2 Моделирование объекта защиты
Для создания полной модели объекта защиты необходимо для начала определить ту информацию, которую необходимо защищать, поэтому необходимо провести её структурирование.
Структурирование производится путем классификации защищаемой информации в соответствии с функциями, задачами и дальнейшей привязкой элементов информации к их носителям. Детализацию информации целесообразно проводить до уровня, на котором элементу информации соответствует один источник.
Моделирование состоит в анализе на основе пространственных моделей возможных путей распространения информации за пределы контролируемой зоны.
Для выбранного объекта защиты структурная модель защищаемой информации, приведена ниже (рисунок 1).
Рисунок 1 – Структура конфиденциальной информации
При разработке структурной модели необходимо принять во внимание такие характеристики защищаемой информации, какее стоимость и гриф конфиденциальности.
Для определения стоимости защищаемой информации используются два подхода. Первый состоит в оценке стоимости информации по стоимости ущерба, который будет причинен при потере или разглашении защищаемой информации, в этом случае цена информации назначается методом экспертной оценки. Второй подход состоит в вычислении стоимости информации исходя из её объема и стоимости единицы информации (1 килобайт, 1 страница и др.). Рассмотрим подробнее оба подхода.
Согласно первому подходу, элементы информации должны получить заявленную стоимость после проведения экспертной оценки. Это нужно для того, чтобы оценить ту информацию, которую сложно посчитать или она находится только на бумажном носителе. Сформируем таблицу 1.
Таблица 1 – Структура конфиденциальной информации
№ элемента информации |
Наименование элемента информации |
Цена информации, руб. |
Примечание |
1 |
2 |
3 |
4 |
1.1.1 |
Сведения о структуре предприятия |
1200000 |
Равна ущербу от потери заключенного контракта |
1.1.2 |
Сведения о безопасности предприятия |
4000000 |
Равна простою предприятия |
1.2.1 |
Проекты планов и программ стратегического развития |
1000000000 |
Равна убыткам понесенным от утраты проектов |
1.2.2 |
Сведения по смете доходов и расходов предприятия |
6300000 |
В будущем равна ущербу от потери заключенного контракта |
1.3.1 |
Сведения от администрации города (Поставленные задачи предприятию) |
400000 |
Возможность помехи во время выполнения поставленной задачи |
Из таблицы 1 видно, что циркулирующая информация на предприятии - это в основном это бумажные и электронные документы, а также речевая информация, содержащаяся в беседах сотрудников и телефонных разговорах.
В рамках второго подхода стоимость информации вычислим по общему объему информации V, по стоимости единицы информации C0 и коэффициенту информативности К. Исходя из того, что на предприятии обрабатывается информация лишь с одной категорией важности, а именно для служебного пользования, то цена за 1 КБ памяти составляет 10 рублей, а значит 1МБ будет равен 10 000 рублям.
Коэффициент информативности означает долю полезной информации в общем объеме информации, например, для документов широко распространенной программы MSWord К=20%, именно столько занимает сам текст, оставшиеся 80% –служебная информация программы.
Эмпирическим путем определим коэффициенты информативности для наиболее распространенных объектов, содержащих защищаемую информацию. В результате формируются таблицы 2 и 3.
Таблица 2 - Коэффициенты информативности различных объектов
Объект, содержащий информацию |
K, % |
Примечание |
Текст договора, соглашения или иного официального документа |
20 |
На 80% приходится повторяющаяся информация, общие фразы и формулировки |
Схема, таблица, чертеж, технический рисунок |
90 |
Что подтверждает "лучше один раз увидеть, чем сто раз услышать". |
Электронный документ, подготовленный в текстовом процессоре |
20 |
Например, MS Word, Open Office. |
Электронная база данных различного ПО |
85 |
Форматы, специально разработанные для хранения значительных объемов данных, например DBF, MDB и др. |
Исходный код ПО в виде листинга (распечатки) |
90 |
10% - комментарии |
Речь человека |
30 |
Без учета эмоциональной составляющей |
Таблица 3 - Стоимость защищаемой информации (исходя из ее объема)
№ |
Наименование элемента информации |
Расчет цены информации |
|||
С0, руб./Мб. |
V,Мб. |
К, % |
С=С0∙V∙K |
||
1.1.1 |
Планы и программы предприятия |
10 000 |
50 |
20 |
1 000 000000 |
1.1.2 |
Сведения о безопасности предприятия |
5000 |
40 |
20 |
4000000 |
1.2.1 |
Проекты планов и программ |
8000 |
30 |
20 |
4800000 |
1.2.2 |
Сведения о доходах и расходах |
2000 |
35 |
90 |
6300000 |
1.3.1 |
Сведения о поставленных задачах, которые нужно выполнить в кратчайшие сроки |
1000 |
20 |
20 |
400000 |
1.3.3 |
Договоры о сотрудничестве с другими организациями |
3000 |
10 |
20 |
600000 |
Порядковый номер элемента информации (первый столбец в таблице 2) соответствует номеру тематического вопроса в структуре информации. Значение номера равна количеству уровней структуры, а каждая цифра – порядковому номеру тематического вопроса на рассматриваемом уровне среди вопросов, относящихся к одному тематическому вопросу на предыдущем уровне. При организации режима защиты коммерческая фирма руководствуется законом «О коммерческой тайне», согласно которому и назначает грифы секретности конфиденциальной информации. Пример грифов секретности для защищаемой информации приведен в таблице 4.
Таблица 4 – Грифы секретности конфиденциальной информации предприятия
Гриф секретности (Сокращенное наименование) |
Гриф секретности (Полное наименование) |
Описание грифа секретности |
ДСП |
Для служебного пользования |
Назначается внутренним документам организации, минимальный уровень конфиденциальности |
К |
Конфиденциальная |
Назначается внутренним документам организации, максимальный уровень конфиденциальности |
В результате всех расчетов получим детализированную структурную модель защищаемой информации, которая может быть представлена в виде таблицы 5.
Таблица 5 – Детализированная структурная модель защищаемой информации
№ |
Наименование элемента информации |
Гриф конфиденциальности |
Цена информации |
Наименование источника информации |
Местонахождение источника информации |
1.3.3 |
Сведения о партнёрах |
ДСП |
8400000 |
Документы на электронных и бумажных носителях |
Кабинет директора, сейф и ПЭВМ в кабинете директора |
1.1.2 |
Личные сведения о сотрудниках предприятия |
К |
1535950000 |
Документы на электронных и бумажных носителях |
Сейфы в хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете директора |
1.2.1 |
Проекты планов и программ стратегического развития |
ДСП |
1000000000 |
Документы на электронных носителях |
ПЭВМ в кабинете директора |
1.2.2 |
Сведения по смете доходов и расходов предприятия |
К |
265200000 |
Электронная база данных |
ПЭВМ в директора |
1.3.1 |
Сведения от администрации района |
ДСП |
13600000 |
Документы на электронных и бумажных носителях |
Хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете директора |
1.3.2 |
Сведения от министерства финансов |
ДСП |
8000000 |
Документы на электронных и бумажных носителях |
Хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете директора |
1.3.4 |
Сведения от других предприятий, в том числе и иностранных |
ДСП |
3800000 |
Документы на электронных и бумажных носителях |
Хранилище документов; сейфы, рабочие столы и ПЭВМ в кабинете директора |
После составления данной структурной модели можно сделать вывод, что, во-первых, ценность информации, циркулирующей на предприятии, достаточно высока. В основном она содержится на бумажных и электронных носителях.