Спросить
Войти
Метод принятия решений в условиях неопределенности для обеспечения информационной безопасности
Ларионова Светлана Львовна,
кандидат технических наук, доцент кафедры «Информационная безопасность», Финансовый Университет при Правительстве Российской Федерации, sv-larionova@yandex.ru
Товпеко Любовь Игоревна,
бакалавр, Финансовый Университет при Правительстве Российской Федерации, ltovpeko2017@gmail.com
Как показывают глобальные исследования утечек информации за первое полугодие 2019 года количество инцидентов выросло по сравнению с аналогичным периодом 2018 года на 22% [1]. В большинстве случаев (55,6%) утечка информации происходит по вине внутреннего нарушителя, который является сотрудником Организации. Для контроля действий сотрудников и предотвращения утечек информации в Организации внедряются DLP-системы. Данная статья посвящена проблеме принятия решений в условиях неопределенности. Поставлена задача - разработать метод выбора средств защиты от утечки данных на базе экспертных оценок, минимизировав субъективность эксперта. В работе разработана методика выбора средств защиты от утечки данных в условиях принятия решений методом экспертных оценок. Методика включает этапы: обоснование внедрения, анализ рынка и выбор объектов и критериев оценки, проведение оценки, принятие решения. Проведена оценка обоснованности внедрения DLP-системы в Организации, которая является оператором персональных данных, определены критерии сравнения, на основе которых целесообразно проводить анализ и выбор конкретных продуктов. В статье описана разработанная методика выбора альтернативного решения с помощью метода анализа иерархий, который в ходе работы был адаптирован к решению задач в сфере информационной безопасности. Рассмотрены конкретные продукты DLP-систем, представлен выбор предложенной методикой оптимальной системы с учетом критериев оценки. Предложенная методика на базе метода анализа иерархий позволяет решение на базе субъективного метода экспертных оценок сделать более объективным.
о см о см
<£> О!
I-О ш т х
т о х
Введение
При выборе средств обеспечения информационной безопасности нередко приходится принимать решения в условиях неопределенности, так как приходится сталкиваться с проблемой нехватки информации. Для того, чтобы принять правильное решение в условиях неопределенности, предлагается использовать метод экспертной оценки для анализа текущей ситуации и принятия решений на основе проведенных расчетов. Математическое представление проблемы позволяет снизить неопределенность и внести ясность в оценку и принятие решений. В мире существует немало методов экспертной оценки, но метод анализа иерархий позволяет провести оценку даже при недостаточном количестве данных, не требуя информации о статистике и вероятностях.
Поставлена задача: разработать метод выбора средств защиты от утечки данных на базе метода анализа иерархий. Для ее решения предложена методика, состоящая из четырех этапов:
Почему сложно сделать выбор? Во-первых, современные DLP-системы имеют похожие характеристики. Во-вторых, компании не готовы предоставить статистику по количеству отраженных атак. Следовательно, сразу не определишь, какая система лучше.
Анализ распределения утечек по типам данных показал, по данным компании InfoWatch, составляют персональные данные - 74,3% процентов инцидентов [1]. Прежде всего обоснование применение средств защиты необходимо строить с учетом рисков утечки этих данных.
Целью реализации утечки информации является получение персональных данных не одного лица, а целой базы данных. По данным компании SearchInform прямые затраты от утечки на одну запись составят 218 долларов =14 082,8 рублей. А если база данных насчитывает хотя бы 1000 записей, то ущерб составит 14 082 800 рублей. Следовательно, целесообразно внедрить DLP-систему, так как ее стоимость полной комплектации на 1000 компьютеров, по данным компании SearchInform, составляет примерно 14 млн рублей [2]. Это разовые затраты и внедрение DLP-система оправдает их с учетом потерь от утечек баз данных и ущерба от утечек, возможных штрафов и рисков запрета на обработку персональных данных.
