Моделирование систем и процессов защиты экономической информации тема диссертации по экономике, полный текст автореферата

Диссертация: содержание автор диссертационного исследования: кандидата экономических наук, Шлыков, Алексей Вячеславович

Страница

Введение. 3

Глава I. Анализ современного состояния защиты экономической информации.

1.1. Безопасность информации в банковской системе. 7

1.2. Объекты и элементы защиты современных автоматизированных систем. 17

1.3. Методологические основы комплексной защиты банковской информации и концептуальные подходы к ее решению. 28

Выводы по I главе. 54

Глава И. Моделирование систем и процессов защиты информации.

2.1. Экономико-математические методы в проектировании систем защиты информации. 57

2.2. Методы и модели оценки угроз экономической информации. 80

2.3.Методология проектирования систем защиты экономической информации. 96

Выводы по II главе. 112

Глава III. Организация и обеспечение работ по защите информации.

3.1. Методика выбора оптимальных параметров защиты экономической информации. 115

3.2. Управление процессами функционирования систем защиты экономической информации. Условия повышения эффективности защиты информации. 121

3.3. Защиты информации на примере использования пластиковых идентификационных карточек в автоматизированных банковских системах. 140

Выводы по III главе. 151

Диссертация: введение по экономике, на тему "Моделирование систем и процессов защиты экономической информации"

Интенсивное развитие средств вычислительной техники открыло большие возможности по автоматизации умственного труда и привело к возникновению принципиально новых, так называемых информационных технологий. Кроме существенных положительных сторон, внедрение современных информационных технологий имеет также и негативный момент.

Неправомерное искажение или фальсификация, уничтожение или разглашение определенной части информации, равно как и дезорганизация процессов ее обработки и передачи в информационно-управляющих системах наносят серьезный материальный и моральный урон многим субъектам (государству, юридическим и физическим лицам), участвующим в процессах автоматизированного информационного взаимодействия.

Основными группами факторов, способствующих распространению компьютерных преступлений являются: экономические, технические и правовые. К первой группе следует отнести внедрение рыночных отношений, изменение форм собственности, отказ от государственного регулирования в экономике, развитие новой сферы предпринимательской деятельности - информационного бизнеса и др.

Ко второй группе относят рост используемых персональных компьютеров, развитие компьютерных систем и коммуникаций, доступность широкого спектра программных продуктов и т.д.

Самостоятельную группу образуют правовые вопросы. Это объясняется главным образом не проработанностью многих юридических аспектов относительно возможности функционирования информации в качестве специфического товара и ресурса, сложностями закрепления авторского права на программные продукты, а также получившим большое распространение «компьютерным пиратством».

Актуальность темы обусловлена необходимостью моделирования систем и процессов защиты экономической информации.

Особую важность при проектировании и моделировании системы защиты информации (СЗИ) имеют вопросы экономического обеспечения ее жизненного цикла. К компонентам экономического обеспечения относится оптимизация структуры системы защиты информации, оценка экономической эффективности, методики выбора оптимальных средств защиты информации. Именно эти вопросы на сегодняшний день недостаточно проработаны и исследованы.

Еще более остро данная проблема стоит в финансово-банковской сфере. В еженедельнике «Computer World» отмечается, что более 70% случаев несанкционированного доступа к информационным ресурсам приходится на банковский сектор. Развитие новых банковских технологий, глобальной сети Internet, телекоммуникационной системы СВИФТ, пластиковых идентификационных карточек, которые находят применение не только в банках, но и в сфере торговли, промышленности, связи, делает еще более актуальной проблему защиты информации.

В современных автоматизированных информационных системах затраты на обеспечение информационной безопасности достигают % всех затрат на создание и эксплуатацию автоматизированных информационных систем и, по мнению экспертов, имеют устойчивую тенденцию к дальнейшему увеличению.

Недостаточное методологическое обоснование, а также слабая практическая проработка положений по моделированию систем и процессов обеспечения защиты информации, что особенно остро прослеживается в банковском секторе, а также выбору оптимальных средств защиты обусловили выбор темы исследования, определили цель, структуру и содержание настоящей работы.

Целью диссертационного исследования является построение методологических положений и методических подходов, позволяющих оптимизировать процессы моделирования и эксплуатации средств защиты информации на примере банковских компьютерных систем.

