Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Предоплата всего
Подписываем
Введение.
1. Анализ существующих методик оценки экономического ущерба от разглашения (утраты) конфиденциальной информации.
1.1 Анализ задачи оценки ущерба конфиденциальной информации
1.2 Анализ потенциальных угроз конфиденциальной информации
1.4 Анализ существующих методов оценки ущерба
2. Безопасность жизнедеятельности и эргономика рабочего места.
3. Заключение.
Список использованных источников.
Каждый этап развития человечества характеризуется какими-то присущими ему особенностями. Так современный век смело можно назвать информационным. Нас окружает большое количество информации различного характера и применения, не вся эта информация предназначена для широкого доступа.
По режиму доступа информация делится на открытую и с ограниченным доступом. В свою очередь информация с ограниченным доступом делится на конфиденциальную и секретную. Под конфиденциальной информацией понимаются сведения, находящиеся в собственности, использовании или в распоряжении отдельных физических или юридических лиц и распространяются по их желанию в соответствии с предусмотренными ими условиями.
По содержанию конфиденциальная информация может иметь профессиональный, деловой, производственный, банковский, коммерческий, персональный и иной характер.
Практически в любой сфере жизни человека существует информация, не предназначенная для широкого ознакомления. В настоящее время существует множество методов позволяющих существенно снизить возможность доступа злоумышленников к конфиденциальной информации. Все они в идеале призваны обеспечить полную защиту сведений, но на практике не существует способа, который бы давал 100% защиту от действий злоумышленников. Поэтому, наряду с методами защиты информации, также разрабатываются методы оценки величины ущерба от её утечки, методы оценки риска утечки конфиденциальной информации, методы оценки вероятности осуществления угроз конфиденциальной информации и д.р. Все эти направления необходимы для полного анализа проблемы защиты информации. Среди них особо следует выделить методы оценки ущерба от разглашения информации.
Актуальность исследований в данном направлении состоит в том, что разрабатываемые методы позволяют определить как потери, которые может понести владелец конфиденциальной информации, так и выявить и описать возможные пути реализации угроз. Помимо вышеописанных свойств этих методов, они также используются для обоснования затрат, которые производятся для создания систем защиты. Так, например, экономически не выгодно тратиться на систему защиты, которая по затратам больше, чем цена защищаемой информации. Данной проблемой занимается много специалистов по защите информации. Кроме того, в современных системах оценки рисков от утечки конфиденциальных сведений также заложен аппарат оценки ущерба (например, в системе Гриф).
Целью курсового проекта является анализ методов для определения вероятного ущерба от несанкционированного доступа к конфиденциальной информации.
Исходя из поставленной цели, были определены следующие задачи:
1. Рассмотреть основные виды угроз конфиденциальной информации и провести их классификацию.
2. Анализировать основные методы оценки ущерба.
Необходимо также отметить, что разработка и исследование новых методов оценки ущерба от угроз конфиденциальной информации, а также применение существующих позволяет в значительной степени повышает уровень систем защиты.
Целью курсового проекта является анализ методов оценки ущерба конфиденциальной информации от внешних угроз. Для достижения поставленной задачи требуется проанализировать виды угроз конфиденциальной информации, проанализировать основные методы оценки ущерба, определить внешние параметры модели оценки ущерба конфиденциальной информации от внешних.
В первой главе рассматриваются анализ и классификация угроз конфиденциальной информации, существующих методов оценки ущерба конфиденциальной информации от внешних угроз.
В заключении даются краткие выводы, сделанные в результате работы.
1. Анализ существующих методик оценки экономического ущерба от разглашения (утраты) конфиденциальной информации.
Угроза информационной безопасности - это потенциальная возможность нарушения режима информационной безопасности. Преднамеренная реализация угрозы называется атакой на информационную систему. Лица, преднамеренно реализующие угрозы, являются злоумышленниками.
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем, например, неконтролируемый доступ к персональным компьютерам или нелицензионное программное обеспечение (к сожалению даже лицензионное программное обеспечение не лишено уязвимостей).
История развития информационных систем показывает, что новые уязвимые места появляются постоянно. С такой же регулярностью, но с небольшим отставанием, появляются и средства защиты.
В этой связи более приемлемым является другой способ - способ упреждающей защиты, заключающийся в разработке механизмов защиты от возможных, предполагаемых и потенциальных угроз.
