Постановка завдання

Реалізація будь-яких процесів, що повинні бути реалізовані в сучасних ОТС, неможлива без інформаційного забезпечення. Більшість процесів сучасної ОТС забезпечуються однією або декількома прикладними інформаційними системами корпоративного рівня з використанням корпоративної ІКМ або ІКМ загального використання.

Оскільки вимоги безпеки впливають на функціонування інфо-соціо-технічної інфраструктури ОТС, вони повинні бути відбиті в угодах про рівень сервісу (SLA— Service Level Agreement – соглашение об уровне услуги). Будь-яка подія, що може перешкодити виконанню вимог SLA, згідно класифікується як «інцидент». Передбачається, що «інцидент» менш серйозний, ніж «інцидент безпеки», а «інцидент ІБ» є певним типом «інциденту безпеки». Термін «інцидент безпеки» визначений у як злом, загроза, слабке місце та несправність системи безпеки, які можуть вплинути на безпеку організаційних ресурсів. Останній похідний термін «інцидент ІБ» визначається в як одинична небажана чи непередбачена подія ІБ (або сукупність таких подій), котра може скомпрометувати бізнес-процеси компанії або загрожує її ІБ.

Отже пропонується: першим кроком у прийнятті рішень щодо керування інцидентами ІБ повинна бути систематизація та включення до SLA визначень класів інцидентів. Завдання керування інцидентами ІБ у даному контексті — постійне забезпечення критеріїв і показників інформаційних процесів у ОТС на узгодженому рівні SLA. Втілення такого підходу під час прийняття рішень щодо керування інцидентами ІБ буде сприяти інтеграції аспектів ІБ в інфо-соціо- технічну інфраструктуру ОТС.

При цьому будемо вважати, що головне завдання дослідження полягатиме в розробці математично формалізованої моделі, яка дозволятиме в режимі реального часу формувати функцію виділення підмножини оптимальних стратегій щодо вибору варіанта адаптивного динамічного розподілу та перерозподілу ресурсів у відповідь на інцидент ІБ.

Методика реагування на інциденти ІБ повинна давати можливість динамічно в режимі реального часу прогнозувати, враховувати та адаптуватися до можливих інцидентів, змін у множині загроз і вразливостей.

Чинники, Критерії, показники та складнощі

Інциденти ІБ спричинені багатьма зовнішніми чинниками (загрозами) та внутрішніми вразливостями сучасних інформаційних і телекомунікаційних технологій (обробки, зберігання, передачі інформації). Складний розподілений характер, багатомодульність, помилки та недоліки в програмно-апаратній архітектурі автоматизованих (інформаційних) систем обробки та зберігання даних, які для інформаційного обміну використовують транспортні послуги вразливих і не завжди достатньо захищених ІКМ, наприклад Internet, — створюють додаткові вразливості та можливості для реалізації загроз ІБ у вигляді інцидентів.

Крім того, розвиток високих технологій (Hi-Tech), таких як нанотехнології, робототехніка, сенсорні мережі, радіочастотна ідентифікація, телебіометрія, штучний інтелект, інформаційна зброя, нові засоби впливу тощо, — все це несе за собою нові проблеми, ризики, побічні негативні явища. Тому, незважаючи на своє вирішальне значення для розвитку інформаційного суспільства, в найближчому майбутньому ІКМ виявляться слабо захищеними від зловживань, вторгнень, зовнішніх і внутрішніх впливів, стаючи ареною інформаційних війн, діяльності кіберзлочинців і Hi-Tech-хакерів. Для інформаційної та національної безпеки України це є особливо актуальним у зв’язку з відставанням нашої держави в критичних напрямках Hi-Tech.

За думкою відомого фахівця, одного з перших учених-дослідників у галузі ІБ — професора Ленса Хофмана (George Washington University, США): «необхідно осучаснити як закони, методики, так і відповідні інститути в галузі керування інформаційними технологіями та ІБ».