Так как для защиты информации рекомендуется использовать продукты, имеющие сертификат ФСТЭК, в
работе будут рассмотрены три сертифицированных отечественных DLP-системы: zGate, InfoWatch Т^АсМотЬг, Контур информационной безопасности СёрчИнформ (КИБ SI). Рассмотрим основные характеристики выбранных DLP-систем. Поставлена задача выбора конкретной DLP-системы. Сначала рекомендуется составить таблицу основных функций рассматриваемых DLP-систем (таблица 1). Пусть наличие функции отмечается знаком «+», а отсутствие - знаком «-».
Таблица 1
КИБ SI InfoWatch TrafficMonitor ZGate
Контроль внешних устройств + +
Контроль электронной почты, соц. сетей, форумов, блогов, Skype, 1М + + +
Контроль портов USB, LPT USB, COM, LPT, Wi-Fi, Bluetooth USB, COM, LPT, Wi-Fi, Bluetooth
Анализ по словарю, Лингвистический анализ, Анализ архивов, Анализ рисунков + + +
Быстрый процесс развертывания + + +
Блокирование утечек + + +
Модульность системы + - +
Роли Любое количество Несколько Любое количество
Режимы оповещений Консоль, почта, графики Консоль, почта, графики Консоль, почта, графики
Главной функцией DLP-систем является блокирование утечек информации. Но не во всех DLP-системах оно происходит автоматичестки. Все выше перечисленные DLP-системы могут выявлять и блокировать несанкционированные действия пользователя. Надо только правильно настроить систему. Не всегда одно событие можно идентифицировать как инцидент. DLP-системы позволяют восстанавливать цепочки событий и устанавливать всех причастных к нарушениям.
Для того, чтобы сотрудники не смогли копировать конфиденциальную информацию на внешний накопитель, а также подключиться к компьютерной сети предприятия, существует функция - контроль внешних устройств. В DLP-системах TrafficMonitor и КИБ SI эта функция реализована, а к DLP-системе Zgate производитель предлагает дополнение в виде Zecurion Zlock [3-5].
Контроль портов также позволяет предотвратить копирование секретной информации на внешний носитель. ZGate и InfoWatch TrafficMonitor способны контролировать порты USB, COM, LPT, Wi-Fi, Bluetooth[3,4]. КИБ SI контролирует порты USB и LPT[5].
Сотрудники могут отправлять секретные данные по электронной почте и других IM (Instant messaging-си-стема мгновенного обмена сообщениями). Контроль электронной почты, социальных сетей, форумов, бло-гов, Skype, IM позволяет устранить этот канал утечки информации.
Для эффективного оповещения и расследования существуют такие функции, как анализ по словарю, лингвистический анализ, анализ архивов, анализ рисунков. По результатам анализа предоставляются отчеты.
Оповещение администраторов безопасности может осуществляться через консоль, почту, графики.
Для удобной реализации политики управления доступом пользователям назначаются роли. DLP-системы КИБ SI и ZGate предусматривают неограниченное количество ролей, в то время как InfoWatch TrafficMonitor позволяет создать несколько ролей [3-5]. Это может оказаться неудобным, если организация будет расти и понадобится большее количество ролей.
DLP-система - сложное и многофунциональное решение, внедрение которого может быть достаточно долгим. Производители рассматриваемых программных продуктов обещают быстрый процесс развертывания. По данным компании InfoWatch процесс развертывания займет всего один или два месяца в зависимости от масштабов Огранизации/Предприятия.
DLP-системы КИБ SI и ZGate состоят из набора компонентов [4,5]. Заказчик может купить лишь те модули, которые нужные конкретно его информационной системе, и не будет препеплачивать за "лишние" модули. Съэкономленнные средства заказчик сможет потратить на другие нужды своего предприятия, в том числе на развитие и усовершенствования системы обеспечения ИБ.
Однако все рассмотренные программные продукты очень похожи между собой, и сложно сделать выбор в пользу одного из трех. Воспользуемся методом анализа иерархий Т. Саати, чтобы принять решение, то есть выбрать конкретную DLP-систему.
