Курс лекций Защита Информации/Оценка качества АСЗИ

Одним из наиболее важных вопросов является оценка качества СЗИ АСЗИ

Основные тезисы

Перед началом изучения материалов об оценки качества СЗИ АСЗИ необходимо сформулировать следующие тезисы:

1. Злоумышленник с помощью источника генерирует совокупность угроз автоматизированной системе, которая является конечной и счетной.
2. Каждая угроза характеризуется вероятностью появления и ущербом, приносимым информационной системе.
3. Система защиты информации выполняет функцию парирования угроз в АС.
4. Основной характеристикой СЗИ является вероятность $P_{i}$ устранения каждой $i$-ой угрозы.
5. За счет функционирования СЗИ обеспечивается минимизация ущерба, наносимому АС.

$W$ — общий предотвращенный ущерб.

$W_{i}$ — предотваращенный ущерб за счет ликвидации $i$-ой угрозы.

Реализация

После введения обозначений, решим задачу синтеза СЗИ для АС. Неободимо выбрать варианты реализации СЗИ обеспечивающего максимальный предотвращенный ущерб при дополнительных затратах.

$T$⁰ = $\arg$ $maxW(T)$.

$T$⁰ $\subseteq$ $T$⁺

$C$ ($T$⁰) $\leqslant$ $C$_доп

$T$ - некоторый вектор, характеризующий варианты технической реализации СЗИ.

$T$⁰ и $T$⁺ - оптимальный и допустимый значения вектора $T$

$C$_доп - допустимые затраты на СЗИ.

Показатель качества функции $W(T)$

Сформулируем показатель качества функции $W(T)$ = $F$ ($P$_{i угр}, $\Delta$ $q$_i ^угр, $P$_{i угр} ^устр). , где $i$ = $1$,$n$

Предотвращенный ущерб за счет ликвидации

Предотвращенный ущерб за счет ликвидации $i$-ой угрозы:

$W_{i}$ = $P$_{i угр} * $\Delta$ $q$_i ^угр * $P$_{i угр} ^устр, где $i$ = $1$,$n$.

Вводятся два допущения:

• независимость угроз
• аддитивность их последствий

$W$ = Невозможно разобрать выражение (неизвестная функция «\Sum»): {\displaystyle \Sum } $P$_{i угр} * $\Delta$ $q$_i ^угр * $P$_{i угр} ^устр.

$P$_{i угр} ^устр - является статистической и равна частоте появления угрозы.

Ущерб $\Delta$ $q$_i ^угр может определяться в любых единицах экономических потерь, временных затрат, объеме утраченной информации.

В месте с тем на разных этапах проектирования системы оценить абсолютный ущерб бывает затруднительно, поэтому вместо абсолютного ущерба используют относительный ущерб, который представляет собой степень опасности $i$-ой угрозы для информационной системы. Степень опасности может быть определена экспертным путем в предположении, что все угрозы для АС представляют полную группу событий.

Вероятность устранения $i$-ой угрозы определяется тем, насколько были учтены количественный и качественные требования к СЗИ АСЗИ.

$P$_{i угр} ^устр = $f$_i($X$_i,1...$X$_i,j...$X$_i,m )

$X$_i,j - степень выполнения $j$-го требования защиты информации, для устранения $i$-ой угрозы.

Пусть первые $k$ требований - количественные, а $m-k$ требований - качественные.

Степень выполнения $j$-го количества требований, определяется его требуемому (оптимальному) значению.

Для оценки лучше всего использовать нормированное значение.