В соответствии с поставленной целью, в работе сформулированы и решены следующие основные задачи:

- проведен анализ современного состояния систем информационной безопасности компьютерных систем, их особенностей и перспектив развития;

- рассмотрены объекты и элементы защиты современных автоматизированных систем (АС);

- исследованы подходы к проектированию систем защиты информации, методы организации и управления;

- рассмотрено математическое обеспечение и подробно проанализированы экономико-математические методы в проектировании систем защиты информации, включая банковскую;

- дана оценка угроз безопасности экономической информации, в том числе банковской;

- предложена и теоретически обоснована концепция комплексной защиты экономической информации и механизм ее реализации на примере автоматизированной банковской системы (АБС);

- определены основные направления организации работы по защите информации в современном коммерческом банке;

По результатам анализа использования в автоматизированных банковских системах пластиковых идентификационных карточек показана перспективность их применения с целью повышения эффективности и безопасности банковской деятельности.

Предметом исследований и анализа являются экономико-математические методы, организационные, программные, аппаратные и криптографические средства защиты информации автоматизированной системы. В качестве объекта исследования выступает экономическая информация, в том числе и банковская.

Теоретическую и методологическую основу исследования составляет системный подход к обеспечению информационной безопасности, методы системного анализа, экономико-математического моделирования и экспертных оценок, элементы теории сложных систем, теории графов, множеств и матричной алгебры.

В диссертации поставлена и решена актуальная задача по разработке и обоснованию методологических положений, реализации практических рекомендаций по моделированию систем и процессов защиты информации на примере банковской и выбору оптимальных средств защиты с экономической точки зрения. Научную новизну содержит концепция комплексной системы защиты банковской информации, методика моделирования оптимальных средств защиты экономической информации с использованием экономико-математических методов. Кроме того, новизну содержит предложенный системный подход к организации работ по защите информации в современной банковской организации, а именно, непрерывный сбор информации о функционировании механизмов защиты и о проводимых работах, систематический анализ состояний защищенности информации, постоянное уточнение требований к защите информации, проведение всего цикла работ по организации защиты.

Элементы новизны содержатся в рассмотрении вопроса использования пластиковых идентификационных карточек в автоматизированных банковских системах как средства повышения эффективности и безопасности банковской деятельности.

Система комплексной защиты экономической информации (бухгалтерской, статистической и пр.) внедрена на многопрофильном предприятии «АМИ». Кроме того, отдельные средства криптографической защиты используются в практике указанной выше организации, что позволило ограничить доступ к определенной информации посторонних лиц. Подходы к организации работ по защите информации были использованы в филиале Банка внешней торговли в г.Белгороде в кредитно-аналитическом отделе, с учетом специфики работы отдела и оптимизации средств защиты с экономической точки зрения.

Диссертация: заключение по теме "Математические и инструментальные методы экономики", Шлыков, Алексей Вячеславович

Выводы по III главе.

В арсенале специалистов по информационной безопасности имеется широкий спектр защитных мер: законодательных, морально-этических, административных (организационных), физических и технических средств. Все они обладают своими достоинствами и недостатками, которые необходимо знать и правильно учитывать при создании систем защиты.

При построении конкретных систем компьютерной безопасности необходимо руководствоваться основными принципами организации защиты: системностью, комплексностью, непрерывностью защиты, разумной достаточностью, гибкостью управления и применения, открытостью алгоритмов и механизмов защиты и простотой применения защитных мер и средств, а также придерживаться рекомендаций, полученных на основе опыта предыдущих разработок.

Основными универсальными защитными механизмами являются: идентификация (именование и опознавание), аутентификация (подтверждение подлинности) и авторизация субъектов доступа; контроль (разграничение) доступа к ресурсам системы; регистрация и анализ событий, происходящих в системе; криптографическое закрытие, контроль целостности и аутентичности данных, хранимых в АС и передаваемых по каналам связи; контроль целостности ресурсов системы.

Эти универсальные механизмы защиты обладают своими достоинствами и недостатками и могут применяться в различных вариациях и совокупностях в конкретных методах и средствах защиты.

Все известные каналы проникновения и утечки информации должны быть перекрыты с учетом анализа риска, вероятностей реализации угроз безопасности в конкретной прикладной системе и обоснованного рационального уровня затрат на защиту.

Наилучшие результаты достигаются при системном подходе к вопросам безопасности компьютерных систем и комплексном использовании определенных совокупностей различных мер защиты на всех этапах жизненного цикла системы начиная с самых ранних стадий ее проектирования.