Выбор критериев оценки. Часть функций у всех трех DLP-систем одинаковые и их числовые показатели, найденные в результате рассчетов, будут равны. Поэтому нет смысла включать их в анализ. В качестве критериев оценки будут выступать «Контроль внешних устройств», «Контроль портов», «Модульность системы» и «Роли», так как эти функции свойственны не всем из рассмариваемых DLP-систем или реализованы не в полном объеме. Итак, второй этап выполнен - определены критерии оценки DLP-систем (таблица 2).
Таблица 2
Критерии оценки КИБ SI InfoWatch TrafficMonito r ZGate
Контроль внешних Устройств + +
Контроль портов USB, LPT USB, COM, LPT, Wi-Fi, Bluetooth USB, COM, LPT, Wi-Fi, Bluetooth
Модульность системы + - +
Роли Любое количество Несколько Любое количество
о го А с.
Алгоритм проведения оценки. Метод анализа иерархий (МАИ) предназначен для анализа альтернатив с помощью выбранных критериев и принятия решений [6]. МАИ используется в различных сферах деятельности. В данной работе разработана методика выбора DLP-си-стем на базе МАИ.
На первом шаге необходимо определить критерии оценки DLP-систем (не менее 3 критериев).
На втором шаге заполнить матрицу парных сравнений (таблица 4). Вначале надо сравнить сами критерии между собой, определить их предпочтительность. Для оценки надо использовать значения шкалы относительной предпочтительности (Таблица 3). Затем рассчитать вектор приоритетов, нормализованные оценки вектора приоритета, отклонение от идеального значения и отношение согласованности по формулам, представленным в табл. 3.
Таблица 3
Шкала относительной предпочтительности одного критеприоритета
Объект А1 1
Объект А2 1
Объект А3 1
Сумма 7 7 7 7 7 7
- На третьем шаге рассчитать «вектор приоритетов», как среднегеометрическое значение коэффициентов предпочтительности в строках матрицы парных сравнений.
Ьгеом = к 2*...* к„ (1)
Далее рассчитать «нормализованные оценки вектора приоритета» для каждой строки матрицы парных сравнений, как отношение значения «вектора приоритетов» строки к сумме значений столбца «вектора приоритетов». Сумма всех нормализованных элементов полученного столбца должна быть равна 1.
Вектор норм = ^РрОММ (2)
Рассчитать значение столбца «отклонение от идеального значения», как произведение значения строки «нормализованных оценок вектора приоритета» на значение суммы «коэффициентов предпочтительности» соответствующего столбца.
Погрешность = Вектор нормп * Суммап (3)
Рассчитать отношение согласованности (ОС) полученных матриц парных сравнений. Для этого сначала нужно рассчитать индекс согласованности (ИС):
Ис _ Сумма погрешностей-п (4)
_ п-1 ( )
где п - размер матрицы.
Теперь можно вычислить отношение согласованности (индекс случайной согласованности (СС) берется из таблицы 5.
ОС = — * 100% (5)
Таблица 5
Индекс случайной согласованности
рия оценки (объекта) перед другим (составлено автором)
Шкала относительной предпочтительности при сравнении объектов
Предпочтительность Определение
Обратные величины приведенных выше чисел Если при сравнении одной альтернативы с другой получено одно из вышеуказанных чисел (например, 3), то при сравнении второго объекта с первым получим обратную величину (то есть 1/3)
Среднее эначенне случайного ннлекеа согласованное™
Размер матрицы 1 2 3 4 5 в 7 3 9 10
Случайна* согласованность (СС) 0 0 0.90 1.1: 1.41 1.45 1.49
При выборе значений предпочтительности надо учитывать человеческий фактор. Шкала предпочтительности должна давать возможность различать и улавливать разницу в чувствах людей (экспертов), когда они проводят сравнения.
Полученные результаты для парных сравнений объектов представить в виде таблицы (Таблица 4). Таблица 4 служит шаблоном для проведения анализа и расчетов. В ячейку «объект» подставляем название DLP-систем. В ячейку «критерий» заносим название критерия, по которому будем сравнивать DLP-системы.
