Информационно-аналитическое обеспечение информационной безопасности финансовой системы

Общие цели, задачи и основные направления обеспечения информационной безопасности финансовой системы как части информационной сферы общественных отношений России, определены в документах государственного строительства, главным их которых является утвержденная Указом Президента Российской Федерации Доктрина информационной безопасности Российской Федерации.

На основе положений Доктрины, федеральных законов и ведомственных нормативных актов должны формироваться общие требования по основным видам обеспечения информационной безопасности, к которым относятся:

- нормативно - правовое;

- техническое;

- организационное.

Эти требования в совокупности определяют методологию обеспечения информационной безопасности (ИБ), которая укрупнено может быть представлена следующими этапами.

Прежде всего необходимо определить объекты (ИБ) и указать их иерархические взаимосвязи. На верхнем уровне иерархии располагаются выделенные в предыдущих разделах информационные комплексы финансовой системы. На нижнем уровне – автоматизированные рабочие места соответствующих информационных систем и информационно-коммуникационных сетей.

Затем для каждого объекта ИБ необходимо определить его категорию, установить и описать угрозы безопасности, исходя из которых с учетом специфических характеристик определить необходимый уровень информационной безопасности, характеризующийся конкретной совокупностью требований и реализовать соответствующие этим требованиям методы и механизмы защиты. Планирование и документирование работ по результатам уже решенных задач задают направления разработки и реализации мероприятий по защите объектов. Поэтапное выполнение планов реализации мероприятий должно включать оценки и контроль достигнутого уровня информационной безопасности.

Конкретные шаги по формированию и достижению необходимого уровня информационной безопасности объектов должны включать:

- определение объекта ИБ и его категории;

- описание процесса (моделирование) обеспечения ИБ;

- программирование необходимого уровня ИБ;

- задание требуемого уровня ИБ;

- определение мероприятий для заданного уровня безопасности объекта;

- оценка и контроль уровня ИБ.

Требования к обеспечению ИБ должны регулировать выполнение работ по формированию и достижению необходимого уровня информационной безопасности.

Уровень ИБ определяется как мера соответствия текущего состояния объекта ИБ (модели, макета, опытного образца и т.п.) заданиям по всем видам обеспечения информационной безопасности, формулируемым как совокупность требований. Мера соответствия может определяться качественно и количественно в виде показателей соответствия.

В зависимости от целей уровень ИБ может быть требуемым и текущим. Требуемый уровень задается на начальном этапе создания объекта ИБ (информационной системы, базы данных, информационно-коммуникационной сети, автоматизированного рабочего места) и может уточняться в зависимости от установленных критериев его достижения в процессе разработки и эксплуатации объекта защиты. В зависимости от категории информационных ресурсов (открытых и конфиденциальных) устанавливаются два базовых уровня ИБ. Требования ИБ задаются количественно или в виде совокупности сформулированных качественных характеристик. Базовый уровень ИБ представляет собой минимально необходимую совокупность требований.

По завершении очередного этапа создания, модернизации, установленного календарного периода эксплуатации должен определяться текущий уровень объекта ИБ в целях контроля его соответствия требуемому уровню. Определение и оценка уровня ИБ, адекватности создаваемых или готовых решений защиты задаваемым требованиям к уровню информационной безопасности должны выполняться специалистами прошедшими квалификационный отбор. Специалисты, разрабатывающие и реализующие планы мероприятий обеспечения ИБ, выполняющие работы по заданию и оценке уровня ИБ должны иметь государственный диплом специалиста в области информационной безопасности, знать методы, механизмы и средства защиты, владеть способами их декомпозиции и классификации в целях определения защитных свойств объекта, выбора взаимодополняющего комплекса универсальных и уникальных методов, пригодных для парирования широкого спектра угроз и т.п.

Решение сформулированных задач должно базироваться на основных положениях теории многоцелевого управления, которые в приложении к проблемам информационной безопасности финансовой системы заключаются в следующем.

Многоцелевое управление позволяет отслеживать заданный набор внутренних характеристик объекта и формировать управляющие воздействия для дости­жения ряда целей одновременно или в определенной последовательности. Системы с таким управлением принято называть многоцелевыми системами управления (МСУ). Принципиальная схема МСУ приведена на рис.19.

Рис. 19. Схема многоцелевого управления

Обозначения: X - внутренние переменные состояния объекта управления, Z - контролируемые переменные состояния объекта управления, U - управление, индексы «о, ш, а, м» - соответственно «оптимальное управление, оптимальное управление в штатном режиме, оптимальное управление в аварийном режиме, переменные модели».

Основным свойством МСУ, отличающим их от традиционных систем управления, является возможность расширения круга решаемых задач по многокритериальному управлению объектом. Характер новых задач зависит от числа составляющих вектора фазового состояния, подлежащих управлению и целей этого управления. Информация об оценках значений всех пере­менных поступает от системы оценивания и используется для формиро­вания закона управления. Интегральной целью такого управления является обеспечение устойчивого функционирования объекта в нормальных условиях и его безопасности в аварийных ситуациях (при возникновении угроз, нарушений и т.д.). Включение в работу ограничивающего (противоаварийного) управления не приводит к снижению общего уровня экономических параметров объекта, в отличие от большинства традиционных систем защиты. Огра­ничивающее управление реализуется путем дополнительного воздейст­вия на управляющие органы системы.

Условия, определяющие значения контролируемых состояний объекта непрерывно изменяются. Изменение этих условий отражается значениями параметров мо­дели объекта. Система идентификации, определяя эти значения параметров, позволяет выявить особенности интегрального состояния объекта в необходимый момент времени и учесть их при синтезе оптимального закона много­целевого управления. Иными словами, система идентификации перево­дит МСУ в новый более совершенный и эффективный класс адаптивных систем. Адаптация работы системы к особенностям условий функционирования объекта осуществ­ляется, таким образом, на основании идентификации и совмещенного синтеза, выполняемого в реальном времени в ходе функционирования замкнутой системы управления. Поскольку в процессе идентификации осуществляется одновременное определение ряда параметров, то та­кие системы можно отнести также к классу МСУ с мно­гопараметрической адаптацией. Это свойство МСУ становится особен­но значимым при возникновении угроз и нарушений нормальному функционированию, когда появляется недостаток информации о состоянии объекта и воздействиях окружающей среды.

МСУ включает информационную часть - датчики, системы оцени­вания и идентификации и управляющую часть - непосредственно сис­тему управления. При синтезе МСУ принят подход, при котором информационная и управляющая части синтезируются одновременно на основе использования как критерия качества информационной части системы - системы обработки информации, так и критерия качества собственно управления.

В целом анализ возможностей МСУ показывает, что они являются адекватным инструментом для организации многоцелевого мониторинга информационной подсистемы финансовой системы, своевременной идентификации и устранения возникающих угроз и нарушений ее безопасного функционирования.

Рассмотрим теперь кратко каждый и видов обеспечения ИБ.