Моделювання об`єкта захисту
З позиції системного підходу сукупність взаємопов'язаних елементів, що функціонують з метою забезпечення безпеки інформації, утворюють систему захисту інформації. Такими елементами є люди, тобто керівники співробітники служби безпеки; об'єкт захисту, представляє собою будівлю, інженерні конструкції; засоби обчислювальної техніки, технічні засоби захисту інформації та контролю її ефективності. Проектування необхідної системи захисту інформації починається з системного аналізу існуючої системи захисту інформації, який включає:
1 Моделювання об'єкта захисту:
визначення джерел інформації, що захищається (люди, документи, фізичні поля, матеріальні об'єкти);
опис просторового розташування основних місць розташування джерел інформації, що захищається.
2 Моделювання загроз безпеці інформації:
моделювання фізичного проникнення зловмисника до джерелам інформації;
моделювання технічних каналів витоку.
Для створення повної моделі об'єкта захисту необхідно для початку визначити ту інформацію, яку необхідно захищати, тому необхідно провести її структурування.
Структурування інформації здійснюється шляхом класифікації інформації відповідно до функцій, завданнями і структурою організації з прив'язкою елементів інформації до її джерел.
Деталізацію інформації доцільно проводити до рівня, на якому елементу інформації відповідає одне джерело.
Моделювання полягає в аналізі на основі просторових моделей можливих шляхів розповсюдження інформації за межі контрольованої зони [3].
2.1 Структурна модель об'єкта захисту
Виберемо наступні ціни одиниці інформації (Кб) залежно від грифа конфіденційності:
комерційна таємниця – 100 грн;
строго конфіденційно – 60 грн;
конфіденційно – 30 грн.
Ціна інформації може обчислюватися залежно від збитку, що буде заподіяний фірмі при її витоку. У цьому випадку ціна інформації встановлюється методом експертних оцінок.
Ціна інформації також може обчислюватися по загальному обсязі інформації по формулі:
Ц=О*Цкб, (2.1)
де Ц – ціна інформації, О – об’єм інформації в Кб, Цкб – ціна інформації за 1 Кб.
Обсяг інформації в Кб може бути обчислений як:
О=Оинф + Обум +О0 , (2.2)
де Оинф – об’єм інформації в цифровому вигляді, Обум – об’єм інформації в паперовому вигляді, О0 – середній об’єм інформації в 1 сторінці.
Середній обсяг інформації в сторінці розміром А4 для шрифту кеглем 14 становить приблизно 4 тисячі знаків, що становить 4 Кб. З огляду на те, що аркуші практично не бувають заповненими повністю, можна прийняти середній обсяг інформації в 2,5 Кб на сторінку. Необхідно врахувати, що інформація а паперовому й цифровому виді не повинна дублювати одна одну, тобто в цій формулі враховується тільки обсяг унікальної інформації. Також необхідно застосувати для обчислення обсяг корисної інформації, тобто інформації в чистому виді, тому що іноді невелика кількість інформації може займати значний обсяг. Особливо це характерно для електронної інформації.
Для
обліку корисної інформації введемо
«Коефіцієнт корисної цифрової інформації»
(КК). У базі даних обсягом 2 Мб може
втримуватися всього 100Кб корисної
інформації – весь інший обсяг займають
службові дані, що не мають практичної
цінності. У цьому випадку «КК цифрової
інформації » буде становити
.
Наприклад, в MsWord при створенні документа
без графічних картинок «КК цифрової
інформації » буде становити не більше
15%.
Очевидно, що не всі елементи інформації мають однакову вартість, тому обчислювати ціну інформацію можна тільки для інформації, що має гриф конфіденційно. Для такої інформації обчислення методом експертних оцінок буде неефективним, і обчислення за допомогою застосування обсягу інформації буде мати незначну погрішність. У всіх інших випадках ціна інформації визначається методом експертних оцінок [2].
Розрахуємо вартість захищаємої інформації згідно діяльності підприємства за допомогою формул (2.1) та (2.2). У таблиці 2.1 представимо розрахунок вартості захищаємої інформації згідно діяльності підприємства.
Складемо структурну модель підприємства з урахуванням ціни інформації та грифу конфіденційності. У таблиці 2.2 наведено структурну модель підприємства.