Уже сам факт існування та постійної появи інцидентів ІБ є найбільш очевидним доказом актуальності проблеми захисту інформації та керування ІБ. Як цілеспрямований процес — керування інцидентами ІБ характеризується множиною критеріїв і показників. Головними комплексними критеріями є якість, надійність і безпечність інформаційного обміну. Можна виділити множину показників, пов’язаних з інцидентами (кількісні: частота й кількість появи інцидентів, середній час реагування, відсоток успішно вирішених інцидентів, величина збитків; якісні: термінологія, ступінь критичності, плин інциденту тощо).

Як один з найважливіших показників — постійне зростання кількості зареєстрованих інцидентів ІБ, зокрема в системах, які підключені до мережі Internet, відмічається , починаючи з 1998 року, причому темп приросту кількості інцидентів ІБ продовжує прискорюватися за останні роки швидше, ніж це було раніше.

У той же час, заходи протидії не встигають за ростом кількості інцидентів. З цих спостережень робимо логічний висновок про недостатню ефективність існуючих підходів до захисту інформації та керування ІБ. Більшість дослідників сходяться на думці, що й надалі, принаймні в найближчій перспективі, в гонці між атакуючою стороною та захисниками інформації випереджатимуть атакуючі. Такі невтішні тенденції спонукають вести пошук нових методів вдосконалення процесів реагування, обробки, розслідування та запобіганя, які в сукупності складають керування інцидентами ІБ.

У чому недоліки існуючих підходів до керування інцидентами ІБ, у чому причини постійного погіршення становища, які заходи необхідно запровадити та які є можливості й передумови щодо його поліпшення?

Процес прийняття будь-якого рішення щодо керування інцидентами ІБ супроводжується попереднім аналізом альтернатив можливих варіантів. Під час аналізу альтернатив виникає необхідність розрахунку, порівняння, розподілу ресурсів ІБ.

Якщо в процесі прийняття рішень, оцінки та вибору альтернатив в умовах невизначеності початкових даних і нечіткості постановки завдання — обов’язково буде вноситися додаткова некоректність, що збільшуватиме тим самим початкову невизначеність.

У дослідженнях доведено, що пряме використання традиційних математичних підходів, таких як апарат теорії ймовірностей, математична статистика, теорія систем масового обслуговування, теорія черг, марківські процеси, теорія телетрафіка, класичні методи багатокритеріальної оптимізації — на сьогодні не дає прийнятних результатів під час вирішення завдань ІБ. Причина тому — недостатній період спостереженнь за процесами, відсутність репрезентативних статистичних даних, невідповідність математичного інструментарію рівню складності, невизначеності й нечіткості досліджуваних процесів захисту інформації та керування ІБ.

Отже, розробку ефективної математично формалізованої та обгрунтованої методики підтримки прийняття рішень щодо керування інцидентами ІБ ускладнює ряд особливостей:

— недостатність знань про природу та структуру нових інцидентів ІБ;

— невизначеність законів розподілу ймовірностей появи інцидентів ІБ через нестохастичні чинники та непередбачувані умови їхнього здійснення;

— необхідність врахування надвеликої кількості неістотних на перший погляд чинників, які можуть суттєво вплинути на процес обробки інциденту ІБ;

— вирішальний вплив антропогенного фактору на процеси керування інцидентами ІБ;

— відсутність репрезентативної кількості інформації стосовно інцидентів ІБ;

— недостатньо тривалий період спостережень за інцидентами ІБ;

— отримання необхідної інформації виявляється складним, трудомістким або

навіть неможливим завданням;

— множина загроз, що можуть спричинити інцидент ІБ, постійно розширюється й динамічно змінюється, причому швидшими темпами, ніж множина засобів захисту;

— еволюційний розвиток ІТМ у напрямку конвергентності, мультисервісності, гетерогенності, використання технологій, які значально не створювались як захищені та безпечні (наприклад IPv4, Bluetooth), призводить до збільшення складності систем і спричиняє виникнення нових вразливостей.

