирования (обзор). Экономика и математические методы, 1980, t.XVI, вып.1, с.129-145.

28. Липаев В. Филинов Е. Формирование и применение профилей открытых информационных систем.\ Открытые системы. № 5. 1997.

29. М.Т. Кобзарь, A.A. Сидак Методология оценки безопасности информационных технологий по Общим критериям. // «Защита информации. Инсайд» № 4 июль-август 2005 г.

30. Максименков A.B., Селезнев М.Л. Основы проектирования информационно-вычислительных систем и сетей ЭВМ. Москва. «Радио и связь», 1991 г.

31. Малкж A.A., Пазизин C.B., Погожин Н.С. Введение в защиту информации в автоматизированных системах: Учебное пособие.- М.; Горячая линия Телеком, 2001.

32. Методологические основы обеспечения информационной безопасности объектаЛ «Конфидент» № 1. 2000.- С 75-86

33. Михайлов A.C. Система анализа безопасности и исследования протоколов информационного обмена. Диссертация на соискание ученой степени кандидата технических наук. МИФИ. Москва.2004.

34. Михеев Д.А. Защита компьютерных систем объектов от внешних и внутренних атак. \Организация работ по обеспечению комплексного подхода к защите объектов. ООО «КОНФИДЕНТ», Санкт-Петербург, 2001г.

35. Мельников В.В. Защита информации в компьютерных системах. — М.: Финансы и статистика, 1997.

36. Мельников В.В. Основы теории защиты информации в автоматизированных системах //Вопросы защиты информации . 2000.-№3 - С.39-48.

37. Мудариев В.К. «Все об ЛВС». Москва, «Юпитер», 1999 г.

38. Назаров C.B. Локальные вычислительные сети. Книги 1-3. Москва, «Финансы и статистика», 1995 г.

39. Нанс Б. «Компьютерные сети». Москва. Бином. 1996 г.

40. Перфенков Д.П. «Структуры локальных сетей и принципы их работы». Москва. «Айвенго», 2002 г

41. Рагозин Ю.Н. Принципы выбора и вербальной оценки компромиссных решений в системах комплексной защиты информации. / Безопасность информационных технологий. №1, Москва, МИФИ, ВНИИП-ВТИ, 2007 г., стр.94-97

42. Рагозин Ю.Н. Информационная безопасность корпоративных ЛВС проблема выбора оптимального решения. / Вестник академии промышленности и менеджмента. Выпуск 5. Москва 2006 г.стр. 146-153.

43. Рагозин Ю.Н. Компьютерная система поддержки принятия решений при выборе варианта системы информационной безопасности корпоративной локальной вычислительной сети./ Вестник академии промышленности и менеджмента. Выпуск 7. Москва, 2008 г.стр. 75-83.

44. Рагозин Ю.Н. и др. Удаленный электронный научно-образовательный комплекс по направлению «Информационная безопасность» / Свидетельство о государственной регистрации программы для ЭВМ № 201 061 4156 от 25 июня 2010 г.

45. Рагозин Ю.Н. Многокритериальная задача выбора вариантов защиты информации в вычислительных сетях. / Моск. гос. Индустр. ун-т. Москва, 2010 г. Деп. ВИНИТИ 18.06.2010 №381-В2010

46. Рагозин Ю.Н. Текущие подходы оценки безопасности информационных систем, их достоинства и недостатки. / Моск. гос. Индустр. ун-т. Москва, 2010 г. Деп. ВИНИТИ 18.06.2010 №382-В2010

47. Рагозин Ю.Н., Гончаренко С.Н. Выбор вариантов системы информационной безопасности ЛВС на основе компьютерной системы поддержки принятия решений. / ГОРНЫЙ информационно-аналитический бюллетень №4. 2009 г., стр.117-124

48. РД «Безопасность информационных технологий. Положение по разработке профилей защиты и заданий по безопасности»Л Гостехкомиссия России, 2004

49. РД «Безопасность информационных технологий. Руководство по регистрации профилей защиты на основе международного стандарта ISO/IEC 15292» \ Гостехкомиссия России, 2004 г.