Таблиця 2.1 – Розрахунок вартості захищаємої інформації
№ |
Найменування елемента інформації |
Гриф конфіден-ційності |
Обсяг інформації в електронному вигляді |
КП циф. інф. |
Обсяг інформації в паперовому вигляді |
Ціна, грн |
1 |
Особисті відомості про співробітників фірми |
К |
1,5 Мб |
20% |
520 стр. |
16800 |
2 |
Відомості про заробітну плату працівників |
К |
600 Кб |
30% |
Дублює ел. інформацію |
5400 |
3 |
Відомості про фінансові операції |
К |
2 Мб |
50% |
Дублює ел. інформацію |
30000 |
4 |
Відомості про цінову політику підприємства |
К |
1,3 Мб |
45 % |
Дублює ел. інформацію |
17500 |
5 |
Відомості про клієнтів і партнерів |
СК |
1,9 Мб |
30 % |
Дублює ел. інформацію |
35000 |
6 |
Відомості про наради |
СК |
1,8 Мб |
35 % |
Дублює ел. інформацію |
38000 |
7 |
Відомості про переговори |
СК |
1,6 Мб |
40 % |
Дублює ел. інформацію |
40000 |
8 |
Відомості про контракти |
СК |
1,8 Мб |
45 % |
Дублює ел. інформацію |
50000 |
9 |
Відомості про контакти з іноземними фірмами |
СК |
3 Мб |
25 % |
Дублює ел. інформацію |
45000 |
10 |
Відомості про плани на розвиток |
КТ |
2,4 Мб |
25 % |
Дублює ел. інформацію |
60000 |
11 |
Відомості про комерційні переговори |
КТ |
5 Мб |
30 % |
Дублює ел. інформацію |
150000 |
12 |
Відомості про структуру і склад системи безпеки |
КТ |
3 Мб |
40 % |
Дублює ел. інформацію |
120000 |
13 |
Відомостіпро планипротидії конкурентам |
КТ |
10 Мб |
20 % |
Дублює ел. інформацію |
200000 |
14 |
Відомості про методи управління підприємством |
КТ |
2,2 Мб |
45 % |
Дублює ел. інформацію |
100000 |
15 |
Відомості про постачання |
КТ |
6 Мб |
15 % |
Дублює ел. інформацію |
90000 |
16 |
Відомості про закупівлі |
КТ |
6 Мб |
15 % |
Дублює ел. інформацію |
90000 |
17 |
Відомості про технології побудови систем захисту |
КТ |
3 Мб |
45 % |
Дублює ел. інформацію |
140000 |
18 |
Стратегія дій на ринку |
КТ |
5,6 Мб |
30 % |
Дублює ел. інформацію |
170000 |
Таблиця 2.2 – Структурна модель підприємства
№ |
Найменування елемента інформації |
Гриф конфіден-ційності |
Ціна інформації, грн |
Найменування джерела інформації |
Місце знаходження джерела інформації |
1 |
2 |
3 |
4 |
5 |
6 |
1 |
Особисті відомості про співробітників фірми |
К |
16800 |
Документи на паперових носіях, БД в комп'ютері |
Сейф і комп'ютер в кабінеті генерального директора |
2 |
Відомості про заробітну плату працівників |
К |
5400 |
Документи на паперових носіях, БД в комп'ютері |
Сейф і комп'ютер в кабінеті генерального директора |
3 |
Відомості про фінансові операції |
К |
30000 |
Документи на паперових носіях, БД в комп'ютері |
Сейф і комп'ютер в кабінеті генерального директора |
4 |
Відомості про цінову політику підприємства |
К |
17500 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті генерального директора |
5 |
Відомості про клієнтів і партнерів |
СК |
35000 |
Документи на паперових носіях |
Документи в кабінеті ген. директора |
6 |
Відомості про наради |
СК |
38000 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті генерального директора |
7 |
Відомості про переговори |
СК |
40000 |
Ген. директор, електронні і паперові документи |
Сейф і комп'ютер в кабінеті генерального директора |
8 |
Відомості про контракти |
СК |
50000 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті генерального директора |
9 |
Відомості про контакти з іноземними фірмами |
СК |
45000 |
Електронні документи |
Комп'ютер в кабінеті начальника служби безпеки |
10 |