Загальні принципи автоматизації підтримки прийняттярішень

Керування інцидентами ІБ є проблемою, яку необхідно вирішувати не перманентно, а постійно мати в полі уваги як послідовний безперервний процес, що динамічно протікає в режимі реального часу на всіх етапах життєвого циклу ОТС або ІКМ, починаючи з розробки вимог безпеки та складання технічного завдання на проектування комплексної системи захисту інформації (КСЗІ), технічної експлуатації, наступної модернізації та вдосконаленнями, і не закінчуючи, а й надалі продовжуючи на наступних життевих циклах.

Організація процесу керування інцидентами ІБ без використання засобів автоматизації являє собою складне й трудомістке завдання. Необхідно збирати та консолідувати надвелику кількість даних у різних форматах, вести централізований архів. Для ручної обробки даних щодо подій та інцидентів ІБ потрібна велика кількість висококваліфікованих фахівців-аналітиків. Через великий обсяг рутинної роботи обробка подій найчастіше буває неповною, що не відбиває всього змісту поточної ситуації. Може статися, що інциденти ІБ, критичні для надійного й захищеного функціонування системи, виявляються поза полем зору аналітиків, і через це не приймаються відповідні превентивні заходи.

Під час проектування інтелектуальної системи підтримки прийняття рішень (ІСППР) щодо керування інцидентами ІБ потрібно дотримуватися деяких уже встановлених загальних принципів побудови інтелектуальних систем керування будь-якими об’єктами та процесами в особливих ситуаціях.

Доцільно взяти до уваги результати досліджень у суміжних проблемних галузях. У для збору, реєстрації та обробки інформації щодо екстремальних станів ТМ пропонується впроваджувати інтегровану систему, дається її загальна структура та оптимізований алгоритм виконання запитів. Визначається перелік завдань, що їх здатна виконувати ІСППР під час експлуатації та ремонту засобів і комплексів зв’язку.

В якості одного зі шляхів зменшення витрат на створення, експлуатацію й модернізацію КСЗІ в ТМ, у запропоновано на всіх етапах життєвого циклу використовувати методи штучного інтелекту, зокрема ІСППР, нечіткі мережі Петрі та нечіткі нейронні мережі.

Для того, щоб розробник, проектувальник, оцінювач або інженер мали можливість приймати дійсно раціональні рішення, що будуть технічно, математично й економічно обґрунтованими, доцільно створити ІСППР. При створенні ІСППР повинні бути розроблені:

- сукупність математичних моделей функціонування об’єкта (ОТС або ІКМ);

- модель представлення знань та алгоритм виводу в ІСППР;

- сукупність критеріїв оцінки ефективності керування інцидентами ІБ;

- методика оптимізації розподілу ресурсів ІБ.

ІСППР також повинна забезпечувати функції верифікації та тестування, отримання нових знань на основі даних моніторингу та аудиту, адаптивного керування інцидентами ІБ в ОТС.

З метою створення базової моделі інтелектуальної системи керування інцидентами ІБ ТМ було проведено порівняльний аналіз основних положень, елементів та функцій міжнародних нормативних документів, які стосуються реагування та обробки інцидентів безпеки (табл. 1).

Задачам керування інцидентами ІБ присвячено технічний звіт ISO/IEC TR 18044:2004. Міжнародний стандарт ISO/IEC 27001:2005 також звертає увагу на необхідність створення процедури керування інцидентами ІБ. У стандарті ISO/IEC 17799:2005 визначаються інцидент, інцидент безпеки та інцидент ІБ. Рекомендація Міжнародного союзу електрозв’язку E.409 розроблена як керівництво для підприємств електрозв’язку та присвячена створенню організації з реагування та обробки інцидентів безпеки. Робочою групою The Internet Society   GRIP створено документ RFC 2350, BCP 21, в якому сформульовано очікування Інтернет-спільноти щодо груп реагування на інциденти ІБ (Computer Security Incident Response Team, CSIRT). Серед міжнародних телекомунікаційних компаній вже пройшли офіційну сертифікацію за стандартом ISO/IEC 27001 наступні: Ericsson, British Telecom, Japan Telecom, Telecom Italia, Siemens, T-Mobile, Vodafone та ін.