Повышать уровень стойкости системы защиты за счет применения более совершенных физических и технических средств можно только до уровня стойкости персонала из ядра безопасности системы.

Решение проблемы защиты информации в банке существенно зависит от используемой информационной технологии, которая определяется как сочетание процедур, реализующих функции хранения, обработки и передачи данных в банке с использованием выбранного комплекса технических средств.

В основе защиты информации, в том числе и информации, составляющей коммерческую и банковскую тайну, лежит принцип правильной организации движения информации, учитывающей методы обработки информации, организационно-управленческие сосредоточения наиболее важных сведений, составляющих коммерческую тайну, у руководства банка.

Для обеспечения защиты информации в банке должны быть решены следующие основные вопросы.

1. Выявлена информация, подлежащая защите, и отделена от всей остальной.

2. Проведена оценка возможного ущерба от утечки каждого сведения, подлежащего защите, и на этой основе осуществлена классификация этой информации по степени важности.

3. Определены все виды носителей информации, подлежащей защите в банке, а также информационные связи между ними и удалены все лишние из них.

4. Проведена подготовка персонала банка в плане обучения исполнению своих обязанностей с одновременным выполнением требований по обеспечению защиты сведений, составляющих коммерческую и банковскую тайну, и предупреждение их об ответственности за несоблюдение указанных требований.

5. Выявлены возможные факторы уязвимости информации, подлежащей защите.

6. Создана система защиты информации банка.

Попытки создания эффективной СЗИ, не уделив достаточного внимания последовательно всем этим вопросам, обречены на провал, потому что, прежде чем организовывать защиту, надо четко знать: какие именно информационные ресурсы надо защищать, какова их ценность, а также проанализировать пути обмена информацией в организации с целью оптимизации, изучить свойства всех носителей информации и выявить возможные ее уязвимости.

Учитывая то, что главной задачей любого банка является оказание услуг и получение прибыли, а не создание собственной системы защиты информации, то можно сформулировать следующие требования к СЗИ.

1. Эффективная СЗИ не должна создавать ощутимых трудностей в работе банка.

2. Создание СЗИ должно быть экономически оправданным. Стоимость входящих в нее средств и способов защиты должна быть меньше, чем стоимость ущерба от утечки и/или разрушения всех сведений, подлежащих защите.

3. СЗИ должна обеспечивать защиту всех подлежащих защите информационных ресурсов банка от всех реальных для них угроз.

На мой взгляд, в ближайшее время успех или неудача масштабного применения систем защиты информации будет зависеть от наличия в них развитых средств управления режимами работы защитными механизмами, и реализации функций, позволяющих существенно упрощать процессы установки, настройки и эксплуатации средств защиты.

ЗАКЛЮЧЕНИЕ.

Острота проблемы защиты информационных технологий в современных условиях определяется следующими факторами:

- высокими темпами роста количества вычислительной техники и средств связи, расширением областей использования ЭВМ, многообразием и повсеместным распространением информационно-управляющих систем, подлежащих защиты;

- вовлечением в процесс информационного взаимодействия все большого числа людей и организаций, резким возрастанием их информационных потребностей;

- повышением уровня доверия к автоматизированным системам управления и обработки информации, использованием их в критических технологиях;

- отношением к информации, как к товару, переходом к рыночным отношениям, с присущей им конкуренцией и промышленным шпионажем, в области создания и сбыта (предоставления) информационных услуг;

- концентрацией больших объемов информации различного назначения и принадлежности на электронных носителях;

- наличием интенсивного обмена информацией между участниками этого процесса;

- количественным и качественным совершенствованием способов доступа пользователей к информационным ресурсам;

- обострением противоречий между объективно существующими потребностями общества в расширении свободного обмена информацией и чрезмерными или наоборот недостаточными ограничениями на ее распространение и использование;

- дифференциацией уровней потерь (ущерба) от уничтожения, фальсификации, разглашения или незаконного тиражирования информации (уязвимости различных затрагиваемых субъектов);

- многообразием видов угроз и возможных каналов несанкционированного доступа к информации;

- ростом числа квалифицированных пользователей вычислительной техники и возможностей по созданию ими программных воздействий на систему;

- развитием рыночных отношений (в области разработки, поставки, обслуживания вычислительной техники, разработки программных средств, в том числе средств защиты).