Некоторые угрозы нельзя считать следствием целенаправленных действий вредного характера. Существуют угрозы, вызванные случайными ошибками или техногенными явлениями.
Знание возможных угроз информационной безопасности, а также уязвимых мест системы защиты, необходимо для того, чтобы выбрать наиболее экономичные и эффективные средства обеспечения безопасности.
Угрозы информационной безопасности классифицируются по нескольким признакам:
– по составляющим информационной безопасности (доступность, целостность, конфиденциальность), против которых, в первую очередь, направлены угрозы;
– по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, персонал);
– по характеру воздействия (случайные или преднамеренные, действия природного или техногенного характера);
– по расположению источника угроз (внутри или вне рассматриваемой информационной системы).
Отправной точкой при анализе угроз информационной безопасности является определение составляющей информационной безопасности, которая может быть нарушена той или иной угрозой: конфиденциальность, целостность или доступность.
Угрозы, классифицируемые по расположению источника угроз, бывают внутренние и внешние.
Внешние угрозы исходят также от субъектов, не входящих в состав пользователей и обслуживающего персонала системы, разработчиков системы, и не имеющих непосредственного контакта с информационными системами и ресурсами.
Внутренние угрозы исходят от пользователей и обслуживающего персонала системы, разработчиков системы, других субъектов, вовлеченных в информационные процессы и имеющих непосредственный контакт с информационными системами и ресурсами, как допущенных, так и не имеющих доступа к информации.
Источниками внешних угроз являются:
– недобросовестные конкуренты;
– преступные группировки и формирования;
– отдельные лица и организации административно-управленческого аппарата.
Источниками внутренних угроз могут быть:
– администрация предприятия;
– персонал;
– технические средства обеспечения производственной и трудовой деятельности.
Основная особенность любой вычислительной сети состоит в том, что ее компоненты распределены в пространстве. Связь между узлами сети осуществляется физически с помощью сетевых линий и программно с помощью механизма сообщений. При этом управляющие сообщения и данные, пересылаемые между узлами сети, передаются в виде пакетов обмена. Особенность данного вида угроз заключается в том, что местоположение злоумышленника изначально неизвестно.
Каждая угроза влечет за собой определенный ущерб - моральный или материальный, а защита и противодействие угрозе призвано снизить его величину, в идеале - полностью, реально - значительно или хотя бы частично. Но и это удается далеко не всегда.
С учетом этого угрозы конфиденциальной информации могут быть классифицированы следующим образом:
По величине принесенного ущерба:
– предельный, после которого фирма может стать банкротом;
– значительный, но не приводящий к банкротству;
– незначительный, который фирма за какое-то время может компенсировать и др.;
По вероятности возникновения:
– весьма вероятная угроза;
– вероятная угроза;
– маловероятная угроза;
По причинам появления:
– стихийные бедствия;
– преднамеренные действия;
По характеру нанесенного ущерба:
– материальный;
– моральный;
По характеру воздействия:
– активные;
– пассивные;
По отношению к объекту:
– внутренние;
– внешние.
По сфере воздействия на информационные ресурсы и системы источник угроз информационной безопасности можно разделить на внешние и внутренние с точки зрения их нахождения вне или внутри системы при ее проектировании и функционировании, а также места приложения возможных способов нарушения информационной безопасности.
Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку - злоумышленником. Потенциальные злоумышленники называются источниками угрозы.
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).
Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС.
Если речь идет об ошибках в ПО, то окно опасности «открывается» с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.
Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда - недель), поскольку за это время должны произойти следующие события:
– должно стать известно о средствах использования пробела в защите;
– должны быть выпущены соответствующие заплаты;
– заплаты должны быть установлены в защищаемой ИС.
Новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат - как можно более оперативно.
Некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.
Иметь представление о возможных угрозах, а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности. Слишком много мифов существует в сфере информационных технологий, поэтому незнание в данном случае ведет к перерасходу средств и, что еще хуже, к концентрации ресурсов там, где они не особенно нужны, за счет ослабления действительно уязвимых направлений.
Понятие «угроза» в разных ситуациях зачастую трактуется по-разному. Например, для подчеркнуто открытой организации угроз конфиденциальности может просто не существовать - вся информация считается общедоступной; однако в большинстве случаев нелегальный доступ представляется серьезной опасностью. Иными словами, угрозы, как и все в ИБ, зависят от интересов субъектов информационных отношений (и от того, какой ущерб является для них неприемлемым).