Відомості про плани на розвиток |
КТ |
60000 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті генерального директора |
11 |
Відомості про комерційні переговори |
КТ |
150000 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті гол. бухгалтера |
Продовження таблиці 2.2 – Структурна модель підприємства |
|||||
1 |
2 |
3 |
4 |
5 |
6 |
12 |
Відомості про структуру і склад системи безпеки |
КТ |
120000 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті гол. бухгалтера |
13 |
Відомості про плани протидії конкурентам |
КТ |
200000 |
Електронні документи |
Комп'ютер в кабінеті менеджера з управління проектами |
14 |
Відомості про методи управління підприємством |
КТ |
100000 |
Електронні та паперові документи |
Комп'ютери, шафи в кабінеті директора |
15 |
Відомості про постачання |
КТ |
90000 |
Електронні та паперові документи |
Сейф і комп'ютер в кабінеті гол. бухгалтера |
16 |
Відомості про закупівлі |
КТ |
90000 |
Електронні та паперові документи |
Шафа і комп'ютер у відділі кадрів |
17 |
Відомості про технології побудови систем захисту |
КТ |
140000 |
Електронні та паперові документи |
Шафа і комп'ютер у фінансовому відділі та у відділі кадрів |
18 |
Стратегія дій на ринку |
КТ |
170000 |
Електронні та паперові документи |
Шафа і комп'ютер у фінансовому відділі |
2.2 Просторова модель об'єкта захисту
Просторова модель об'єкта - це модель просторових зон з вказаним місцем розташування джерел інформації, що захищається [11].
План приміщення представлений у розділі 1. На плані зазначені двері, вікна, розташування робочих місць, персональних комп'ютерів, телефонів, шаф і сейфів.
Інформація по опису об'єкта захисту структурована в таблицю 2.3.
Таблиця 2.3 – Опис об’єкта захисту
№ |
Елемент |
Примітка |
1 |
2 |
3 |
1 |
Назва приміщення |
Офіс фірми «РОСНО» |
2 |
Поверх |
Другий поверх семи етажного будинку |
3 |
Вікна |
Всього 9 вікон: |
4 |
Двері |
14 дерев'яних міжкімнатних дверей, 1 вхідні двері і 1 двері ліфта |
5 |
Сусідні приміщення |
|
6 |
Приміщення над стелею |
присутнє |
7 |
Приміщення під підлогою |
присутнє |
8 |
Вентиляція |
віддушина в туалеті |
9 |
Батареї опалення |
розміщені уздовж вікон |
Продовження таблиці 2.3 – Опис об’єкта захисту |
||
1 |
2 |
3 |
10 |
Ланцюги електроживлення |
22 електророзеток, підключення через внутрішній електрощит із захисними фільтрами в загальний силовий кабель. Напруга – 220 В, |
11 |
Телефон |
всього 9 телефонів |
12 |
Радіотрансляція |
відсутня |
13 |
Електронні годинники |
відсутня |
14 |
Побутові радіозасоби |
відсутня |
15 |
Побутові електроприлади |
4 багатофункціональних пристроїв, 1 холодильник, 1 мікрохвильова піч, 1 нагрівач води, 1 охолоджувач води, 1 кавоварка |
16 |
ПЕОМ |
13 ПК на архітектурі Intel x86: 1 у генерального директора, 1 у начальника складу, 2 в технічному відділі, 1 в приймальні, 1 у начальника служби безпеки, 2 в кадровому відділі, 2 у фінансовому відділі, 2 у сис. адміністраторів, 1 на КПП |
17 |
Технічні засоби охорони |
відсутня |
18 |
Телевізійні засоби спостереження |
відсутня |
19 |
Пожежна сигналізація |
відсутня |
20 |
Інші засоби |
відсутня |
2.3 Моделювання загроз безпеці інформації
Моделювання загроз безпеки інформації передбачає аналіз способів її розкладання, змін або знищення з метою оцінки збитку.
Моделювання загроз передбачає:
моделювання способів фізичного проникнення зловмисника до джерел інформації;
моделювання технічних каналів витоку інформації.