Естественно, в такой ситуации возникает потребность в защите вычислительных систем и информации от несанкционированного доступа, кражи, уничтожения и других преступных и нежелательных действий.

Наблюдается большая разнородность целей и задач защиты - от обеспечения государственной безопасности до защиты интересов отдельных организаций, предприятий и частных лиц, дифференциация самой информации по степени ее уязвимости.

Все перечисленные факторы имеют самое непосредственное отношение к такой бурно прогрессирующей предметной области как банковское дело. Автоматизированные системы обработки информации в банковской сфере выступают в качестве технической основы для развития и совершенствования существующих банковских технологий и платежных систем в частности. Позволяя ускорить процессы движения финансовых ресурсов, автоматизированные системы обеспечения безопасности информации способствуют повышению эффективности функционирования всех финансово-кредитных механизмов государства. От качества платежной системы, в конечном счете, существенно зависит эффективность всей экономики.

В условиях обострения конкурентной борьбы между коммерческими банками за завоевание (сохранение) ведущих позиций и привлечение новых клиентов возможно только при условии предоставления большего количества услуг и сокращения времени обслуживания. Это достижимо лишь при обеспечении необходимого уровня автоматизации всех банковских операций. В то же время применение вычислительной техники не только разрешает возникающие проблемы, но и приводит к появлению новых, нетрадиционных для банка угроз.

Анализ существующего положения показывает, что уровень мероприятий по защите информации в банковской сфере, как правило, отстает от темпов автоматизации.

Сложность определения мер защиты банковских информационных технологий и их реализации состоит в том, что:

- на сегодняшний день не существует единой теории защищенных систем, в достаточной мере универсальной в различных предметных областях (как в государственном, так и в коммерческом секторе);

- производители средств защиты в основном предлагают отдельные компоненты для решения частных задач, оставляя решение вопросов формирования системы защиты и совместимости этих средств своим потребителям;

- для обеспечения надежной защиты необходимо решить целый комплекс технических и организационных проблем с разработкой соответствующей документации.

Руководство и отделы автоматизации банков, действующие в условиях дефицита времени, вынуждены самостоятельно разрабатывать концепцию защиты, методики оценки средств защиты и организационные меры поддержки.

Общеизвестно, что создать абсолютно надежную систему защиты невозможно. При достаточном количестве времени и средств можно преодолеть любую защиту. Поэтому можно говорить только о некотором достаточном уровне безопасности, обеспечении такого уровня защиты, когда стоимость ее преодоления становится больше стоимости получаемой при этом информации (достигаемого эффекта), или когда за время получения информации она обесценивается настолько, что усилия по ее получению теряют смысл.

Защищать необходимо всех субъектов информационных отношений от возможного материального или морального ущерба, который могут нанести им случайные или преднамеренные воздействия на компьютерную систему и информацию.

Защищаться необходимо от таких нежелательных воздействий, как ошибки в действиях обслуживающего персонала и пользователей системы, ошибки в программном обеспечении, преднамеренные действия злоумышленников, сбои и отказы оборудования, стихийные бедствия и аварии. Естественно на основе разумного анализа риска.

Предотвращать необходимо не только несанкционированный доступ к информации с целью ее раскрытия или нарушения ее целостности, но и попытки проникновения с целью нарушения работоспособности этих систем. Защищать необходимо все компоненты систем: оборудование, программы, данные и персонал.

Все усилия по обеспечению внутренней безопасности систем должны фокусироваться на создании надежных и удобных механизмов принуждения всех ее законных пользователей и обслуживающего персонала к безусловному соблюдению требований политики безопасности, то есть установленной в организации дисциплины прямого и косвенного доступа к ресурсам и информации.

Одним из важнейших аспектов проблемы обеспечения безопасности компьютерных систем является выявление, анализ и классификация возможных путей реализации угроз безопасности, то есть возможных каналов несанкционированного доступа к системе с целью нарушения ее работоспособности или доступа к критической информации, а также оценка реальности реализации угроз безопасности и наносимого при этом ущерба.