Конфиденциальная информация - информация, не составляющая государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации.
Конфиденциальная информация, в свою очередь, включает множество видов тайны, которые сводятся к шести основным видам:
1. Персональные данные.
2. Тайна следствия и судопроизводства.
3. Служебная тайна.
4. Профессиональная тайна.
5. Коммерческая тайна.
6. Тайна изобретения, полезной модели и промышленного образца.
Под угрозой, или опасностью, утраты информации понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных.
Риск угрозы дестабилизирующего воздействия любым (открытым и ограниченного доступа) информационным ресурсам создают стихийные бедствия, экстремальные ситуации, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица. К угрозам, создаваемым этими лицами, относятся: несанкционированное уничтожение документов, ускорение угасания (старения) текста или изображения, подмена или изъятие документов, фальсификация текста или его части и др.
Для информационных ресурсов ограниченного доступа диапазон угроз, предполагающих утрату информации (разглашение, утечку) или утерю носителя, значительно шире в результате того, что к этим документам проявляется повышенный интерес со стороны различного рода злоумышленников.
Под злоумышленником понимается лицо, действующее в интересах конкурента, противника или в личных корыстных интересах (агентов иностранных спецслужб, промышленного и экономического шпионажа, криминальных структур, отдельных преступных элементов, лиц, сотрудничающих со злоумышленником, психически больных лиц и т. п.).
В отличие от объективного распространения утрата информации влечет за собой незаконный переход конфиденциальных сведений, документов к субъекту, не имеющему права владения ими и использования в своих целях.
Основной угрозой безопасности информационных ресурсов ограниченного распространения является несанкционированный (незаконный, неразрешенный) доступ злоумышленника или постороннего лица к документированной информации и как результат - овладение информацией и противоправное ее использование или совершение иных дестабилизирующих действий.
Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности фирмы (работники других организационных структур, работники коммунальных служб, экстремальной помощи, прохожие, посетители фирмы), а также сотрудники данной фирмы, не обладающие правом доступа в определенные помещения, к конкретному документу, информации, базе данных. Каждое из указанных лиц может быть злоумышленником или его сообщником, агентом, но может и не быть им.
Целями и результатами несанкционированного доступа может быть не только овладение ценными сведениями и их использование, но и их видоизменение, модификация, уничтожение, фальсификация, подмена и т. п.
Обязательным условием успешного осуществления попытки несанкционированного доступа к информационным ресурсам ограниченного доступа является интерес к ним со стороны конкурентов, определенных лиц, служб и организаций. При отсутствии такого интереса угроза информации не возникает даже в том случае, если создались предпосылки для ознакомления с ней постороннего лица. Основным виновником несанкционированного доступа к информационным ресурсам является, как правило, персонал, работающий с документами, информацией и базами данных. При этом надо иметь в виду, что утрата информации происходит в большинстве случаев не в результате преднамеренных действий злоумышленника, а из-за невнимательности и безответственности персонала. Следовательно, утрата информационных ресурсов ограниченного доступа может наступить при:
наличии интереса конкурента, учреждений, фирм или лиц к конкретной информации;
возникновении риска угрозы, организованной злоумышленником, или при случайно сложившихся обстоятельствах;
наличии условий, позволяющих злоумышленнику осуществить необходимые действия и овладеть информацией.
Эти условия могут включать:
отсутствие системной аналитической и контрольной работы по выявлению и изучению угроз, каналов и степени риска нарушений безопасности информационных ресурсов;
неэффективную систему защиты информации или отсутствие этой системы, что образует высокую степень уязвимости информации;
непрофессионально организованную технологию обработки и хранения конфиденциальных документов;
неупорядоченный подбор персонала и текучесть кадров, сложный психологический климат в коллективе;
отсутствие системы обучения сотрудников правилам защиты информации ограниченного доступа;
отсутствие контроля со стороны руководства фирмы за соблюдением персоналом требований нормативных документов по работе с информационными ресурсами ограниченного доступа;
бесконтрольное посещение помещений фирмы посторонними лицами.
Рассмотрение наиболее распространенных угроз, которым подвержены современные информационные системы дает представление о возможных угрозах, а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.