Дія зловмисника по добування інформації й матеріальних цінностей визначається поставленими цілями й завданнями, мотивацією, кваліфікацією й технічною оснащеністю. Прогноз способів фізичного проникнення варто почати із з’ясування, кому потрібно інформація, що захищається. Для створення моделі зловмисника необхідно подумки програти з позиції зловмисника варіанти проникнення до джерел інформації. Чим більше при цьому буде враховано факторів, що випливають на ефективність проникнення, тим вище буде ймовірність відповідності моделі реальній практиці. В умовах відсутності інформації про зловмисника краще переоцінити погрозу, хоча це може привести до збільшенню витрат [6].
Розглянемо моделювання способів фізичного проникнення. Нам необхідно змоделювати різні способи фізичного проникнення зловмисника й його доступу до інформації, що захищається. Найменування елементів інформації і її ціна береться в таблиці 1.2. Кімната призначення залежить від місця розташування елемента інформації.
Розглянемо оцінку реальності шляхів. Реальність шляху є ймовірність вибору зловмисником цього шляху. Вона визначається методом експертних оцінок. Імовірність залежить від простоти реалізації безпосередньо цього шляху проникнення. Очевидно, що через деякі вікна й двері легше проникнути, тому враховувалося кілька міркувань:
проникнути легше через вікно, що виходить на вулицю, ніж через вікно, що виходить у внутрішній двір будівлі;
проникнути легше через двері, ніж через вікно;
легше проникнути у вікно, що не містить додаткових засобів захист, ніж у вікно із гратами;
Проникнути легше через звичайні двері, ніж через залізну;
у вікно першого поверху легше забратися, ніж у вікно другого (тому що впритул до будинку не прилягають будь-які будинки й немає пожежних сходів, дах перебуває під контролером; також грати на вікнах першого поверху вертикалі, тобто забратися по них на другий поверх неможливо);
чим більше потрібно минути перешкод, тим шлях менш імовірний [3].
Залежно від цих міркувань вибирається оцінка реальності шляху: для малоймовірних шляхів вона дорівнює 0,1, для ймовірних – 0,5, для найбільш імовірних – 0,9.
Величину загрози знаходимо за формулою:
Вз = Ор*Цi, (2.3)
де Вз – величина загрози, Ор – оцінка реальності, Цi– ціна інформації
Після знаходження величини загрози необхідно зробити ранжирування. Виберемо 6 різних рангів для більш точного визначення важливості захисту даного елемента інформації. Значення величини загрози для кожного рангу наведені в таблиці 2.4.
Таблиця 2.4 – Значення величини загроз для кожного рангу
Інтервал величини загрози |
Ранг загрози |
30 000
-
|
1 |
10 000 – 29 999 |
2 |
1 000 – 9 999 |
3 |
100 – 999 |
4 |
50 – 99 |
5 |
1 – 49 |
6 |
Далі будуємо структурну модель способів фізичного проникнення порушника з урахуванням розрахованої величини загрози. Данні зводимо до таблиці 2.5.
Таблиця 2.5 – Структура моделі способів фізичного проникнення порушника
№ |
Найменування елемента інформації |
Ціна інформації, грн |
Мета (кімната) |
Шлях проникнення зловмисника |
Оцінка реальності шляху |
Величина загрози в умовних одиницях |
Ранг загрози |
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
1 |
Особисті відомості про співробітників фірми |
16800 |
r7 |
1 w7 2 лифт1-d7 3 w8-d7 4 w3-d7 5 вхід до будівлі-сходи-d15- d7 |
0,9 0,5 0,5 0,5 0,1 |
15120 |
2 |
2 |
Відомості про заробітну плату працівників |
5400 |
r6,r7 |
r6: 1 w6 2 лифт1-d6 3 w8-d6 4 w3-d6 5 вхід до будівлі-сходи -d15- d6 r7: 1 w7 2 лифт1-d7 3 w8-d7 4 w3-d7 5 вхід до будівлі-сходи -d15- d7 |
0,9 0,5 0,5 0,5 0,1
0,9 0,5 0,5 0,5 0,1
|
4860 |
3 |
3 |
Відомості про фінансові операції |
30000 |
r6 |
1 w6 2 лифт1-d6 3 w8-d6 4 w3-d6 5 вхід до будівлі-сходи-d15- d6 |
