Архитектура программы оценки рисков информационной безопасности в ERP-системах
Белозёрова А.А.
Оладько В.С.
Микова С.Ю.
Нестеренко М.А.
Аннотация
Дано определение ERP-системы и информационной безопасности. Разработана архитектура программы оценки рисков ИБ в ERP-системе. Выделены основные функции программы.
Ключевые слова: ERP-система, защита информации, оценка риска, архитектура программ.
На базе современных компьютерных технологий создано поколение систем управления, именуемое ERP (Enterprise Resource Planning) - планирование ресурсов предприятия, то есть системы управления ресурсами. Такие системы предоставляют возможность работать на интегрированном информационном поле множеству удаленных пользователей. В ERP-системах, как в центральной информационной системе предприятия, сосредоточено большое количество конфиденциальной информации. Раскрытие данной информации или нарушение таких составляющих информационной безопасности как доступность и целостность может принести предприятию значительный ущерб. Поэтому исследования проблемы информационной безопасности особенно актуальны для ERP-систем. управление информационный пользователь
Информационная безопасность - состояние сохранности информационных ресурсов и защищенности законных прав личности и общества в информационной сфере. Управление информационной безопасностью имеет большое значение для любой организации, поэтому оценка рисков информационной безопасности является неотъемлемой частью при использовании или внедрении ERP. В рамках проводимого исследования проблем информационной безопасности (ИБ) ERP-систем [1] авторами была разработана программа оценки рисков ИБ ERP-системе. Программа имеет графический пользовательский интерфейс и представляет собой инструментальное средство, которое лицо, ответственное за обеспечение информационной безопасности в организации (специалист по защите информации, риск-менеджер, руководитель и др.), может использовать в процессе оценки рисков ИБ, внутреннего аудита и/или управления ИБ.
Основными функциями программы являются:
- идентификация активов ERP-системы и оценка их стоимости;
- идентификация угроз и составление модели угроз для ERP-системы;
- оценка частного риска для каждой угрозы и оценка общего уровня риска;
- классификация рассчитанных рисков ИБ в ERP-системе;
- формирование отчетов и рекомендаций по обработке рисков ИБ в ERP-системе.
При реализации проекта программы оценки риска ИБ в ERP-системе, была разработана модульная архитектура, объединяющая схожие функции в отдельные модули, см. рисунок 1.
Рис. 1. Архитектура программы оценки риска ИБ в ERP-системе
Пользовательский интерфейс имеет графический вид и предназначен для ввода данных, вывода результатов и организации взаимодействия пользователя с программой, см. рисунок 2.
Рис. 2. Пример пользовательского интерфейса
Модуль сбора информации об активах ERP-системы, на основании опросного листа (анкеты), заполняемой пользователям, формирует список активов ERP-систем, с указанием их типа. Позволяет внести данные о капитале предприятия. Позволяет оценить стоимость активов и рассчитать ценность каждого актива.
Модуль составления модели актуальных угроз позволяет выбрать из списка потенциально возможных угроз угрозы, которые будут наиболее актуальны для исследуемой ERP-системы. Экспертным путем им присваиваются такие характеристики как частота реализации и коэффициент разрушительности, рассчитывается на основании матрицы перекрытия угроз механизмами защиты вероятность реализации угрозы.
Модуль оценки рисков, на основании данных о ценности идентифицированных активов ERPсистемы, модели актуальных угроз, производит комплексную оценку и классификацию рисков ИБ. Формирует отчет и список рекомендаций по обработке риска.
Программа может использоваться в качестве инструментального средства поддержки принятия решений при внутреннем аудите ИБ в ERP-системах, управлении ИБ на предприятии и при обучении на лабораторном практикуме в качестве стенд-макета.
Литература
1. Оладько В.С., Микова С.Ю., Белозерова А.А., Нестеренко М.А. Проблемы информационной безопасности при использовании ERP-систем // Молодой ученый, 2016. № 12. С. 346-348.