Задание возможных угроз информационной безопасности проводится с целью определения полного перечня требований к разрабатываемой системе защиты. Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты автоматизированной системы (АС). Кроме выявления возможных угроз, должен быть проведен их анализ на основе классификационных признаков.
Наиболее актуальной является классификация по величине ущерба. Эта классификация является наиболее значимой для данной работы. Каждая угроза влечет за собой определенный ущерб. Исходя из этого основания, угрозы можно классифицировать по следующим уровням ущерба:
1. Угрозы, приводящие к предельным уровням ущерба, после которых фирма может стать банкротом. Являются наиболее серьезными видами ущерба. Величина затрачиваемых ресурсов злоумышленниками, как правило, пропорциональна нанесенному ущербу. Из-за большой ресурсоемкости, а также большой сложности данный вид угроз на практике реализуется не так часто, как остальные виды угроз. Основу данного типа составляют внешние угрозы.
2. Угрозы, приводящие к значительному уровню ущерба, но не приводящие к банкротству. Обычно составляет основу для рассмотрения при составлении систем защиты. Данный вид угроз примерно в одинаковых пропорциях составляют внутренние и внешние угрозы. При исследовании и составлении различных моделей часто ориентируются на этот вид угроз.
Угрозы, приводящие к незначительному уровню ущерба, который фирма за какое-то время может компенсировать. На практике является наиболее часто встречающимся. Основу данного вида ущерба составляют внутренние угрозы. Основным фактором при реализации является человеческое звено: действия персонала, администрации предприятия и т.д.
В настоящее время наряду с увеличением сложности и надежности методов защиты информации, совершенствуются также методы несанкционированного доступа к конфиденциальной информации. В результате наносится определенный экономический ущерб организации, который в ряде случаев может привести к серьезным последствиям. Для того, чтобы заранее определить возможный ущерб, используются различные методы анализа. Среди них можно выделить следующие: натурный эксперимент, полунатурное моделирование, методы математического моделирования и экспертные методы
Натурный эксперимент. Натурный эксперимент применяется при исследовании, как правило, внешних угроз, приводящих к существенным уровням риска. Суть метода заключается в создании полной копии реального объекта защиты, а также всех его взаимосвязей (внутренних и внешних) с другими объектами некоторой системы. После завершения подготовительного этапа, на полученной модели начинается моделирование различных действий злоумышленников по реализации несанкционированного доступа к объекту защиты. Все результаты моделирования оформляются документально и подвергаются статистической обработке, на основании которой выводятся практические рекомендации по обеспечению целостной защиты информации. Преимуществом данного метода является высокая достоверность результатов эксперимента, а также возможность в реальном времени и на реальных системах исследовать поставленную задачу. Недостатком является сложность и большая стоимость экспериментальных исследований, так как требуется на практике реализовать несколько десятков одинаковых экспериментов. Таким образом, применение данного метода является достаточно проблематичным.
Полунатурное моделирование. Полунатурное моделирование позволяет избежать недостатков, присущих натурным экспериментальным исследованиям. Данный метод исключает необходимость создания полной копии реального объекта. Суть метода заключается в замене некоторых частей реальной системы приближенными до некоторой степени объектами. Обычно на практике при использовании этого метода заменяют только самые сложные части реального объекта. При этом уменьшается стоимость экспериментальных исследований и снижается сложность моделирования, но в результате точность и достоверность полученных сведений также снижается пропорционально принятым допущениям при создании копии системы. Еще одним недостатком данного метода можно считать недостаточность решенности проблемы подобия человеко-машинной системы реальной системе, в результате чего объективность и достоверность результатов снижается по сравнению с натурным экспериментом.
Методы математического моделирования. Методы математического моделирования являются одними из наиболее распространенных при моделировании и анализе ущерба от несанкционированного доступа к конфиденциальной информации.
Под математическим моделированием будем понимать процесс установления соответствия данному реальному объекту некоторого математического объекта, называемого математической моделью, и исследование этой модели, позволяющее получать характеристики рассматриваемого реального объекта. Вид математической модели зависит как от природы реального объекта, так и задач исследования объекта и требуемой достоверности и точности решения этой задачи. Любая математическая модель, как и всякая другая, описывает реальный объект лишь с некоторой степенью приближения к действительности. Математическое моделирование для исследования характеристик процесса функционирования систем можно разделить на аналитическое, имитационное и комбинированное.