Хоча попередня версія ISO/IEC 17799 від 2000 року вже офіційно прийнята як ДСТУ ISO/IEC 17799:2000. Однак ISO/IEC 27001 поки що офіційно не прийнятий в Україні, хоча сертифікація вітчизняних підприємств зв’язку була б актуальною для підвищення їхньої ефективності, прозорості та уніфікації систем керування усіма бізнес-процесами.

Таблиця 1. Порівняльний аналіз основних нормативних документів щодо реагування та обробки інцидентів безпеки

Назва документу	ISO/IEC 27001	ISO/IEC TR 18044	E.408	RFC 2350, BCP 21
Тип	стандарт	технічний звіт	рекомендація	рекомендація
Розробник	ISO/IEC	ISO/IEC	ITU-T	The Internet Society
Рік	2005	2004	2004	1998
Об’єкт	Інформаційні технології	Інформаційні технології	Телекомунікаційні мережі	Комп’ютерні системи
Предмет	Вимоги до системи менеджменту	Керування інцидентами	Організація груп реагування	Очікування щодо CSIRT
Підхід	Процесний	Підготовчий	Функціонально-фазовий	Процедурний
Модель	Шухарта-Демінга, PDCA	Планування	Власний алгоритм з 3-х фаз	Загальні правила, устав
Характер	Непереривний замкнутий цикл	Миттєві, коротко- та довготермінові дії	Дискретні відокремлені фази	Процедури реагування
Мета (акцент)	Постійне вдосконалення процесу	Екстенсивна підготовка	Послідовне виконання фаз	Ефективність окремої процедури

Взагалі стандарти ISO серій 9000, 14000, 20000, 27000 описують правила створення систем керування різними процесами та гармонійно поєднуються один з одним. Всі вони як основу керування підконтрольними процесами використовують процесний підхід, що розглядає керування як процес, а саме як набір взаємозалежних безперервних дій. Процесний підхід акцентує увагу на досягненні поставлених цілей, а також на ресурсах, витрачених для цього. Стандарти зазначених серій використовують єдину модель PDCA як структуру життєвого циклу всіх процесів системи менеджменту.

Функції інтелектуальної системи підтримки прийняття рішень у рамках процессного підходу ICO/IEC та моделі РDCA

Неможливо в рамках окремого проектного підходу врахувати всі наявні методологічні рекомендації щодо керування інцидентами ІБ, і цілком ймовірно, що найбільш ефективним для окремої ОТС або ІКМ може бути використання якої-небудь іншої методології, в тому числі й розробленої самостійно. Але на думку автора доцільно, щоб будь-яка використовувана методологія була сумісна з відповідними міжнародними стандартами ISO.

Сертифікація систем керування інцидентами вітчизняних ОТС за ISO/IEC 27001 могла б підвищити ступінь їхньої привабливості та надійності для іноземних інвесторів і партнерів. Враховуючи це, будемо використовувати стандарти ISO/IEC та інші як методологічні засади для створення системи керування інцидентами ІБ, яка б цілком вписувалася та була б логічним продовженням уже існуючих і сертифікованих систем керування бізнес-процесами ОТС, зокрема, таких як система технічної експлуатації та система менеджменту якості ISO 9001. Якщо в ОТС уже впроваджено системи менеджменту у відповідності до стандартів ISO 9001 та ISO 14000, то доцільно забезпечити виконання вимог стандарту ISO 27001 у рамках існуючих систем менеджменту.

Уже ставши класичною, модель безперервного поліпшення процесів, одержала назву від циклу Шухарта–Деминга — PDCA (Плануй, Plan — Виконуй, Do —Перевіряй, Check — Дій, Act). Доцільно, щоб алгоритм роботи ІСППР щодо керування інцидентів ІБ ТМ також вписувався в цикл моделі PDCA (див. рисунок).

