Модель оценки защищенности систем дистанционного образования вузов

Существующие подходы к оценке защищенности

Анализ литературных источников [2-6, 12, 16] показывает, что исследование защищенности является важным этапом в решении задач связанных с контролем над безопасностью системы, моделированием и оптимизацией архитектуры системы защиты. В связи с этим в настоящее время существует несколько направлений теоретических и практических исследований связанных с исследованием, оценкой и управлением защищенностью:

• 
  работы, посвященные анализу защищенности автоматизированных систем;
  
• 
  работы, посвященные исследованиям в области интегрированного управления информационными и другими типами рисков;
  
• 
  работы, посвященные исследованиям в области анализа комплексных нарушений в системах защиты информации и анализа безопасности в условиях неполной информации и др.
  
• 
  В общем случае защищенность системы оценивается двумя основными способами:
  
• 
  самостоятельная оценка, которая выполняется собственником, администраторами системы и/или службой внутреннего аудита, независимой от подразделений информационных технологий и информационной безопасности организации;
  
• 
  оценка независимым внешним исполнителем, которая, в свою очередь, имеет два распространенных варианта реализации - аудит и экспертная оценка.
  

Самооценка или самоконтроль - самый распространенный тип оценки защищенности, который осуществляется практически непрерывно с использованием не описанных формально процедур. Для проведения самостоятельной оценки

защищенности системы, ответственное за безопасность лицо может воспользоваться стандартом ГОСТ Р ИСО/МЭК 17799–2005. Согласно данному стандарту рекомендуется проводить периодические проверки соответствия текущей защищённости, требуемому уровню, политике безопасности и техническим требованиям, однако в нем ничего не говорится о рекомендуемых методах реализации проверок. В общем случае, процедуру оценки, проводят с применением различных методов опроса. Основными этапами данного подхода являются:

• 
  использование опросных листов на основе требований стандарта;
  
• 
  формирование на основе требований и рекомендаций стандарта и/или основе мнений привлеченных специалистов – экспертов базы знаний;
  
• 
  нахождение правил по анализу ответов на опросные листы.
  

Применение только стандартизированного подхода позволит достаточно быстро произвести оценку защищенности и получить рекомендации для исследуемой системы. Однако, основным недостатком подобного подхода является то, что реализация полученных рекомендаций практически всегда затруднена (или невозможна) из-за того, что не стандарт не учитывает информацию, накопленную самой системой в процессе ее функционирования. Поэтому помимо учета требований стандарта необходимо также учитывать специфику системы, информационные активы и статистики по угрозам ИБ или инцидентам ИБ собранных в процессе функционирования системы.
Анализ источников показывает, что процедура оценки защищенности проводится как в «ручном» режиме так и в автоматизированном с привлечением специальных программных средств оценки защищённости и рисков, реализующих различные методики. В настоящее время наиболее распространенными являются следующие методики оценки защищенности:

• 
  методика количественно-качественной оценки защищенности по уровням;
  
• 
  методика оценки защищенности как величины предотвращенного ущерба;
  
• 
  методика оценки защищенности на основе непрерывного бетта- распределения плотности вероятности ущерба;
  
• 
  методика численной оценки уровня защищенности на основе вероятностно-статистического подхода;
  
• 
  методика оценки защищенности через моделирование угроз;
  
• 
  методика векторного анализа информационной безопасности.
  

Каждая из данных методик имеет свои достоинства и недостатки, сложность и особенности реализации, а также форму представления показателя общей защищенности систем. В рамках данной работы автором при разработке модели оценки защищенности СДО вуза будет использоваться комбинированный подход, построенный на исследовании рисков ИБ и применении методик количественно- качественной оценки защищенности по уровням и численной оценки уровня защищенности на основе вероятностно-статистического подхода.