Для аналитического моделирования характерно то, что процессы функционирования элементов системы записываются в виде некоторых функциональных соотношений (алгебраических, интегродифференциальных, конечноразностных и т. п.) или логических условий. Аналитическая модель может быть исследована следующими методами:
1. Аналитическим, когда стремятся получить в общем виде явные зависимости для искомых характеристик;
2. Численным, когда, не умея решать уравнений в общем виде, стремятся получить числовые результаты при конкретных начальных данных;
3. Качественным, когда, не имея решения в явном виде, можно найти некоторые свойства решения (например, оценить устойчивость решения).
Наиболее полное исследование процесса функционирования системы можно провести, если известны явные зависимости, связывающие искомые характеристики с начальными условиями, параметрами и переменными системы_S. Однако такие зависимости удается получить только для сравнительно простых систем. При усложнении систем исследование их аналитическим методом наталкивается на значительные трудности, которые часто бывают непреодолимыми. Поэтому, желая использовать аналитический метод, в этом случае идут на существенное упрощение первоначальной модели, чтобы иметь возможность изучить хотя бы общие свойства системы. Такое исследование на упрощенной модели аналитическим методом помогает получить ориентировочные результаты для определения более точных оценок другими методами. Численный метод позволяет исследовать по сравнению с аналитическим методом более широкий класс систем, но при этом полученные решения носят частный характер. Численный метод особенно эффективен при использовании ЭВМ.
В отдельных случаях исследования системы могут удовлетворить и те выводы, которые можно сделать при использовании качественного метода анализа математической модели. Такие качественные методы широко используются, например, в теории автоматического управления для оценки эффективности различных вариантов систем управления.
В настоящее время распространены методы машинной реализации исследования характеристик процесса функционирования больших систем. Для реализации математической модели на ЭВМ необходимо построить соответствующий моделирующий алгоритм.
При имитационном моделировании реализующий модель алгоритм воспроизводит процесс функционирования системы S во времени, причем имитируются элементарные явления, составляющие процесс, с сохранением их логической структуры и последовательности протекания во времени, что позволяет по исходным данным получить сведения о состояниях процесса в определенные моменты времени, дающие возможность оценить характеристики системы S.
Основным преимуществом имитационного моделирования по сравнению с аналитическим является возможность решения более сложных задач. Имитационные модели позволяют достаточно просто учитывать такие факторы как наличие дискретных и непрерывных элементов, нелинейные характеристики элементов системы, многочисленные случайные воздействия и др., которые часто создают трудности при аналитических исследованиях. В настоящее время имитационное моделирование - наиболее эффективный метод исследования больших систем, а часто и единственный практически доступный метод получения информации о поведении системы, особенно на этапе ее проектирования.
Когда результаты, полученные при воспроизведении на имитационной модели процесса функционирования системы S, являются реализациями случайных величин и функций, тогда для нахождения характеристик процесса требуется его многократное воспроизведение с последующей статистической обработкой информации и целесообразно в качестве метода машинной реализации имитационной модели использовать метод статистического моделирования. Первоначально был разработан метод статистических испытаний, представляющий собой численный метод, который применялся для моделирования случайных величин и функций, вероятностные характеристики которых совпадали с решениями аналитических задач (такая процедура получила название метода Монте-Карло). Затем этот прием стали применять и для машинной имитации с целью исследования характеристик процессов функционирования систем, подверженных случайным воздействиям, т. е. появился метод статистического моделирования. Таким образом, методом статистического моделирования будем в дальнейшем называть метод машинной реализации имитационной модели, а методом статистических испытаний (Монте-Карло) - численный метод решения аналитической задачи.
Метод имитационного моделирования позволяет решать задачи анализа больших систем S, включая задачи оценки: вариантов структуры системы, эффективности различных алгоритмов управления системой, влияния изменения различных параметров системы. Имитационное моделирование может быть положено также в основу структурного, алгоритмического и параметрического синтеза больших систем, когда требуется создать систему, с заданными характеристиками при определенных ограничениях, которая является оптимальной по некоторым критериям оценки эффективности.
При решении задач машинного синтеза систем на основе их имитационных моделей помимо разработки моделирующих алгоритмов для анализа фиксированной системы необходимо также разработать алгоритмы поиска оптимального варианта системы. Далее в методологии машинного моделирования будем различать два основных раздела: статику и динамику, - основным содержанием которых являются соответственно вопросы анализа и синтеза систем, заданных моделирующими алгоритмами.