Таблица 4
Матрица парных сравнений для критериев (объектов) сравнения
критерий Объект А1 Объект А2 Объект А3 Вектор приоритета Нормализованные оценки вектора Отклонение от идеального значения
Далее оценить полученный результат. Отношение согласованности (погрешность) должно быть не более 10%, но допускается в некоторых случаях сложных параметров сравнения не более 20%. Если отношение согласованности превышает 20%, следовательно, мнения экспертов не согласованы, и необходимо пересмотреть правильность своих суждений, и скорректировать величину выставленных коэффициентов в соответствующей матрице парных сравнений.
Далее надо произвести рейтинговую оценку предпочтительности DLP-систем. Для этого надо свести полученные результаты в итоговую матрицу «критерии -альтернативы» (таблица 6).
В строке численное значение вектора приоритета критериев расположены «нормализованные оценки вектора приоритета» (вектор норм) по критериям, из матрицы парных сравнений для критериев сравнения. Например, при сравнении объекта А1 по критерию К1
получилось значение вектора приоритета равное 0,4. Тогда на пересечении строки «Объект А1» и столбца «Критерий К1» заносим значение равное 0,4. Тоже самое надо сделать и с остальными объектами.
Таблица 6
Критерии Рейтинговая оценка
Критерий К1 |Критерий К2|Критерий К3
Численное значение вектора приоритета критериев
Объект А1
Объект А2
Объект А3
В столбцах «Численное значение вектора приоритета критериев» будут расположены значения «нормализованные оценки вектора приоритета» критериев К1, К2, К3. Они берутся из таблицы, в которой критерии уже сравнивали между собой.
- Рассчитать значение рейтинговой оценки DLP-си-стем, как сумму произведений значений по строкам, оценки приоритета по программам в сравнении по определенному критерию на значение вектора приоритета соответствующего критерия. Например, имеется три критерия сравнения К1, К2, К3. Тогда формула рейтинговой оценки для объекта А1 будет выглядеть так: (значение объекта А1 по критерию К1)*(вектор норм К1)+( значение объекта А1 по критерию К2)*(вектор норм К2)+( значение объекта А1 по критерию К3)*(вектор норм К3). Тоже самое и для остальных объектов. Только вместо А1 будет А2, А3 и так далее.
Сформулировать вывод о предпочтительности выбора DLP-системы, выбранной на основе метода анализа иерархий. То есть выбрать систему с наибольшим рейтингом.
Применение алгоритма МАИ для принятия решения о выборе DLP-системы. На основе выше описанного алгоритма выбора на базе МАИ и ранее составленной таблице 2 с описанием основных функций DLP-си-стем будет проведен выбор критериев и выбор DLP-си-стемы.
Сравнение выбранных критериев (таблица 6). Критерии «Контроль внешних устройств» и «Контроль портов» имеют равную важность, что соответствует оценке 1, согласно рассмотренной ранее шкале относительной предпочтительности. А вот критерии «Модульность системы» и «Роли» не столь важны, так как можно обойтись и без них. Конечно, отсутствие модульности системы и достаточного количества ролей может доставить ряд неудобств заказчику, но тем не менее это неглавные функции DLP-систем. А вот без функций «Контроль внешних устройств» и «Контроль портов» DLP-система частично теряет контроль над защищаемой информацией. Злоумышленник может похитить защищаемую информацию путем копирования на внешние устройства, подключаемые к компьютерам и компьютерной сети организации. Следовательно, функции «Контроль внешних устройств» и «Контроль портов» имеют значительное превосходство над функциями «Модульность системы» и «Роли», что соответствует оценке 7,
согласно шкале относительной предпочтительности. «Модульность системы» имеет существенное превосходство над критерием «Роли», так как при грамотном разграничении доступа ролей должно хватить на всех, даже в ограни-зациях большого масштаба, а покупка отдельных модулей под конкретные нужды организации существенно может съэкономить бюджет организации. Существенное превосходство соответствует оценке 5, согласно шкале относительной предпочтительности. Показатель случайной согласованности равен 0,90, согласно таблице 3. Отношение согласованности по результатам рассчетов составляет 8% и находится в норме. Следовательно, сравнение выбранных критериев проведено корректно.