0,9 0,5 0,5 0,5 0,1 |
27000 |
2 |
4 |
Відомості про цінову політику підприємства |
17500 |
r6 |
1 w6 2 лифт1-d6 3 w8-d6 4 w3-d6 5 вход в здание-лестница-d15- d6 |
0,9 0,5 0,5 0,5 0,1 |
15750 |
2 |
Продовження таблиці 2.5 – Структура моделі способів фізичного проникнення порушника |
|||||||
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
5 |
Відомості про клієнтів і партнерів |
35000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
31500 |
1 |
6 |
Відомості про наради |
38000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
34200 |
1 |
7 |
Відомості про переговори |
40000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
36000 |
1 |
8 |
Відомості про контракти |
50000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
45000 |
1 |
9 |
Відомості про контакти з іноземними фірмами |
45000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
40500 |
1 |
10 |
Відомості про плани на розвиток |
60000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
54000 |
1 |
11 |
Відомості про комерційні переговори |
150000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
135000 |
1 |
Продовження таблиці 2.5 – Структура моделі способів фізичного проникнення порушника |
|||||||
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
12 |
Відомості про структуру і склад системи безпеки |
120000 |
r5 |
1 w5 2 лифт1-d5 3 w8-d5 4 w3-d5 5 вхід до будівлі-сходи -d15- d5 |
0,9 0,5 0,5 0,5 0,1 |
108000 |
1 |
13 |
Відомості про плани протидії конкурентам |
200000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
180000 |
1 |
14 |
Відомості про методи управління підприємством |
100000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
90000 |
1 |
15 |
Відомості про постачання |
90000 |
r6 |
1 w6 2 лифт1-d6 3 w8-d6 4 w3-d6 5 вхід до будівлі-сходи -d15- d6 |
0,9 0,5 0,5 0,5 0,1 |
81000 |
1 |
16 |
Відомості про закупівлі |
90000 |
r6 |
1 w6 2 лифт1-d6 3 w8-d6 4 w3-d6 5 вхід до будівлі-сходи -d15- d6 |
0,9 0,5 0,5 0,5 0,1 |
81000 |
1 |
17 |
Відомості про технології побудови систем захисту |
140000 |
r13 |
1 лифт1-d13 2 w8-d13 3 w3-d13 4 вхід до будівлі-сходи -d15- d13 |
0,9 0,5 0,5 0,1
|
126000 |
1 |
18 |
Стратегія дій на ринку |
170000 |
r10 |
1 лифт1-d11-d10 2 w8-d11-d10 3 w3-d11-d10 4 вхід до будівлі-сходи -d15- d11-d10 |
0,9 0,5 0,5 0,1 |
153000 |
1 |
Складемо рекомендації щодо поліпшення якості комплексної системи захисту інформації. Рекомендації наведено в таблиці 2.6.
Таблиця 2.6 – Формування пропозицій поліпшення захищеності приміщення
№ |
Найменування елемента інформації |
Ранг загрози |
Пропозиції щодо покращення захисту |
|
1 |
Відомості про клієнтів і партнерів |
1 |
Встановити датчики руху, залiзні кодові двері, камери відео спостереження, сейф з посиленим захистом для збереження документів. Посилити управління доступом до приміщення.
|
Установка зовнішніх відеокамер, які будуть контролювати доступ до вікон w1-w3 и w4-w5 и w6-w7. Встановити грати на вікна. |
2 |
Відомості про наради |
1 |
||
3 |
Відомості про переговори |
1 |
||
4 |
Відомості про контракти |
1 |
||
5 |
Відомості про контакти з іноземними фірмами |
1 |
||
6 |
Відомості про плани на розвиток |
1 |
||
7 |
Відомості про комерційні переговори |
1 |
||
8 |
Відомості про плани протидії конкурентам |
1 |
||
9 |
Відомості про методи управління підприємством |
1 |
||
10 |
Стратегія дій на ринку |
1 |
||
12 |
Відомості про постачання |
1 |
Встановити датчики руху, камери відео спостереження. Посилити управління доступом до приміщення. |
|
13 |
Відомості про закупівлі |
1 |
||
14 |
Відомості про технології побудови систем захисту |
1 |
Встановити датчики руху, залiзні кодові двері, камери відео спостереження, сейф з посиленим захистом для збереження документів |
|