Комбинированное (аналитико-имитационное) моделирование при анализе и синтезе систем позволяет объединить достоинства аналитического и имитационного моделирования. При построении комбинированных моделей проводится предварительная декомпозиция процесса функционирования объекта на составляющие подпроцессы и для тех из них, где это возможно, используются аналитические модели, а для остальных подпроцессов строятся имитационные модели. Такой комбинированный подход позволяет охватить качественно новые классы систем, которые не могут быть исследованы с использованием только аналитического и имитационного моделирования в отдельности.
Экспертные методы. Экспертные методы, применяемые в теории безопасности конфиденциальной информации, могут быть разбиты на два направления: методы первого направления преследуют цель создания базы данных путем экспертного опроса специалистов по защите информации и информационной безопасности. При этом принимаются следующие допущения:
1. Стоимость затрат на защиту конкретных сведений не учитывается. Правомочность такого допущения оправдывается тем, что экономический ущерб от утечки конфиденциальной информации, как правило, многократно превышает стоимость мероприятий по ее защите, так как эти мероприятия применяются к ряду или всем сведениям и имеют постоянный характер.
2. Оценка числового значения ущерба проводится для случая, когда вероятность утечки сведения принимается равной единице. Правомочность такого допущения оправдывается тем, что важность сведений определяется максимальным (потенциальным) ущербом для предприятия вследствие утечки этих сведений.
Оценка возможного ущерба от утечки конфиденциальной информации проводится в следующей последовательности (общий подход):
1. Применительно к сфере деятельности предприятия, сведения о которой подлежат экспертизе, соответствующим руководителем (ответственным лицом за данную сферу деятельности) разрабатываются предложения по формированию экспертной комиссии. В нее включаются специалисты, компетентные в данной сфере деятельности. В случае, если сфера деятельности охватывает кооперацию предприятий, то в состав экспертной комиссии могут включаться, по согласованию с соответствующими руководителями, представители этих предприятий. Численность экспертной комиссии зависит от сложности рассматриваемых вопросов, однако практика свидетельствует, что ее состав должен состоять не менее, чем из 5-7 экспертов. Формирование экспертной комиссии утверждается соответствующим приказом руководителя предприятия. В составе комиссии назначается ее председатель, а также секретарь, на которого возлагаются подготовка исходной документации, опросных листов для членов комиссии, оформление протокола заседания комиссии.
2. На заседании экспертной комиссии экспертам выдаются опросные листы. По предложениям экспертов принимается совместное решение по перечню сведений о рассматриваемой сфере деятельности, подлежащих экспертизе. Для ускорения решения этого вопроса председатель комиссии может поручить отдельным экспертам предварительную подготовку перечня возможных сведений о рассматриваемой сфере деятельности и доклад его на заседании комиссии. Перечень сведений, подлежащих экспертизе, принятый на заседании комиссии, вносится в опросные листы экспертов. Экспертные оценки проводятся отдельно по каждому из сведений. Эксперты совместно принимают решение о возможных действиях со стороны конкурентов в случае их осведомленности о рассматриваемых сведениях.
3. Председателем комиссии сообщаются исходные данные по экономическому показателю предприятия, а также экономический показатель сферы (области) деятельности предприятия (например, контракта или контрактов), к которой имеют отношение рассматриваемые сведения. Указанные показатели могут сообщаться в относительных значениях.
4. Каждым экспертом в опросном листе проставляется его мнение об относительном снижении экономического показателя предприятия применительно к каждому действию со стороны конкурентов, определяется суммарное относительное снижение экономического показателя предприятия вследствие всех возможных действий со стороны конкурентов.
5. Окончательное значение ущерба от утечки сведений по результатам экспертной оценки комиссией определяется путем усреднений решений всех участвовавших в оценке экспертов. Критерием отнесения сведений к конфиденциальной информации предприятия является условие, когда значение ущерба больше нуля. Уровни возможного ущерба от утечки конкретных сведений характеризуют относительную важность этих сведений.
6. Заседание экспертной комиссии оформляется протоколом. Использование метода экспертных оценок предполагает присвоение конкретным экспертам «весовых коэффициентов» по признаку их компетенции, проведение повторных туров опросов в случае появления большого удаления оценок отдельных экспертов от усредненного значения групповой опенки.
