Нечітка ієрархічна оцінка якості комплексних систем захисту інформації

Abstract

Changes in the legislation of Ukraine lead to a gradual transition to international standards in the field of ensuring the protection of information in information and communication systems of government authorities. However, the latest regulatory framework is based on the regulatory documents of the past. In this regard, it became necessary to develop new approaches to assessing the security of information and communication systems. One of the options for solving this problem is the use of penetration testing methods. During this procedure, the parameters of the complex protection tools are tested using publicly available tools used by cybercriminals. After completing this procedure, three options for the results are possible, which are described by fuzzy terms: the system meets the requirements of regulatory documents, the system does not comply with the requirements of regulatory documents, the system partially meets the requirements of regulatory documents and needs to be improved. As a result, the problem arises of developing a model that allows obtaining an integral indicator of security based on a fuzzy knowledge base. The article analyzes international documents in the field of cybersecurity and normative documentation of the system of technical protection of information in Ukraine. As the criteria for evaluating the system, the criteria of security against unauthorized access were selected, which in turn are defined in the existing national regulatory documents. A model of a fuzzy hierarchical system for assessing the security profile has been developed, which sets a set of assessment criteria and the sequence of their use. The proposed hierarchical model makes it possible to present the assessment process in an explicit form and implement the process of checking the criteria, indicating the degree of confidence of the expert in the relevance of the assessment criteria. The system was implemented in the Fuzzy Logic Toolbox environment of the Matlab application package. Computer experiments have shown the possibility of applying the developed model in practice.

Зміни в законодавстві України призводять до поступового переходу на міжнародні стандарти в сфері забезпечення захисту інформації в інформаційно-комунікаційних системах державних органів і об’єктів критичного призначення. Але оскільки новітня нормативна база в основному створюється на базі нормативних документів минулих років, то виникає необхідність розроблення нових підходів до оцінки захищеності інформаційно-комунікаційних систем. Одним із варіантів вирішення даної проблеми є застосування методів тестування на проникнення та апарату нечіткої логіки. Під час даної процедури відбувається тестування параметрів комплексу засобів захисту за допомогою загальнодоступних інструментів, які використовуються і зловмисниками. Після завершення даної процедури можливі три варіанти результатів, які описуються нечіткими термами: система відповідає вимогам нормативних документів, система не відповідає вимогам нормативних документів, система частково відповідає вимогам нормативних документів та потребує доопрацювання. Внаслідок цього постає завдання розробки моделі, яка б дозволяла на основі нечіткої бази знань отримати інтегральний показник захищеності. В статті проведений аналіз міжнародних документів в сфері кібербезпеки та нормативної документації системи технічного захисту інформації України. Для оцінки інформаційно-комунікаційної системи були вибрані критерії захищеності від несанкціонованого доступу, які визначені в існуючих національних нормативних документах. Розроблена модель нечіткої ієрархічної системи оцінювання профілю захищеності, яка задає множину критеріїв оцінювання та послідовність їх використання. Запропонована ієрархічна модель дозволяє подати процес оцінювання у явному виді та реалізувати процес перевірки критеріїв із зазначенням ступеню впевненості експерта у релевантності критеріїв оцінювання. Система була реалізована у середовищі Fuzzy Logic Toolbox пакету прикладних програм Matlab. Проведені комп’ютерні експерименти показали можливість застосування розробленої моделі на практиці.

Изменения в законодательстве Украины приводят к постепенному переходу на международные стандарты в области обеспечения защиты информации в информационных, коммуникационных системах государственных органов. Однако новейшая нормативная база опирается на нормативные документы прошлых лет. В связи с этим возникла необходимость разработать новые подходы в оценке защищенности информационных, коммуникационных системах. Одним из вариантов решения данной проблемы является применение методов тестирования на проникновение. Во время данной процедуры происходит тестирование параметров комплекса средств защиты с помощью общедоступных инструментов, используемых злоумышленниками. После завершения данной процедуры возможны три варианта результатов, которые описываются нечеткими термами: система соответствует требованиям нормативных документов, система не соответствует требованиям нормативных документов, система частично соответствует требованиям нормативных документов и нуждается в доработке. В результате возникает задача разработки модели, позволяющей на основе нечеткой базы знаний получить интегральный показатель защищенности. В статье проведен анализ международных документов в сфере кибербезопасности и нормативной документации системы технической защиты информации Украины. В качестве критериев оценки системы были выбраны критерии защищенности от несанкционированного доступа, которые определены в существующих национальных нормативных документах. Разработана модель нечеткой иерархической системы оценки профиля защищенности, которая задает множество критериев оценки и последовательность их использования. Предложенная иерархическая модель позволяет представить процесс оценивания в явном виде и реализовать процесс проверки критериев с указанием степени уверенности эксперта в релевантности критериев оценки. Система была реализована в среде Fuzzy Logic Toolbox пакета прикладных программ Matlab. Проведенные компьютерные эксперименты показали возможность применения разработанной модели на практике.