50. РД «Безопасность информационных технологий. Руководство по формированию семейств профилей защиты». \ Гостехкомиссия России, 2004.

51. Романец Ю.В., Тимофеев П.Н. Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. М.: Радио и связь., 1999.

52. Руа Б. Проблемы и методы принятия решений в задачах с многими целевыми функциями. // Вопросы анализа и процедуры принятия решений. -М.: Мир, 1976.

53. Салуквадзе М.Е. О задаче линейного программирования с векторным критерием качества. Автоматика и телемеханика, 1972, N5, с. 99-105.

54. Семененко В.А. Информационная безопасность. Учебное пособие. М. МГИУ. 2005.

55. Симонов C.B. Анализ рисков, управление рисками \ Jet Info,l, 1999.

56. Симонов C.B. Технологии и инструментарий для управления рисками \ Jet Info, 1, 200361 .Типовые решения по применению средств VPN для защиты информационных ресурсов. \ ООО «КОНФИДЕНТ», Санкт- Петербург, 2001 г.

57. Трубачев А.П. Формирование требований безопасности автоматизированных систем.\\ INSIDE. Защита информации. № 4. 2005.

58. Феррари Д. Оценка производительности вычислительных систем. Москва. «Мир», 1981 г.

59. Фишберн П. Теория полезности для принятия решений. М.: Наука, 1978.

60. Фоменко Г.В. и др. Методы и средства обеспечения безопасности в сети ИНТЕРНЕТ: Научно-практическое пособие. М.; ИКСИ. 1997.

61. Черней Г.А. Оценка угроз безопасности автоматизированным информационным системам. НТИ. Сер.2. Информационные процессы и системы^ 10.1997.

62. Эйрес Р. Научно-техническое прогнозирование и долгосрочное планирование. -М. : Мир. 1971.

63. Ярочкин В.И. Информационная безопасность. Учебное пособие. М. Международные отношения. 2005.

64. Alter S. L. Decision support systems : current practice and continuing challenges.

65. BonczekR.H., Holsapple C., Whinston A.B. Foundations of Decision Sup-portSystems.- New York: Academic Press,, 1981.

66. BARK89. Barkley, John F. and K. Olsen; Introduction to Heterogenous

67. Computing Environments, NIST Special Publication 500-176, November, 1989.

68. BJUL93. National Computer Systems Laboratory (NCSL) Bulletin, Connecting to the Internet: Security Considerations, July 1993.

69. BNOV91. National Computer Systems Laboratory (NCSL) Bulletin, Advanced Authentication Technology, November 1991.

70. COMM91. U.S. Department of Commerce Information Technology Management Handbook, Attachment 13-D: Malicious Software Policy and Guidelines, November 8, 1991.

71. GILB89. Gilbert, Irene; Guide for Selecting Automated Risk Analysis Tools, NIST Special Publication 500-174, October, 1989.

72. KATZ92. Katzke, Stuart W., Phd., "A Framework for Computer Security Risk Management", NIST, October, 1992.

73. KLEIN. Daniel V. Klein, "Foiling the Cracker: A Survey of, and Improvements to, Password Security", Software Engineering Institute. (This work was sponsored in part by the Department of Defense.)

74. MART89. Martin James and K.K. Chapman, The Arben Group, Inc.; Local Area Networks, Architectures and Implementations, Prentice Hall, 19989

75. NCSC85. Department of Defense Password Management Guideline, National Computer Security Center, April, 1985.

76. NCSC87. A Guide to Understanding Discretionary Access Control in Trusted Systems, NCSC-TG-003, Version 1, September 30, 1987.

77. NCSL90. National Computer Systems Laboratory (NCSL) Bulletin, Data Encryption Standard, June, 1990/

78. NIST85. Federal Information Processing Standard (FIPS PUB) 112, Password Usage, May, 1985.

79. OLDE92. Oldehoeft, Arthur E.; Foundations of a Security Policy for Use of the National Research and Educational Network, NIST Interagency Report, NISTIR 4734, February 1992.