Таблица 7
Сравнение критериев оценки
Кмтрш 1ЯГВНИ1 чтроапа Кыгграль Порто! Мцульмстк Ума С* г Втпор ЯОр.4 Плгрешаост* ИМГУГ Отнт(
кнуре.» О/ОШ 0.5*9*41541 с.шыв ГЛ&.ШГМ
ОорГса 1 1 ) 1 164Я51 оямя!
Мвлуыктк Г? 11 1 0.56НЮ 0,09251! 1,406160369
Сучщ 12» 1» 6.11 *2\\
Далее сравниваются выбранные выше DLP-системы по критерию "Контроль внешних устройств" (таблица 7). DLP-системы КИБ Э1 и InfoWatch ТгаАюМопйог имеют умеренное превосходство над ZGate, так как ZGate реализует контроль внешних устройств с помощью отдельной программы Zecurion Zlock, которая преобретается отдельно. Умеренное превосходство соответствует оценке 3, согласно шкале относительной предпочтительности.
Таблица 7
Сравнение йЬР-систем по критерию "Контроль внешних устройств"
КшпрйЯ устрсйетт КИБ ЫоЛКМсЬ ТпШгМо пинт 7Л-ЧГ ср. КИМ" Вектер норм Плгргт пост» НтЛеке Опташен яг «к&лаонв к№*т
КИБ Ч 1 1 3 1.4422 0.42*571 1
т т 1 0.4(07 0.Н357 1 0,00 0%
Суивд 233 лоо 33? з.оо
Далее DLP-системы сравниваются по критерию "Контроль портов" (таблица 8). По таблице 2 можно сделать вывод, что ZGate и InfoWatch ТгаШсМопйог имеют умеренное превосходство над КИБ Э1 по количеству контролируемых портов, что соответствует оценке 3, согласно шкале относительной предпочтительности.
Таблица 8
Сравнение 01-Р-систем по критерию "Контроль портов"
пер1С» кнеы IuioW.lt к ТпОсМо ■Йог ТХИЛш Ср тачг Нектар норм Поврет яжть /ЛАчсг О тяти ел
КИБ 1 1/3 13 0.4107 Ъ1421Я 1 (С--.1ССМС
иьЛУдик ТгаЕПг \\ 1овНог 3 1 1 1.4422 0.421571 1
гс*ы 3 1 \\ 1,4422 0.421571 1 0,90
Сгивд 7.00 2.33 233 337 1.00 3,00
Далее DLP-системы сравниваются по критерию "Модульность системы" (таблица 9). КИБ Э1 и ZGate имеют существенное превосходство над InfoWatch ТгаШсМоп^ог, потому что их состоят из отдельных модуX X
го А с.
лей, как было сказано ранее. Существенное превосходство соответствует оценке 5, согласно шкале относительной предпочтительности.
Таблица 9
Сравнение йЬР-систем по критерию "Модульность системы"
системы KHE St iBfoWalch TtaBkMo ■Hot hCM r Cp, IMW мне BfKmap норм Пкр+ш HtrfHtt Untext Отяошга не ifc&.Hf«« MHÓfMH
КИБ SI I - 1 1,71 0.4S4545 s mm
InfoWafefa TuJIkMonltoi Vi i I&S 0.J42 0090*» I
ZCilf I 5 1 1.71 0.4Я545 1 6 0%
Суши ио 11,00 2J0 i.76 3,00
Далее DLP-системы сравниваются по критерию "Роли" (таблица 10). КИБ SI и ZGate имеют неограниченное количество ролей, и, следовательно, умеренное превосходство над InfoWatch ТгаИюМотЬг, что соответствует оценке 3, согласно шкале относительной предпочтительности.
