ФОРМАЛИЗАЦИЯ ПРОЦЕДУРЫ ПРОВЕДЕНИЯ АУДИТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА ОСНОВЕ ПРОФИЛЯ ЗАЩИТЫ

В настоящее время эффективность реализации большинства бизнес-процессов коммерческих и государственных организаций напрямую связана с безопасностью информации циркулирующей в организации и средств обрабатывающих ее. Для предотвращения ошибок и сбоев системы, работающей с информацией, необходимо проводить периодическую проверку системы на степень ее защищённости от различного рода угроз и соответствие выделенным требованиям и критериямбезопасности. Как правило, данная проверка осуществляется при проведении внутреннего или внешнего аудита информационной безопасности (ИБ) организации.

Аудит информационной безопасности (ИБ) — представляет собой оценку текущего состояния защищенности и безопасности информационных ресурсов и корпоративных систем организации, на соответствие стандартам и требованиям предъявляемых со стороны заказчика.

В настоящее время можно выделить следующие основные виды аудита информационной безопасности[2]:

экспертный аудит безопасности, в процессе которого выявляются недостатки в системе мер защиты информации на основе имеющегося опыта экспертов, участвующих в процедуре обследования;
активный аудит, включающий механизмы для проверки правильного выполнения существующей политики безопасности, слежения в реальном масштабе времени за отклонениями и выявление вторжения;
оценка соответствия рекомендациям Международного стандарта ISO 17799, а также требованиям руководящих документов ФСТЭК;
инструментальный анализ защищённости АС, направленный на выявление и устранение уязвимостей программно-аппаратного обеспечения системы;
комплексный аудит, включающий в себя все вышеперечисленные формы проведения обследования.

Каждый из вышеперечисленных видов аудита может проводиться по отдельности или в комплексе в зависимости от тех задач, которые необходимо решить предприятию. В качестве объекта аудита может выступать как ИС компании в целом, так и её отдельные сегменты, в которых проводится обработка информации, подлежащей защите.

Проведение аудита ИБ основываетсяна использовании многочисленных рекомендаций, которые изложены в российских и международных стандартах ИБ. Одним из результатов проведения аудита в последнее время все чаще становится сертификат, удостоверяющий соответствие обследуемой ИС определенному признанному международному стандарту. Наличие такого сертификата позволяет организации получать конкурентные преимущества, связанные с большим доверием со стороны клиентов и партнеров. Поэтому наиболее подробно следует остановиться на виде аудита на основе стандарта.

Данный вид аудита использует такое понятие как профиль защиты. Профиль защиты (ПЗ) – это независимая от реализации совокупность требований безопасности для некоторой категории ИС, отвечающая специфическим запросам потребителя. Профиль защиты является «эталоном» для защиты ИС предприятия. Цель разработки и оценки профиля защиты – показать, что он является полным, непротиворечивым, технически правильным и поэтому пригоден для изложения конкретных требований к одному или нескольким типам ИС. [3]

Таким образом, процесс аудита ИБ, основанный на профиле защиты можно представить в виде следующей схемы (см. рисунок 1).

Рисунок 1. Схема проведения аудита ИБ с использованием профиля защиты

В этом случае при аудите происходит проверка на соответствие текущего ПЗ «эталонному» ПЗ, и если текущий набор средств и состояния СЗИ не соответствуют, принимается решение о модификации либо СЗИ, либо модификации «эталонного» ПЗ, в случае его не актуальности.

Процедуру проведения аудита ИБ на основе ПЗ можно представить в виде следующего кортежа (формула 1):

(1)

где: – АПЗ – процедура проведения аудита ИБ на основе профиля защиты;ПЗО – множество индивидуальных требований заказчика;КО – критерии оценки в соответствии с ГОСТ/ИСО МЭК 15408-2002 «Общие критерии оценки безопасности информационных технологий»; ЭПЗ – эталонный профиль защиты;МР – множество рекомендаций.

В соответствии с ГОСТ/ИСО МЭК 15408-2002″Общие критерии оценки безопасности информационных технологий» были выделены следующие критерии представленные в таблице 1[4]:

Таблица 1.

Критерии для сравнения ПЗ.

№	Критерий	Название критерия
1	Аудит безопасности	K₁
2	Неотказуемось в обмене данными между объектами оценки	K₂
3	Управление криптографической поддержкой	K₃
4	Политика управления доступом	K₄
5	Аутентификация и идентификация пользователей	K₅
6	Целостность хранимых данных	K₆
7	Защита конфиденциальных данных при передаче между функциями безопасности объекта оценки	K₇
8	Управление безопасностью и распределение ролей безопасности	K₈
9	Приватность	K₉
10	Защита функций безопасности	K₁₀
11	Безопасность при сбое	K₁₁
12	Самотестирование функций безопасности объекта оценки	K₁₂
13	Отказоустойчивость	K₁₃
14	Распределение ресурсов	K₁₄
15	Доступ к объекту оценки	K₁₅
16	Доверенный канал/маршрут между функциями безопасности объекта оценки	K₁₆

Данные критерии являются качественными и принимают значения в соответствии с правилом описанным формулой 2:

где:– del– заданное минимальное отклонение.

Таким образом, алгоритм проведения аудита ИБ на основе ПЗ выглядит следующим образом:

Определение ПЗ организации и наибольшего отклонения от эталонного ПЗ;
Определение эталонного ПЗ;
Сравнение эталонного ПЗ и ПЗ организации;
Решение о выдаче сертификата соответствия и предоставление рекомендаций.

Список литературы:

Аудит информационной безопасности [Электронный ресурс] /Научно – испытательный институт систем обеспечения комплексной безопасности – Режим доступа: https://www.niisokb.ru/services/information_security_audit/

Виды аудита информационной безопасности [Электронный ресурс] / ISOru – Режим доступа: https://www.iso27000.ru/chitalnyi-zai/audit-informacionnoi-bezopasnosti/vidy-audita-informacionnoi-bezopasnosti

Профили защиты, порядок их регистрации и сертификации во ФСТЭК России[Электронный ресурс] / ИНТУИТ – Режим доступа: https://www.intuit.ru/studies/courses/697/553/lecture/12453

ГОСТ/ИСО МЭК 15408-2-2002.Общие критерии оценки безопасности информационных технологий. – Введ. 2002 – 04 – 04. – М: Изд-во стандартов, 2001. – 276с.[schema type=»book» name=»ФОРМАЛИЗАЦИЯ ПРОЦЕДУРЫ ПРОВЕДЕНИЯ АУДИТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА ОСНОВЕ ПРОФИЛЯ ЗАЩИТЫ» description=»В данной статье рассмотрена проблема проведения аудита информационной безопасности на предприятии на основе профиля защиты. Выделены этапы и особенности данного вида аудита. В результате исследования была предложена формализованная модель, описывающая процедуру проведения аудита информационной безопасности на основе профиля защиты.» author=»Датская Лариса Викторовна, Кожевникова Ирина Сергеевна, Ананьин Евгений Викторович» publisher=»БАСАРАНОВИЧ ЕКАТЕРИНА» pubdate=»2017-03-12″ edition=»ЕВРАЗИЙСКИЙ СОЮЗ УЧЕНЫХ_30.05.2015_05(14)» ebook=»yes» ]

euroasia

Похожие записи