80. ROBA91. Roback Edward, NIST Coordinator, Glossary of Computer Security Terminology, NISTIR 4659, September, 1991.

81. SMID88. Smid, Miles, E. Barker, D .Balenson, and M. Haykin; Message Authentication Code (MAC) Validation System: Requirements and Procedures, NIST Special Publication 500-156, May,1988/

82. STIE85. Steinauer, Dennis D.; Security of Personal Computer Systems: A Management Guide, NBS Special Publication 500-120, January, 1985.

83. TODD89. Todd, Mary Anne and Constance Guitian, Computer Security Training Guidelines, NIST Special Publication 500-172, November, 1989.

84. WACK91. Wack, John P.; Establishing a Computer Security Incident Response Capability (CSIRC), NIST Special Publication 800-3, No 2.8, May 31,2003.

85. WACK89. Wack, John P., and L. Carnahan; Computer Viruses and Related Threats:A Management Guide, NIST Special Publication 500-166, August 1989.'

86. X9F292. Information Security Guideline for Financial Institutions, X9TG-5, Accredited Committee X9F2, March 1992.

87. Davis G. Management Information Systems: Conceptual Foundations, Structure and Development. — New York: McGraw-Hill, 1974.

88. Druzdzel M. J., Flynn R. R. Decision Support Systems. Encyclopedia of Library and Information Science. A. Kent, Marcel Dekker, Inc., 1999.

89. Edwards J.S. Expert Systems in Management and Administration Are they reall different from Decision Support Systems? // European Journal of Operational Research, 1992. - Vol. 61. - pp. 114-121.

90. Eom H., Lee S. Decision Support Systems Applications Research: A Bibliograph (1971-1988) // European Journal of Operational Research, 1990. -N 46. pp. 333-342.

91. Finlay P. N. Introducing decision support systems. Oxford, UK Cambridge Mass., NCC Blackwell: Blackwell Publishers, 1994.

92. Ginzberg M.I., Stohr E.A. Decision Support Systems: Issues and Perspectives /Processes and Tools for Decision Support / ed. by H.G. Sol. Amsterdam: North Holland Pub.Co, 1983.

93. Keen P.G.W. Decision support systems: a research perspective. Decision support systems : issues and challenges. G. Fick and R. H. Sprague. Oxford ; New York Pergamon Press, 1980.

94. Hwang C.L.,Maguel A.S. Multiple objective decision making methods and applications . A state of the art survey.- Lectures notes in economics and mathematical systems. 1979. №164.

95. Keen P.G.W., Scott Morton M. S. Decision support systems :an organiza-tionalperspective. Reading, Mass.: Addison-Wesley Pub. Co., 1978.

96. Little I.D.C. Models and Managers: The Concept of a Decision Calculus /1. Management, June, 1974.

97. Power D. J. "What is a DSS?" // The On-Line Executive Journal for Data-Intensive Decision Support, 1997. v. 1. - N3.

98. Power D. J. Web-based and model-driven decision support systems: concepts andjssues. Americas Conference on Information Systems, Long Beach, California, 2000.

99. Power D.J. A Brief History of Decision Support Systems. DSSRe-sources.COM,World Wide Web,http://DSSResources.COM/history/dsshistory.html, version

100. Reading, Mass.: Addison-Wesley Pub., 1980.

101. Sen A.K. Choice functions and revealed preferences. Review of Economic Studies, №38,1971 p. 301-317.

102. Scott Morton M. S. Management Decision Systems: Computer-based Support for Decision Making. Boston: Harvard University, 1971.

103. Sprague R. H., Carlson E. D. Building Effective Decision Support Systems. Englewood Cliffs, NJ: Prentice-Hall, 1982.

104. Sprague R.H. A Framework for the Development of Decision Support Systems // MIS Quarterly, 1980. v. 4. - pp. 1-26.

105. Thieranf R.J. Decision Support Systems for Effective Planing and Control. Englewood Cliffs, N.J: Prentice Hall, Inc, 1982.

106. Turban, E. Decision support and expert systems: management support systems. Englewood Cliffs, N.J.: Prentice Hall, 1995.

107. Zwicky F. Discovery invention, research through the morphological approach/ New York: Mc.Millan & Co., 1969/