Курс лекций Защита Информации/Оценка качества АСЗИ

Одним из наиболее важных вопросов является оценка качества СЗИ АСЗИ

Основные тезисы

Перед началом изучения материалов об оценки качества СЗИ АСЗИ необходимо сформулировать следующие тезисы:

1. Злоумышленник с помощью источника генерирует совокупность угроз автоматизированной системе, которая является конечной и счетной.
2. Каждая угроза характеризуется вероятностью появления и ущербом, приносимым информационной системе.
3. Система защиты информации выполняет функцию парирования угроз в АС.
4. Основной характеристикой СЗИ является вероятность $P$ устранения каждой $i$-ой угрозы.
5. За счет функционирования СЗИ обеспечивается минимизация ущерба, наносимому АС.

Реализация

После введения обозначений, решим задачу синтеза СЗИ для АС. Необходимо выбрать варианты реализации СЗИ обеспечивающего максимальный предотвращенный ущерб при дополнительных затратах.

$T_{0}$ = $\arg$ $maxW(T)$.

<$T_{0}$ $\subseteq$ $T_{+}$.

$C$ ($T$⁰) $\leqslant$ $C_{add}$

$T$ — вектор, характеризующий варианты технической реализации СЗИ.

$T$⁰ и $T$⁺ — оптимальный и допустимый значения вектора $T$

$C_{add}$ — допустимые затраты на СЗИ.

Показатель качества функции $W(T)$

Сформулируем показатель качества функции

$W(T)$ = $F($$P_{ithreat}$, $\Delta q_{ithreat}$, $P_{ithreat,remove})$, где $i=1,n$.

Предотвращенный ущерб за счет ликвидации

$W$ — общий предотвращенный ущерб.

$W_{i}$ — предотваращенный ущерб за счет ликвидации $i$-ой угрозы.

Предотвращенный ущерб за счет ликвидации $i$-ой угрозы:

$W_{i}$=</math>$P_{ithreat}\times$$\Delta q_{ithreat}times$$P_{ithreat,remove}$, где $i=1,n$.

Вводятся допущения:

• независимость угроз
• аддитивность их последствий

Ущерб $\Delta$ $q$_i ^угр может определяться в любых единицах экономических потерь, временных затрат, объеме утраченной информации.

В месте с тем на разных этапах проектирования системы оценить абсолютный ущерб бывает затруднительно, поэтому вместо абсолютного ущерба используют относительный ущерб, который представляет собой степень опасности $i$-ой угрозы для информационной системы. Степень опасности может быть определена экспертным путем в предположении, что все угрозы для АС представляют полную группу событий. Вероятность устранения $i$-ой угрозы определяется тем, насколько были учтены количественный и качественные требования к СЗИ АСЗИ.

$P$_{i угр} ^устр = $f$_i($X$_i,1...$X$_i,j...$X$_i,m )

$X_{i,j}$ — степень выполнения $j$-го требования защиты информации, для устранения $i$-ой угрозы.

Пусть первые $k$ требований — количественные, а $m-k$ требований - качественные.

Степень выполнения $j$-го количества требований, определяется его требуемому (оптимальному) значению.

Для оценки лучше всего использовать нормированное значение.