Современные информационные технологии/ Информационная безопасность

Литовченко И. В., Саксонов Г. М.

Национальный горный университет, Украина

Математическая модель системы управления информационной безопасности

Успех современной компании и ее развитие в условиях острой конкуренции в значительной степени зависит от применения ИТ, следовательно, от степени обеспечения ИБ. Так как организация информационной безопасности – это непрерывный процесс, который нуждается в управлении, то существует и необходимость в создании эффективной системы управления информационной безопасности (СУИБ). В соответствии с международным стандартом ISO/IEC 27001, СУИБ – это часть общей системы менеджмента предприятия, направленная на обеспечение выбора адекватных и пропорциональных средств управления защитой, которые защищают информационные активы и придают уверенности заинтересованным сторонам.

В работе [1] предложена модель управления информационной безопасности организации.

Суть этой модели заключается в следующем. Пусть З(t) – затраты на бизнес в организации по времени, а затраты на информационную безопасность не предполагаются. Также допускается, что доход предприятия определяется функцией Д(t), также зависящей от времени ведения бизнеса

Предполагается, что эти функции линейны и предприятие рентабельно.

Тогда функции изменения доходности и стоимости ведения бизнеса могут быть представлены в виде

Рис. 1. Схема ведения бизнеса

Прибыль предприятия всегда будет положительная и равна П(t) = Д(t) - З(t).

Предполагается, что в какой-то момент времени Т происходит инцидент нарушения безопасности, а реакция на этот инцидент происходит через интервал времени Δt после момента времени Т.

Тогда момент времени Т+ Δt = Т^р – будет моментом времени начала реакции организации на инцидент.

Рис. 2. Схема ведения бизнеса без СУИБ

В работе [1] предполагается, что доходность бизнеса уменьшается на ΔД и после этого может быть в худшем случае остаться на уровне Д(Т^р).

Момент времени Т^р может быть определен только моментом уменьшения доходности предприятия от планируемой (естественно, если на это нет ни каких экономических, финансовых, административных и т. п. причин). Область Д – определяет возможные изменения активности бизнеса.

Во втором варианте ведения бизнеса, предполагается, что организация имеет в своем составе СУИБ и естественно затрачивает на это дополнительные ресурсы.

Тогда предполагается, что система СУИБ должна обнаружить инцидент в момент времени Т_об и остановить его действия в момент Т_ост. Причем всегда выполняется Т_ост≥Т_об.

Существует 3 возможных варианта:

I. Время обнаружения Т_об и время устранения возможных последствий инцидента Т_ост находятся в пределах диапазона времени (Т; Т^р). Т. е. средства СУИБ производят обнаружение и действия по устранению последствий инцидента, прежде чем наступит момент времени воздействия инцидента на организацию. В этом случае в момент времени Т_ост доход предприятия уменьшится на величину затрат З_и, необходимых для восстановления бизнеса средствами СУИБ. Причем ущерб на предприятии будет отсутствовать.

Рис. 2. Схема ведения бизнеса с СУИБ (вариант 1)

II. Происходит в случае, если время устранения возможных последствий инцидента Т_ост расположено за пределами диапазона времени (Т; Т^р). Следовательно, средства СУИБ не позволяют устранить действие инцидента к моменту времени Т^р, в результате чего в момент времени Т^р предприятие терпит ущерб в виде З_б (затрат бизнеса на инцидент) и возможного изменения активности бизнеса (угол наклона Д(t)), а в момент времени Т_ост СУИБ расходует З_и для устранения инцидента и его последствий причем они будут превышать З_и варианта I. Из этого следует, что доход предприятия будет уменьшен на величину З_б+З_и (у. д. е.)

Рис. 2. Схема ведения бизнеса с СУИБ (вариант 2)

III. Моменты времени обнаружения Т_об и устранения возможных последствий инцидента Т_ост находятся за пределами временного диапазона (Т; Т^р). Тогда в момент времени Т^р доходность предприятия уменьшится на величину З_б, которая превышает З_б второго случая. Снижение активности бизнеса происходит еще до наступления момента времени Т_об. А в момент времени Т_ост доход предприятия уменьшится на величину затрат З_и, требуемых для устранения инцидента и восстановления бизнеса средствами СУИБ. Этот вариант имеет большую вероятность обнаружения и обработки инцидента внешним источником, до того, как это реализуется средствами СУИБ предприятия, что повлечет за собой прекращение бизнеса в целом.

Рис. 2. Схема ведения бизнеса с СУИБ (вариант 3)

Предложенная модель может использоваться для оценки степени эффективности защитных мер предназначенных для снижения оцененных рисков организации. В виду того, что приведенная модель является обобщенной, она требует некоторой детализации и конкретизации.

Как известно, ценность данных организации изменяется с течением времени. По этому, при моделировании СУИБ организации, существует необходимость учитывать возможные изменения полезности информации организации, а следовательно, и изменения требований к их защищенности. Выполнение данного условия дает возможность построения адекватной СУИБ, в соответствии с проведенным анализом рисков и с учетом экономических показателей бизнеса.

Литература:

1. Сапегин Л.Н., Бочкарев С.Л. Оценка эффективности системы менеджмента информационной. - ФГУП "ПНИЭИ" , 2007

2. ISO/IEC 27001:2005, Информационные технологии. Методы защиты. Системы управления информационной безопасностью. Требования.