Рисунок 1 – Функціональна схема системи підтримки прийняття рішень

Виявлення й реєстрація інциденту. Оперативні дані сенсорів безпеки повинні аналізуватися та оцінюватися на предмет наявності сигнатур відомих інцидентів за допомогою бази знань ІСППР. Після чого кожний адміністратор, користувач чи співробітник повинен одержати інструкцію, що визначатиме, які повинні бути його дії. Звіт про виявлення та реєстрацію інциденту ІБ ТМ повинен містити докладний опис інциденту, перелік залучених співробітників, прізвище співробітника, що зафіксував інцидент, дату виникнення й реєстрації.

Усунення причин, наслідків інциденту і його розслідування. ІСППР на підставі звіту надає інструкцію з усунення причин і наслідків інциденту, включаючи опис загальних дій, які необхідно почати та конкретні дії для кожного виду інциденту, а також строки, протягом яких варто усунути наслідки й причини інциденту. Строки усунення наслідків і причин інциденту залежать від рівня інциденту. Варто розробити класифікацію інцидентів - визначити кількість рівнів критичності інцидентів, описати інциденти кожного рівня й строки їхнього усунення.

Під час розслідування інциденту ІСППР повинна надавати інформаційно-аналітичну підтримку у вигляді досвіду та знань, що містять у собі визначення винних у виникненні інциденту, збір доказів, визначення дисциплінарних стягнень тощо.

Коригувальні й превентивні дії. Після усунення наслідків інциденту й відновлення нормального функціонування бізнес-процесів оператора телекомунікацій, доцільно виконати дії щодо запобігання повторного виникнення інциденту. Для визначення необхідності реалізації таких дій ІСППР повинна провести аналіз ризиків, у рамках якого визначити доцільність коригувальних і превентивних дій.

Для того щоб процедура виконувалася правильно й ефективно, всі ці етапи повинні безупинно й послідовно повторюватися. Таким чином, цикл моделі PDCA буде безупинно гарантувати чітке функціонування процедури керування інцидентами та її постійне поліпшення.

Висновки

Таким чином, розглянуто завдання підтримки прийняття рішень під час інцидетів ІБ в ОТС, яке можна розглядати як частину більш загальної проблеми підтримки прийняття управлінських рішень у кризових ситуаціях. У ході вирішення даного завдання визначено головні чинники, критерії і показники автоматизованих процедур підтримки прийняття рішень щодо керування інцидентами ІБ.

Організація процесу керування інцидентами ІБ без використання засобів автоматизації являє собою складне й трудомістке завдання. Розробку формалізованої методики підтримки прийняття рішень щодо керування інцидентами ІБ ускладнює ряд особливостей. Однак все ж таки можна визначити загальні принципи, якими зможе користуватися розробник такого классу ІСППР.

Першим кроком у прийнятті рішень щодо керування інцидентами ІБ повинна бути систематизація та включення до SLA визначень класів інцидентів. Пропонується постійно осучаснювати як закони, методики, так і відповідні інститути в галузі керування інформаційними технологіями та ІБ.

Запропоновано функціональну схему ІСППР щодо керування інцидентами ІБ в ОТС. Дана схема цілком вписується в модель PDCA та процесний підхід, визначений у відповідних міжнародних стандартах ISO/IEC

Сертифікація вітчизняних операторів телекомунікацій за ISO/IEC 27001 могла б підвищити ступінь їхньої привабливості та надійності для іноземних інвесторів та партнерів. Враховуючи це, було б доцільно в Україні вже зараз використовувати ISO/IEC TR 18044 [1], ISO/IEC 27001 , E.409 та RFC 2350, BCP 21 як засади для створення системи реагування та обробки інцидентів ІБ ТМ, яка б цілком вписувалась та була б логічним продовженням вже існуючих та сертифікованих систем керування бізнес-процесами підприємства, зокрема таких як система технічної експлуатації та система менеджменту якості ISO 9001. Якщо в оператора вже впроваджено системи менеджменту у відповідності до стандартів ISO 9001 та ISO 14000, то доцільно забезпечити виконання вимог стандарту ISO/IEC 27001 в рамках існуючих систем менеджменту.

Інтелектуальну систему керування інцидентами ІБ ТМ найдоцільніше створювати взявши за основу цикл Шухарта-Деминга та модель PDCA зі стандарту ISO/IEC 27001].