Методика определения степени возможного ущерба и алгоритма определения уровня защищённости государственных информационных систем

АКТУАЛЬНОСТЬ ИССЛЕДОВАНИЯ
Согласно статистическим данным, в 2019 году число преступлений в сфере информационно-телекоммуникационных технологий увеличилось с 65 949 до 90 587. Их доля от числа всех зарегистрированных в России преступных деяний составляет 4,4% — это почти каждое 20 преступление, сообщается на сайте Генеральной прокуратуры Российской Федерации.

НАУЧНАЯ НОВИЗНА
Разработана методика определения степени возможного ущерба, отличающаяся оценкой затрат от негативных последствий, которые могут наступить в случае нарушения свойств информационной безопасности.
Разработан алгоритм определения уровня защищенности государственных информационных систем на основании анализа имеющихся мер защиты информации, посредством применения методики аддитивной свертки

ЦЕЛЬ И ЗАДАЧИ РАБОТЫ
Целью работы является повышение уровня защищённости государственных информационных систем.
Провести анализ существующей нормативно-правовой базы, методических документов и научных статей в области защиты государственных информационных систем.
Разработать алгоритм определения уровня защищенности государственных информационных систем.
Разработать программный продукт определения степени возможного ущерба и определения уровня защищенности информационной системы.
Разработать методику определения степени возможного ущерба.

АНАЛИЗ НОРМАТИВНО-ПРАВОВОЙ БАЗЫ
В ПРЕДМЕТНОЙ ОБЛАСТИ

МЕТОДИКА ОПРЕДЕЛЕНИЯ СТЕПЕНИ ВОЗМОЖНОГО УЩЕРБА
Для оценки степени ущерба (Эу) предполагается следующий подход, отличающаяся оценкой затрат от негативных последствий:
Шз – общая сумма по возможным штрафам от нарушения требований законодательства;
Оу – оплата сумм по компенсации морального вреда, сформированных в результате решений суда по вопросам разглашения конфиденциальных данных;
Зв – затраты на восстановление оборудования, в случае его уничтожения/повреждения;
Зп – затраты, связанные с выплатами (пени/штрафы) от простоя системы.

МЕТОДИКА ОПРЕДЕЛЕНИЯ СТЕПЕНИ ВОЗМОЖНОГО УЩЕРБА
После проведённых расчётов можно сформулировать следующий переход к пояснению негативных последствий:
Существенные негативные последствия – ведут к выплате штрафов, компенсаций, иным затратам, составляющим от 50 до 100 % чистого дохода организации (высокая степень ущерба).
Умеренные негативные последствия – ведут к выплате штрафов, компенсаций, иным затратам, составляющим от 10 до 50 % чистого дохода организации (средняя степень ущерба).
Незначительные негативные последствия - ведут к выплате штрафов, компенсаций, иным затратам, составляющим до 10 % чистого дохода организации (низкая степень ущерба).

АЛГОРИТМ ОПРЕДЕЛЕНИЯ УРОВНЯ ЗАЩИЩЁННОСТИ ГИС

КЛАССИФИКАЦИЯ УГРОЗ ПО ТРЕБОВАНИЯ
К МЕРАМ ЗАЩИТЫ

ОЦЕНКА ГРУППОВОГО ПОКАЗАТЕЛЯ
ОТ КАЖДОЙ ГРУППЫ УГРОЗ
Для оценки уровня защищённости предлагается создание аддитивной свертки для каждой группы угроз.
Оценка группового показателя (GP) производится посредством аддитивной свертки коэффициента важности (α) и числовой оценки параметра (Ch), по формуле:
GP=α1Ch1+α2Ch2 +…+α7Chn.

ОЦЕНКА ГРУППОВОГО ПОКАЗАТЕЛЯ(УРОВНЯ ЗАЩИЩЕННОСТИ) ОТ УГРОЗ, СВЯЗАННЫХ С ИСПОЛЬЗОВАНИЕМ АЛЬТЕРНАТИВНЫХ ПУТЕЙ ДОСТУПА К РЕСУРСАМ (ПРИМЕР)

ОЦЕНКА ГРУППОВОГО ПОКАЗАТЕЛЯ
ОТ КАЖДОЙ ГРУППЫ УГРОЗ
Для формализации процесса определения качественных и количественных значений уровня защищенности представим следующие диапазоны значений:
0 – 0,29 – уровень защищенности низкий, реализация угрозы высокая, необходимо незамедлительное применение мер защиты, а именно разработка организационных мер и установка средств защиты в соответствии с полученными ответами на вопросы анкеты, которые имели значение от 0 до 0,1, а также теми мерами, которые не выполнены оператором при оценке соответствия Приказу №17 ФСТЭК;
0,3 – 0,59 – уровень защищенности средний, реализации угрозы средняя, необходимо применение мер защиты, а именно разработка организационных мер и установка средств защиты в соответствии с полученными ответами на вопросы анкеты, которые имели значение от 0 до 0,1, а также теми мерами, которые не выполнены оператором при оценке соответствия Приказу №17 ФСТЭК;
0,6 – 1 – уровень защищенности высокий, реализации угрозы низкая, незамедлительное применение мер защит не требуется.

ДЕМОНСТРАЦИЯ РАБОТЫ АС
Начальное окно работы программы
Параметры для определения степени возможного ущерба
Результаты определения степени возможного ущерба

ДЕМОНСТРАЦИЯ РАБОТЫ АС
Угроза воздействия на программы с высокими привилегиями
Результат прохождения
анкетирования
Меры по повышению
уровня защищенности

АПРОБАЦИЯ ИССЛЕДОВАНИЯ
НА ОБЪЕКТЕ (МНОГОФУНКЦИОНАЛЬНЫЙ ЦЕНТР ГОСУДАРСТВЕННЫХ И МУНИЦИПАЛЬНЫХ УСЛУГ)
Определение степени возможного ущерба Многофункционального центра государственных и муниципальных услуг при помощи разработанного подхода.
Шз = 140 000 рублей;
Оу = 50 000 рублей;
Зв = 500 000 рублей;
Зп = 60 000 рублей.
Общий ущерб: Эу = 140 000 + 50 000 + 500 000 + 60 000 = 750 000 рублей.
750 000 рублей (ущерб) от 1 500 000 рублей (чистый доход) составляет 50%. Согласно ранее разработанному подходу определения степени возможного ущерба, существенные негативные последствия – ведут к выплате штрафов, компенсаций, иным затратам, составляющим от 50 до 100 % чистого дохода организации, следовательно, степень возможного ущерба высокая.

АПРОБАЦИЯ ИССЛЕДОВАНИЯ
НА ОБЪЕКТЕ (МНОГОФУНКЦИОНАЛЬНЫЙ ЦЕНТР ГОСУДАРСТВЕННЫХ И МУНИЦИПАЛЬНЫХ УСЛУГ)
Число угроз с высоким уровнем реализации снизилось на 34%, что свидетельствует о действенности разработанной методики.
Определение уровня защищенности
до применения разработанного алгоритма
Определение уровня защищенности
после применения разработанного алгоритма

РЕЗУЛЬТАТЫ РАБОТЫ
1. Проведён анализ существующей нормативно-правовой базы, методических документов и научных статей в области защиты государственных информационных систем.
2. Разработана методика определения степени возможного ущерба.
3. Разработан алгоритм определения уровня защищенности государственных информационных систем.
4. Разработан программный продукт определения степени возможного ущерба и определения уровня защищенности информационной системы.