О ВОЗМОЖНОСТИ ПРИМЕНЕНИЯ МЕТОДОВ КОМПЛЕКСНОЙ СРАВНИТЕЛЬНОЙ ОЦЕНКИ ДЛЯ АНАЛИЗА СИСТЕМЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ ШИРОКОВ Е.В. Омский государственный технический. - презентация

1 О ВОЗМОЖНОСТИ ПРИМЕНЕНИЯ МЕТОДОВ КОМПЛЕКСНОЙ СРАВНИТЕЛЬНОЙ ОЦЕНКИ ДЛЯ АНАЛИЗА СИСТЕМЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ ШИРОКОВ Е.В. Омский государственный технический университет

2 Анализ системы защиты персональных данных (СЗ ПДн) должен позволять получать полную и объективную оценку защищенности информационных процессов, локализовать имеющиеся проблемы и разработать эффективную программу построения системы обеспечения информационной безопасности организации. К сожалению, существуют препятствия как методологического, так и организационного характера тому, чтобы комплексная оценка удовлетворяла этим требованиям. Поэтому нередко возникают ситуации, когда полученные тем или иным способом обобщающие оценки состояния СЗИ не соответствуют действительности или на практике не оправдывают усилий, затраченных на сбор и обработку данных.

3 В настоящей работе предлагается методика анализа системы защиты персональных данных (СЗ ПДн), основанная на использовании методов комплексной сравнительной оценки. Преимущества рассматриваемых методов состоят в том, что: во-первых, они базируются на комплексном многомерном подходе к оценке такого сложного явления, как структурные изменения, происходящие в системе защиты; во-вторых, логика методов позволяет преодолеть недостатки методов оценки структурных изменений и тем самым избежать субъективизма отдельных показателей; в-третьих, методы отличаются простотой и универсальностью.

4 Методы многомерного анализа (комплексной сравнительной оценки) 1. Метод суммирования показателей. 2. Метод суммы мест. 3. Метод расстояний. 4. Таксонометрический метод 5. Метод стандартизованных коэффициентов. 6. Метод суммы баллов с заданной непрерывной шкалой на выбранном отрезке. 7. Метод суммы баллов с различными шкалами для разных показателей

5 Этапы методики оценки качества объектов СЗИ с использованием вышеназванных методов Этап 1. Определяются цели и условия функционирования предприятия – владельца информационных ресурсов, поскольку уровень информационной безопасности предприятия – это одна из характеристик его жизнеспособности. При анализе СЗИ предприятия некоторые положения комплексной оценки соответственно будут пересекаться с определенными видами деятельности предприятия. В основном это затрагивает формирование стратегических интересов предприятия и соответственно их количественного толкования. Этап 2. Формируются информационная система предприятия, необходимая база системного анализа и выбирается исходная система показателей. Этап 3. Проводится организация сбора исходной информации. Этап 4. Производится расчет и оценка значений частных показателей (мест, балльных оценок, коэффициентов по исходным показателям и т.д.).

6 Этап 5. Формируются группы показателей или отдельного критерия, определенного как мера для сравнения количественных показателей исследуемой операции в отношении затрачиваемых усилий и получаемых результатов. Критерий должен отвечать следующим основным требованиям: – иметь ясный физический смысл; – быть определяющим и соответствовать основной цели функционирования системы, подсистемы или элемента; – учитывать основные факторы, определяющие уровень безопасности системы; – быть критичным к анализируемым параметрам и достаточно чувствительным к ним.

7 Этап 6. Задается матрица Х, в которой – величина j-го показателя i-го объекта

8 Этап 7. Задается вектор K, элементы которого отражают значимость j- го показателя. Этап 8. Задается вектор S, элементы которого принимают значения: – 1, если j-й показатель-дестимулятор; + 1, если j-й показатель-стимулятор.

9 Этап 9. На этом этапе проводится операция стандартизации признаков (показателей), поскольку разные признаки могут иметь различную размерность. Для выполнения операции определяются: – средняя арифметическая признака – среднеквадратическое отклонение j-го признака – стандартизованное значение j-го объекта

10 Этап 10. Формируется стандартизованная матрица вида

11 Этап 11. Производится расчет точки-эталона, обусловленный тем, что в одномерном пространстве происходит попарное сравнение показателей. Эталоном будет точка (вектор), образованная по правилу: среди признаков-стимуляторов отбираются признаки с максимальными значениями, а среди признаков-де стимуляторов – с минимальными. Этап 12. Ранжирование объектов по степени убывания характеристик. Этот этап занимает важное место в системе комплексного анализа в двух случаях: 1) когда требуется сопоставить состояние нескольких объектов на основе единой системы показателей; 2) когда нужно сопоставить результаты функционирования объекта во времени.

12 Показатели: Показатель I – уровень технической защиты; Показатель II – уровень правовой защиты; Показатель III – уровень организационной защиты; Показатель IV – уровень программной защиты; Показатель V - оценка угроз утечки информации по техническим каналам; Показатель VI – оценка угрозы НСД к ПДн, обрабатываемым в ИСПДн; Показатель VII – оценка угроз, реализуемых с использованием протоколов межсетевого взаимодействия из внешних сетей; Показатель VIII – оценка угроз целостности. Объекты: Объект 1; Объект 2; Объект 3; Объект 4; Объект 5.

13 Исходные данные для расчета

14 Диаграмма рейтинговых мест, определенных для анализируемых объектов по всем использованным в исследовании методам

15 Результаты определения точности методов

16 Полученные результаты позволяют сделать вывод о приемлемости использования методов комплексной сравнительной оценки для анализа системы защиты персональных данных организации. Однако следует учитывать, что осуществление разных этапов построения комплексных оценок связано со многими нерешенными проблемами, например при выборе целей оценки, определении системы оцениваемых показателей и коэффициентов их сравнительной значимости, а также с затруднениями при разработке вычислительного алгоритма. Становится ясно, что конкретные значения обобщающих оценок во многом зависят от совершенства проведения отдельных этапов построения комплексных оценок. По этой причине их нахождение и использование требуют пристального внимания и существенного совершенствования.

17 Благодарю за внимание!