Таблица 10
Сравнение 01-Р-систем по критерию "Роли"
Ради КИБ У IníoWalch TriflWMo altor ÍX.U. о. tmmt цнг HfKntop К ppM Пл-pfífi mvcm» Индекс Отмешен IV W.IHrNd нности
КИЕ SI I J 1 1 4422 с&&; 1
UfoWalrh TniflkMoallor W • 14 0.4»! 0.1««! • mn
ZGal* V i 1 LHtt 0,«»S7| 1 0 0
Суда« 13J ™ 1)! !JJ J.00
На данном этапе рассчитывается рейтинг DLP-си-стем КИБ SI, InfoWatch TrafficMonitor и ZGate (таблица 11). Рейтинговая оценка рассчитывается как сумма произведений «векторов норм» критериев оценки и «векторов норм» DLP-систем.
Таблица 11
Рейтинговая оценка йЬР-систем
Критерий шиш PdbuTD WW)
КОНТРОЛЬ U*flH«I Г .. Контроль портов vrrpelrre Модульность системы Роли
Чакляи« иячежк ккира г^ииритета ччетерие»
КНЬМ 0.424571429 0.142ÍÍ714Í 0,4^4 Í4Í4Í5 0,428571429
fafoWilrh I иЛк Monitor 0,42*571*29 0,421571429 В ИДИИИ 0.1«»714J 0.SSS51
ZCal* О.И21$7|43 0.42S571429 0.42W7M» 0JQ724
Результаты проведенных рассчетов рейтинговой оценки показали, что самый высокий рейтинг у DLP-си-стемы InfoWatch ТгаИюМопйог. Следовательно, с учетом установленных критериев целесообразно выбирать DLP-систему InfoWatch ТгаИюМотЬг.
Заключение
По результатам проведенной работы можно сделать вывод, что оценка зависит от значимости критериев оценки. Продукт с несколькими незначительными недостатками в результате оценки может оказаться лучше, чем продукт имеющий один, но достаточно весомый недостаток. На первый взгляд эксперту может показаться, что надо внедрять тот программный продукт, который имеет меньшее количество недостатков. Но в результате анализа можно убедиться, какие недостатки более или менее существенны, и на основе этого принять правильное и более объективное решение.
Method of decision-making in conditions of uncertainty for
ensuring information security Larionova S.L., Tovpeko L.I.
Financial University under the Government of the Russian Federation
According to global research on information leaks, the number of incidents increased by 22% in the first half of 2019 compared to the same period in 2018 [1]. In most cases (55.6%) information leaks are caused by an internal intruder who is an employee of the Organization. DlP systems are being implemented in the Organization to monitor employee actions and prevent information leaks. This article is devoted to the problem of decision-making in conditions of uncertainty. The task is to develop a method for selecting means of protection against data leakage based on expert assessments, minimizing the subjectivity of the expert. In this paper, we have developed a method for selecting means of protection against data leakage in decision-making using the method of expert assessments. The methodology includes the following stages: implementation justification, market analysis and selection of objects and evaluation criteria, evaluation, and decision making. An assessment of the feasibility of implementing a DLP system in an Organization that processes personal data was made, and comparison criteria were determined, based on which it is advisable to analyze and select specific products. The article describes the developed method of choosing an alternative solution using the hierarchy analysis method, which was adapted to solving problems in the field of information security. Specific products of DLP systems are considered, and the choice of the optimal system based on the proposed criteria is presented. The proposed method based on the hierarchy analysis method allows making the decision based on the subjective method of expert assessments more objective. Keywords: Information leakage, DLP-system, Evaluation criterion,
Rating evaluation, Information leakage control References
https://www.infowatch.ru/sites/default/files/report/analytics/russ /Global_Data_Leaks_Report_2019_half_year.pdf?rel=1
Hierarchy analysis method: application procedure. URL: http://vamocenka.ru/metod-analiza-ierarxij-procedura-primene
