Автоматизация построения профилей защиты с использованием комплексной экспертной системы "АванГард"

Указание полного  множества мер, которые могут  быть приняты для снижения рискообразующего потенциала, по угрозам, вошедшим в  модель угроз, приводит к построению нормативной модели защиты.

Рискообразующий потенциал отдельных угроз может  быть определен путем построения моделей событий рисков, которые могут произойти в результате реализации этих угроз.

Событие риска  может произойти в результате реализации одной или большего числа  угроз.

Общее число  возможных событий риска для  системы неисчислимо.

Модель любого события риска включает в себя: указание полного перечня угроз из модели угроз системы, но только тех, которые приводят к событию риска; оценку цены риска по данному событию; оценку вероятности события риска и оценку величины риска, рассчитываемую как математическое ожидание нанесения ущерба (то есть произведение цены риска на вероятность события риска).

Для каждой модели события риска предполагается, что  это событие могло произойти  только в результате реализации каждой из угроз, его формирующих, поэтому частный рискообразующий потенциал каждой угрозы, формирующей событие риска, будет равен отношению степени риска к количеству угроз, его формирующих.

Для определения  системного рискообразующего потенциала (значимости) угрозы достаточно построить  хотя бы одну модель возможного события риска, в которой будет рассчитано такое значение частного рискообразующего потенциала угрозы, что эксперты, проводящие оценку рисков, не смогут построить больше ни одной модели, в которой бы значение рискообразующего потенциала данной угрозы было бы существенно больше, чем в данной модели.

Если экспертами было построено несколько моделей  событий рисков, в которых была указана одна и та же угроза, то рискообразующий  потенциал этой угрозы в рамках всей системы рассчитывается путем нахождения максимального из всех значений частного рискообразующего потенциала этой угрозы по каждому из событий рисков, в моделях которых она была указана.

2. Для идентификации  критических составляющих  системы используются  следующие положения.

Закон экспоненциального  снижения системного риска. При экспоненциальном снижении рискообразующего потенциала составляющих системы до нуля рискообразующий потенциал всей системы так же экспоненциально снижается, но до величины суммы рискообразующего потенциала угроз, которые не могут быть отнесены ни к одной из составляющих системы, а только ко всей системе в целом.

Следствие 1. Наибольшего снижения риска использования системы можно добиться путем снижения риска ее основных рискообразующих (критических) составляющих.

Для определения  критических составляющих необходимо рассчитать матрицы векторов критичности.

Размерность матрицы  векторов критичности равна числу  иерархических уровней в структурной  модели системы. Матрица рассчитывается на основе коэффициентов допустимости ущерба по отдельным составляющим системы. Для КЭС "АванГард" определено 5 векторов критичности: по объектам, по подсистемам/процессам, по локальным средам, по регионам, по модели системы в целом. Коэффициенты допустимости ущерба определяют, какая доля возможного ущерба может быть отнесена на каждую из составляющих данного уровня иерархической вложенности. Предлагается следующий алгоритм расчета матрицы критичности.

Первоначально задается уровень критичности по модели. Он образует первый вектор критичности. При использовании стоимостных оценок – это та сумма годового ущерба, которая может считаться приемлемой для данной системы в целом.

Вектор критичности  по регионам рассчитывается как совокупность показателей уровня критичности  по каждому региону путем деления уровня критичности по модели на число регионов с учетом коэффициентов допустимости ущерба по каждому из регионов.

Вектор критичности  по локальным средам рассчитывается как совокупность показателей уровня критичности по каждой локальной среде путем деления уровня критичности по соответствующему региону на число локальных сред в этом регионе с учетом коэффициентов допустимости ущерба отдельных локальных сред.

Вектор критичности  по подсистемам рассчитывается как  совокупность показателей уровня критичности по каждой подсистеме путем деления уровня критичности по соответствующей локальной среде на число подсистем в этой локальной среде с учетом коэффициента допустимости ущерба отдельных подсистем.

Вектор критичности  по объектам рассчитывается как совокупность показателей уровня критичности по каждому объекту путем деления уровня критичности соответствующей подсистемы на число объектов в структурной модели, с учетом уровня коэффициента допустимости ущерба по отдельным объектам.

По умолчанию все коэффициенты допустимости ущерба равны единице.

3. Любая мера защиты  из нормативной  модели защиты  может обладать  потенциалом снижения  риска (рископонижающим  потенциалом) в  рамках системы. 

Рископонижающий потенциал меры есть выражение значимости меры. Очевидно, что значимостью могут обладать только те меры, которые относятся к значимым угрозам. Поэтому в дальнейшем речь идет только о таких мерах. Для того, чтобы определить потенциал снижения риска системы данной мерой, необходимо выполнить следующие действия.