Методы второго направления связаны с использованием материалов баз данных для формирования баз знаний экспертных систем. Как правило, экспертные методы используются в качестве основы для методов математического моделирования, в результате чего достигается большая точность при описании системы.
Анализ задачи оценки ущерба позволяет утверждать, что:
1. Источниками конфиденциальной информации являются люди, документы, публикации, технические носители информации, технические средства обеспечения производственной и трудовой деятельности, продукция и отходы производства.
2. Каждая угроза влечет за собой определенный ущерб - моральный или материальный, а защита и противодействие угрозе призвано снизить его величину.
3. Математическое моделирование для исследования характеристик процесса функционирования систем можно разделить на аналитическое, имитационное и комбинированное. Среди этих видов математического моделирования выбрано аналитическое моделирование.
4. При составлении математической модели необходимо учитывать большое количество внешних и внутренних факторов, что в конечном итоге усложняет модель.
5. Для того, чтобы заранее определить возможный ущерб, используются различные методы анализа. Среди них можно выделить следующие: натурный эксперимент, полунатурное моделирование, методы математического моделирования и экспертные методы.
Заключение
В данном курсовом проекте были рассмотрены основные методы оценки ущерба: натурный эксперимент, полунатурное моделирование, методы экспертных оценок, математическое моделирование. Все эти методы обладают как рядом плюсов, так и минусов. Для определения возможного ущерба используются наиболее точны методы анализа: натурный эксперимент, полунатурное моделирование, методы математического моделирования и экспертные методы.
Список использованных источников
1. Российская Федерация. Законы. Об информации, информационных технологиях и о защите информации [Текст] : федер. закон : [принят Гос.: Думой 8 июля 2006 г. : одобр. Советом Федерации 14 июля 2006 г.]. - М. : Омега-Л, 2007. - 24 с.: - 500 экз. - ISBN 5-370-00202-9, 978-5-370-00202-1
2. ГОСТ 12.0.003-74 (СТ СЭВ 790-77). ССБТ. Опасные и вредные производственные факторы. Классификация.
3. ГОСТ 12.1.003-1999 ССБТ. Шум. Общие требования безопасности. [Текст] - Взамен ГОСТ 12.1.003-83 ; Введ. 1999-01-01. - М. : Изд-во стандартов, 1999. - 18 с.
4. ГОСТ 12.1.004-1999 ССБТ. Пожарная безопасность. Общие требования [Текст] - Взамен ГОСТ 12.1.004-91 ; Введ. 1999-01-01. - М. : Изд-во стандартов, 1999. - 19 с.
5. ГОСТ 12.2.032-2001 ССБТ. Рабочее место при выполнении работ сидя. [Текст] - Взамен ГОСТ 12.1.032-78 ; Введ. 2001-01-01. - М. : Изд-во стандартов, 2001. - 16 с.
6. СНиП 2.2.2.5.542-96. Гигиенические требования к видеодисплейным терминалам, персональным ЭВМ и организация работ. [Текст] - Взамен Временных санитарных норм и правил для работников вычислительных центов ; Введ. 1996-07-14. - М. : Изд-во стандартов, 1996. - 19 с.
7. Белов, Е. Б. Основы информационной безопасности [Текст] : учеб. пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков, А. А. Шелупанов. - М. : Горячая линия - Телеком, 2006. - 544 с.: - ил. - 3000 экз. - ISBN: 5-93517-292-5.
8. Бузов, Г. А. Защита от утечки информации по техническим каналам [Текст] : учеб. пособие / Г. А. Бузов, С. В. Калинин, А. В. Кондратьев. - М. : Горячая линия - Телеком, 2005. - 416 с.: - ил. - 3000 экз. - ISBN: 5-93517-204-6.
9. Гмурман, В. Е. Теория вероятностей и математическая статистика [Текст] : учеб. пособие для вузов / В. Е. Гмурман. - М. : Высшая школа, 2003. - 479 с.: - ил. - 20000 экз. - ISBN: 5-06-004214-6.
10. Гришина, Н. В. Организация комплексной системы защиты информации [Текст] : учеб. пособие / Н. В. Гришина. - М. : Гелиос АРВ, 2007. - 256 с.: - ил. - 400 экз. - ISBN: 978-5-85438-171-0.
