ВРоссии в официальных документах можно найти ссылки на жизненную важность ряда систем для государственной безопасности, экономической стабильности и общественного порядка [11,12]. Сотрудники Института проблем информационной безопасности МГУ дают следующее определение: «под инфраструктурой будем понимать набор отдельных взаимосвязанных структурных элементов системы, поддерживающих ее функциональность (работу по назначению). Под критической инфраструктурой будем понимать набор отдельных взаимосвязанных элементов, поддерживающих функциональность национально значимых для России сфер жизнедеятельности. Под критически важной информационной инфраструктурой понимают набор отдельных программно-аппаратных, сетевых и информационных компонентов, поддерживающих функциональной национально значимых для России сфер жизнедеятельности» [8, 13].
ВСоглашении ШОС по информационной безопасности 2009 г. критически важные инфраструктуры определяются как «объекты, системы и институты государства, воздействия на которые может иметь последствия, прямо затрагивающие национальную безопасность, включая безопасность личности, общества, государства», а «информационные инфраструктуры – это совокупность технических средств и систем формирования, создания, преобразования, передачи, использования и хранения информации».
Главной характеристикой критической инфраструктуры является ее ключевое значение для безопасности общества и государства, причем КВО и КИИ могут быть военными и гражданскими объектами, а также иметь двойное назначение [1]. В работах [14-21]
11
соотносятся российское и американское видение критических инфраструктур государства.
Помимо национальных, выделяют и международные критические информационные инфраструктуры, среди которых система доменных имен Интернета, коммуникационные спутники, межконтинентальные кабели и маршрутизаторы и иные информационные объекты [1].
Очевидно, что информационные риски для всех вышеуказанных объектов и структур будут только возрастать.
7. Однобокость оценок эффективности функционирования ИТ-систем будет преодолена. Измерение шанса в сочетании с риск-анализом откроет в этом отношении реальные перспективы адекватного управления общей эффективностью подобных систем, прогнозирования [24-54] в революционно развивающемся информационном пространстве, в т.ч. на региональном и муниципальном уровнях. В этой связи особо востребованным будет создание и развитие специализированного математического и методического обеспечения поддержки принятия управленческих решений для органов власти и корпораций, в том числе, создание ситуационных центров, способных в реальном масштабе времени обрабатывать большой поток поступающие социально-экономические и персональные данных. Информационно-аналитическое содействие, о котором многим сейчас приходится только мечтать, станет обыденным сервисом сетевых и «облачных» технологий, который также придется надежно защищать от компьютерных атак и компьютерной разведки, в том числе, на региональном уровне [32-54].
12
Резко возрастает роль квалифицированных администраторов безопасности информации, деятельность которых будут приносить значительный доход предприятия и организациям различных форм собственности, в форме предотвращенного ущерба от кибератак на их инфокоммуникационные системы.
8.Все возрастающий уровень сложности ИТ, используемых во всех сферах жизнедеятельности, привет к невозможности детального исследования продуктов, поставляемых сторонними вендорами программноаппаратных комплексов на предмет соответствия требованиям по безопасности. Это заставит перейти от понятия «требования к защищенности» к понятию «уровень реальной защищенности», что, в свою очередь, потребует соответствующих изменений нормативного правового пространства со стороны регуляторов.
9.В условия постоянно изменяющейся динамической внутренней и внешней среды, появления все новых и новых угроз в различных сферах жизнедеятельности общества и государства будет осуществляться постепенный переход от доктрины «управления с максимальной эффективностью» к доктрине «управления с минимальным или допустимым риском».
Такими представляются инновационные тренды развития ИТ-сферы в контексте обеспечения ее безопасности в целом, и безопасности КВО и КИИ, в частности. Важнейшим в этом контексте видится именно аспект, киберзащиты критически важных объектов и инфраструктур, ибо последствия атак на них могут быть катастрофическими. Причем, ключевым моментом этой защиты безусловно следует считать риск-анализ и управление рискам информационно-технологической инфраструктуры данных объектов (ИТИ КВО),
13
экстремальные значения критически важных переменных состояния которых подвергаются информационным атакам.
Известные научные работы в данном направлении в основном рассматривают различные виды угроз, атак и ущербов [24-54] для компьютерных и телекоммуникационных систем широкого использования.
При этом попытки риск-анализа КВО носят в основном экспертный неаналитический характер, затрудняющий оптимизацию и управление. С другой стороны, вероятная теория экстремальных распределений, предлагающая некоторый аналитический аппарат вне поля зрения оставляет величины ущербов, что допустимо лишь для фатальных оценок риска.
В этой связи актуальной представляется цель развития методологии временного риск-анализа в приложении к важнейшим переменным состояния атакуемойИТИ КВО, для достижения которой представляется необходимым решить следующие задачи:
1.Исследование автоматизированных информационных систем КВО, включая их классификацию, определение источников угроз, целей и сценариев атак на ИТИ КВО, методики их риск-анализа.
2.Аналитическая оценка рисков атакуемойИТИ КВО на основе распределений экстремальных значений их критических переменных состояния, включая определение функций ущерба и вероятностей их наступления, параметров риска и диапазонов ущерба.
3.Выработка мер по управлению вышеуказанными рисками в динамике переменных состояния ИТИ КВО в контексте обеспечения её безопасности.
14
1. НЕОБХОДИМОСТЬ ОЦЕНКИ И
РЕГУЛИРОВАНИЯ РИСКОВ ДЛЯ
ИНФОРМАЦИОННО-ТЕХНОЛОГИЧЕСКОЙ
ИНФРАСТРУКТУРЫ УПРАВЛЕНИЯ
КРИТИЧЕСКИ ВАЖНЫХ ОБЪЕКТОВ
1.1. Критически важные объекты и критические информационные инфраструктуры: понятийный аппарат и классификация
Критически важные объекты (КВО) – объекты, нарушение функционирования которых приводит к разрушению инфраструктуры, необратимому негативному изменению экономики страны, существенному ухудшению безопасности жизнедеятельности населения, на определенный территории на длительный срок [55].
Объект защиты – здание, помещение, процесс, технологическая установка, вещество, материал, транспортное средство, изделие [55].
Инфраструктура страны – совокупность объектов данного государства, расположенных на территории самой страны и иностранных государств, обеспечивающих функционирование институтов [55].
Критическая информационная инфраструктура (КИИ) – набор отдельных программно-аппаратных, сетевых и информационных компонентов, поддерживающих функциональность национально значимых для России сфер жизнедеятельности [55].
В Соглашении ШОС по информационной безопасности 2009 года критически важные
15