Построить модель воздействия меры защиты на возможное  событие того риска, в состав которого входит угроза, к которой относится  эта мера. Такого рода модель строится на основе модели события риска путем  получения новых экспертных оценок того, как снизятся цена риска и вероятность события риска, если эта мера будет принята. Разница между показателями размера риска по модели до принятия меры и после ее принятия представляет собой показатель потенциала снижения риска данной меры в данной модели воздействия. Если для снижения угрозы может быть применено несколько мер, то необходимо построить модели воздействия по каждой из них. Далее следует исходить из того, что в случае одновременного принятия мер рискообразующий потенциал угрозы, к которой относятся все указанные меры, не может быть снижен ниже нуля, поэтому, если сумма потенциалов снижения риска по каждой из мер окажется больше оценки рискообразующего потенциала угрозы в данной модели риска, то значения потенциалов мер должны быть нормированы таким образом, чтобы их сумма была равна рискообразующему потенциалу угрозы по указанной модели риска. По тем мерам, по которым в результате нормирования показатель потенциала снижения риска уменьшился, рассчитывается коэффициент возможного роста потенциала. Этот коэффициент рассчитывается как отношение исходной оценки потенциала снижения риска к нормированной и может использоваться при расчете эффективности комплексов мер, в которые эта мера будет включена.

Такого рода операции выполняются для всех моделей  событий рисков, включающих угрозу, к которой относится данная мера, но только в том случае, если не очевидно, что выполнение всех этих операций приведет к получению большего значения оценки потенциала меры. В любом случае в качестве окончательного значения для потенциала меры защиты по данной угрозе принимается максимальное значение потенциала снижения риска данной меры (и соответствующее ему значение коэффициента возможного роста потенциала), которое было получено при построении моделей воздействия этой меры защиты по каждому из событий риска, в которые входит угроза, парируемая данной мерой.

Далее следует  учесть, что мера, если она принимается, то она принимается по отношению  к тому объекту, с которым связана  угроза, ею парируемая. И может существовать целая совокупность угроз данному объекту, чей потенциал может быть понижен указанной мерой. Таким образом, потенциал снижения риска меры защиты будет рассчитываться как сумма рассчитанных оценок значимостей этой меры по всем угрозам, относимым к указанному объекту. Однако, если окажется, что суммарный потенциал снижения рисков всех мер, относимых к данному объекту, окажется больше рискообразующего потенциала этого объекта, то должна быть выполнена процедура нормирования полученных значений потенциалов мер таким образом, чтобы их общая сумма была равна рискообразующему потенциалу этого объекта. Тогда окончательными оценками значимости мер будут значения, рассчитанные путем их второго нормирования. При этом в качестве окончательного будет принято максимальное для данной меры значение коэффициента возможного роста потенциала.

С каждой мерой  защиты может быть связана система  требований, позволяющих оценивать  качество исполнения данной меры в  конкретной системе на момент ее оценки.

4. Для снижения рисков в системе меры могут объединяться в комплексы. Эффективность комплекса мер определяется показателями суммарного потенциала снижения риска и остаточным потенциалом риска системы.

Суммарный потенциал  снижения риска для комплекса  мер определяется как сумма потенциалов  снижения риска по каждой из мер, вошедших в комплекс. Однако если в комплекс включены меры, которые имеют ненулевой коэффициент возможного роста потенциала и по объектам, к которым относятся эти меры, при первоначальном расчете эффективность комплекса мер оказывается такова, что остаточный риск по каким-либо из этих объектов больше нуля, то тогда по такого рода мерам оценки потенциала снижения риска могут быть пропорционально увеличены в такой степени, чтобы предельно снизить остаточный риск по всем объектам вплоть до нуля.

Показатель остаточного  риска может быть рассчитан по всем структурным составляющим и  по системе в целом исходя из того, что для каждой меры известно, по какому объекту и на сколько она  позволяет снизить потенциал  риска.

Выбор окончательного варианта комплекса мер осуществляется по критерию "эффективность-стоимость".

Заключение 

Важнейшими задачами управления информационной безопасностью  АИС являются снижение рисков, связанных  с функционированием АИС, управление этими рисками и контроль выполнения требований ИБ АИС. КЭС "АванГард" разработана для того, чтобы автоматизировать и таким образом облегчить решение этих непростых задач.

Программные комплексы  КЭС "АванГард" построены на стройной и доступной пониманию пользователей  аксиоматике, основанной на строгой логике ее основных положений и процедур.

КЭС "АванГард" имеет простой в освоении интуитивно-понятный интерфейс и не требует больших  усилий по освоению работы с ней.

КЭС "АванГард" может работать на любых компьютерах, на которых уcтановлена ОС класса Win32 и есть 1 Гбайт свободной дисковой памяти.

Система "АванГард" может быть рекомендована для  широкого использования в системах управления информационной безопасностью  больших распределенных АИС.