11. Грушко, А. А. Теоретические основы компьютерной безопасности [Текст] : учеб. пособие / А. А. Грушо, Э. А. Применко, Е. Е. Тимонина. - М. : Академия, 2009. - 272 с.: - ил. - 2500 экз. - ISBN: 978-5-7695-4242-8.
12. Домарев, В. В. Безопасность информационных технологий. Методология создания систем защиты [Текст] : учебное пособие / В. В. Домарев. - М. : ТИД «ДС», 2006. - 688 с.: - ил. - 2000 экз. - ISBN 966-7992-02-0.
13. Крысин, А. В. Информационная безопасность [Текст] : практическое руководство / А. В. Крысин - М. : Спаррк, 2003. - 320 с.: - ил. - 3000 экз. - ISBN: 5-7315-0144-0.
14. Максимов, Ю. Н. Технические методы и средства защиты информации [Текст] : учебное пособие / Ю. Н. Максимов, В. Г. Сонников, В. Г. Петров. - СПб : Полигон, 2000. - 314 с.: - ил. - 2000 экз. - ISBN: 5-89173-096-0.
15. Малюк, А. А. Информационная безопасность: концептуальные и методологические основы защиты информации [Текст] : учебное пособие для вузов / А. А. Малюк. - М. : Горячая линия-Телеком, 2004. - 208 с.: - ил. - 2000 экз. - ISBN: 5-93517-197-Х.
16. Мельников В. В. Безопасность информации в автоматизированных системах [Текст] : учебное пособие / В. В. Мельников. - М. : Финансы и статистика, 2003. - 368 с.: - ил. - 4000 экз. - ISBN: 5-279-02560-7.
17. Мельников В. П. Информационная безопасность и защита информации [Текст] : учебное пособие / В. П. Мельников, С. А. Клийменов, А. М. Петраков. - М. : Академия, 2008. - 336 с.: - ил. - 2500 экз. - ISBN: 978-5-7695-4884-0.
18. Михайлов, Г. А. Численное статистическое моделирование. Методы Монте-Карло [Текст] : учебное пособие / Г. А. Михайлов, А. В. Войтишек. - М. : Академия, 2006. - 368 с.: - ил. - 1500 экз. - ISBN: 5-7695-2739-0.
19. Романец, Ю. В. Защита информации в компьютерных системах и сетях [Текст] : учебное пособие / Ю. В. Романец, П. А. Тимофеев, В. Ф Шаньгин. - М. : Радио и связь, 2001. - 304 с.: - ил. - 3000 экз. - ISBN: 5-256-01518-4.
20. Семкин, С. Н. Основы организационного обеспечения информационной безопасности объектов информатизации [Текст] : учебное пособие / С. Н. Семкин, Э. В. Беляков, С. В. Гребенев , В. И. Козачок. - М. : Гелиос АРВ, 2005. - 192 с.: - ил. - 2000 экз. - ISBN: 5-85438-042-0.
21. Степанов, Е. А. Информационная безопасность и защита информации [Текст] : учебное пособие / Е. А. Степанов, И. К. Корнеев. - М. : Инфра-М, 2001. - 304 с.: - ил. - 2000 экз. - ISBN: 5-16-000491-2.
22. Чашкин, Ю. Р. Математическая статистика. Анализ и обработка данных [Текст] : учеб. пособие для студентов вузов / Ю. Р. Чашкин. - Ростов н/Д. : Феникс, 2010. - 240 с.: - ил. - 2000 экз. - ISBN: 978-5-222-16474-7.
23. Чипига, А. Ф. Информационная безопасность автоматизированных систем [Текст] : учеб. пособие для студентов вузов, обучающихся по специальностям в обл. информ. безопасности / А. Ф. Чипига. - М. : Гелиос АРВ, 2010. - 336 с.: - ил. - 500 экз. - ISBN: 978-5-85438-183-3.
24. Шелухин, О. И. Моделирование информационных систем [Текст] : учеб. пособие для студентов вузов / О. И. Шелухин. - М. : Горячая Линия - Телеком, 2011. - 536 с.: - ил. - 1000 экз. - ISBN: 978-5-9912-0193-3.
25. Ярочкин, В. И. Информационная безопасность [Текст] : учебник для студентов вузов / В. И. Ярочник. - М. : Академический проект, 2004. - 544 с.: - ил. - 3000 экз. - ISBN: 5-8291-0408-3.