Предотвратить внедрение программных закладок можно только путем создания замкнутой программной среды, в которой должна быть исключена возможность использования инструментальных программ, с помощью которых можно было бы осуществить корректировку данных и программ на носителях и в памяти. Не должно быть программирующих пользователей, способных создать свои инструментальные средства (разработка и отладка программ должна производиться на компьютерах, не входящих в состав защищенной системы). Все используемые программы должны проходить предварительную сертификацию на предмет отсутствия в них закладок (с анализом всех исходных текстов, документации и т.д.). Все доработки программ также должны проходить сертификацию на безопасность. Целостность и не искаженность программ должна периодически проверяться путем проверки его характеристик (длины, контрольной суммы). Должен осуществляться постоянный контроль, исключающий внедрение программных закладок и распространение вирусов.

Известно большое число как традиционных, так и специфических для распределенных систем путей проникновения и НСД к информации. Нет никаких гарантий невозможности изобретения принципиально новых путей.

Наилучшие результаты достигаются при системном подходе к вопросам безопасности компьютерных систем и комплексном использовании различных методов и средств их защиты на всех этапах жизненного цикла систем.

Система защиты должна строиться эшелонированно в виде концентрических колец безопасности (обороны). Самое внешнее кольцо безопасности обеспечивается морально-этическими и законодательными средствами (неотвратимость возмездия за совершенное деяние). Второе кольцо безопасности представлено физическими и организационными средствами - это внешняя защита системы (защита от стихийных бедствий и внешних посягательств). Внутренняя защита (защита от ошибочных и умышленных действий со стороны персонала и законных пользователей) обеспечивается на уровне аппаратуры и операционной системы и представлена линией обороны, исключающей возможность работы посторонних с системой (механизм идентификации и аутентификации), и кольцами защиты всех ресурсов системы от неавторизованного пользования (механизм разграничения доступа в соответствии с полномочиями субъекта). Механизмы регистрации событий и обеспечения целостности повышают надежность защиты, позволяя обнаруживать попытки преодоления других уровней защиты и своевременно предпринимать дополнительные меры, а также исключать возможность потери ценной информации из-за отказов и сбоев аппаратуры резервирование, механизмы отслеживания транзакций). И, наконец, последнее кольцо безопасности представлено средствами прикладной защиты и криптографии.

Организационные меры должны выступать в качестве обеспечения эффективного применения других методов и средств защиты в части, касающейся регламентации действий людей.

Защиту, основанную на административных мерах, надо везде, где только можно, усиливать соответствующими более надежными современными физическими и техническими средствами.

Опыт создания систем защиты позволяет выделить следующие основные принципы построения систем компьютерной безопасности, которые необходимо учитывать при их проектировании и разработке: системность подхода; комплексность решений; непрерывность защиты; разумная достаточность средств защиты; простота и открытость используемых механизмов защиты; минимум неудобств пользователям и минимум накладных расходов на функционирование механизмов защиты.

Резюмируя вышесказанное можно сделать следующие выводы.

Первый вывод состоит в том, что защита информации в современных АС должна быть комплексной и предусматривать обеспечение физической целостности информации, предупреждение несанкционированной ее модификации и предотвращение несанкционированного получения.

Основной аргумент в пользу комплексной защиты заключается в том, что перечисленные виды защиты являются в значительной степени взаимозависимыми, поэтому независимая защита информации по каждому виду будет значительно уступать комплексной защите как по эффективности защиты, так и по затратам сил и средств на защиту.

Второй вывод сводится к тому, что комплексная защита информации может быть эффективной лишь при условии системно-концептуального подхода к изучению и решению всех вопросов, связанных с защитой, а именно:

1) исследование и разработка всей совокупности вопросов защиты информации с единых методологических позиций;

2) рассмотрение в едином комплексе всех видов защиты информации: обеспечение физической целостности, предупреждения несанкционированной модификации, и несанкционированного получения;

3) системный учет всех факторов, оказывающих влияние на защищенность информации;

4) комплексное использование всех имеющихся средств защиты информации.

Третий вывод заключается в том, что на базе системно-концептуального подхода может быть разработана унифицированная концепция защиты информации, причем унифицированная как относительно различных видов защиты, так и относительно типов АС, их архитектурного построения, технологий и условий функционирования.

Четвертый вывод сводится к тому, что работы по защите информации должны проводиться непрерывно.

К сожалению, как и почти любое достижение человеческого гения, компьютер, решая одни экономические и социальные проблемы, одновременно порождает и другие, порою не менее сложные. Сегодня, когда масштабы выпуска и применения средств вычислительной техники в нашей стране должна резко увеличиваться, к решению возможных в будущем проблем надо готовиться загодя, чтобы они не застали врасплох.