66
где Rij — ранг (место), данный фактору Oij-м экспертом в ряду из n-
изученных объектов, поставленным этим экспертом по степени выражения
анализируемого свойства. Возможно двум и более факторам иметь одинаковый ранг,
но тогда он имеет вид дроби. Сводные оценки весовых коэффициентов получаются
по итогу усреднения частных рангов по столбцам.
Плюсы подобного метода состоят в его простоте, но это не всегда тот случай,
когда простота влияет положительно, поскольку усреднение рангов приводит к
более грубым оценкам весовых коэффициентов в сравнении с остальными
методиками. Также он не избавляет эксперта от обязанности контроля всех
факторов, как и в случае прямой расстановки.
Передача коэффициентов факторам. В этом методе экспертам предлагается
провести оценку факторов по некоторой балльной шкале, к примеру, от 1 до 10. В
итоге получаем:
где y
ij
— балльная оценка фактора, переданная от j-го эксперта, n — сумма
факторов, m— количество экспертов.
Сводные оценки весовых коэффициентов находят зачатую методом подбора
соответствующей регрессионной модели. Среднюю оценку w
i
весовых
коэффициентов факторов получают по тривиальным формулам:
где wij — вес i-го объекта, исходящий из оценок всех экспертов;
67
где xij — оценка фактора i, приведенная экспертом j; п — число факторов, m
— количество экспертов.
Такой метод в какой-то степени делает более слабой зависимость оценки
отдельного фактора от остальных, но не полностью избавляет от нее, т.к.
сопоставлять факторы необходимо, иначе коэффициенты значимости не будет
возможности расставить корректно.
Частично минимизировать приведённые выше сложности был призван метод
анализа иерархий (МАИ), созданный Т. Саати в 80-х XX века. Суть метода состоит
в следующем. Факторы рассматриваются между собой по парам относительно друг
друга по их влиянию на итоговую цель. При этом оказываемое влияние остальных
факторов во внимание не берется. Для попарного сравнения факторов методом
Саати выделена специальная оценочная шкала, включающая 5 основных и 4
промежуточных суждений. В ней доводы экспертов выделялись следующим
образом (табл. 1.12):
Таблица 1.12
Специфика экспертных сравнений соотношения факторов
Суждение
Пояснение
1. Одинаковая важность
Одинаковый вклад факторов в итоговую цель
2. ...
Дополнительное выражение
3. Небольшое превосходство
Суждение и опыт дают легкое превосходство
одного фактора над остальными
4. ...
Дополнительное выражение
5. Ощутимое превосходство
Чувствительное доминирование одного фактора
над остальными
6. ...
Дополнительное выражение
7. Повышенное превосходство
Есть почти значительное превосходство одного
фактора над остальными
8. ...
Дополнительное выражение
9. Наивысшее превосходство
Есть уверенное превосходство одного фактора над
остальными
Итоги подобных парных сравнений представлены в виде квадратной матрицы
с диагональю, равной 1 (сравнение фактора самого с собой равно числу 1).
Тут «а» становится отношением оценок конкретных элементов; индексы i и j
варьируются от единицы до величины, равной сумме факторов. Т.к. при
последовательном переборе всех доступных пар факторы соотносятся между собой
два раза (ai с aj, затем наоборот), при подготовке матрицы должно быть верным
68
условие «обратной симметричности»: . Из этого следует, что вполне хватит
заполнить только одну часть матрицы — которая находится выше или ниже
диагонали, что не имеет конкретного значения ввиду простого пересчета взаимно
обратных параметров. Если изучать n факторов, то всего будет доступно
значащих сочетаний.
В МАИ для кодирования применяется номер конкретной строки таблицы 1.
Любое из указанных суждений кодируется в диапазоне чисел от 1/9 до 9.
Вычисление весов реализуется разными способами. Одним из доступных
методов аппроксимации вектора весов служит вычисление отдельного вектора
матрицы парных сравнений, обычно соответствующему большему собственному
числу. Подобные алгоритмы получения собственного вектора являются подробно
изученными, и описание их находится либо в монографиях, либо в другой
литературе.
Метод МАИ имеет собственные параметры выражения качества работы
эксперта — индекс согласованности (ИС), дающий данные об уровне нарушения
численной и порядковой логичности экспертных суждений. Контроль
кардинальности состоит в учете конкретных числовых характеристик, отклонение
от которых говорит о наличии ошибок в процессе передачи экспертных суждений.
Поэтому, если созданы отдельные правила кодировки экспертных суждений, к
примеру, от 0 до 1, то экспертные суждения не могут выходить за рамки указанных
в этих правилах множеств значений, т. е. быть больше единицы или
отрицательными. Расположение по порядку помогает понять логику обоснований
эксперта. В случае, если эксперт считает, что фактор А лучше фактора Б, а фактор
Б, в свою очередь, лучше фактора В, то при парном сравнении фактор В не может
быть лучше фактора А, т. е. выполняется неравенство А > Б > В. Несогласованность
является значимым ограничивающим фактором для изучения отдельных проблем.
ИС вычисляется таким образом: совместно с матрицей парных сравнений есть
мера оценки степени отклонения от нужного значения. ИС в каждой матрице для
каждой иерархии оценивается приближенно, с применением формулы:
69
где X — собственное число, n — число сравниваемых факторов. ИС
сравнивается с величиной, полученной при случайном выборе количественных
величин, которая трактуется как средняя. Средние согласованности (СС) для
случайных матриц разного порядка приведены в табл. 2, где n — число факторов.
Таблица 1.13
Средние согласованности (СС) для случайных матриц разного порядка
n
1
2
3
4
5
6
7
8
9
10
СС
0
0
0,58
0,90
1,12
1,24
1,32
1,41
1,45
1,49
Если разделить ИС на СС для матрицы того же порядка, то получим
отношение согласованности (ОС)
Вначале кажется, что МАИ является оптимальный вариантов для решения
множества различных задач, где методы экспертного анализа применяются как
ключевые. Это в большинстве своем так и получается, и мы укажем основные
причины этого.
Попарные сравнения. Попарные сравнения вещей можно найти и в природе
человека. Минимальная необходимость всегда держать во внимании все факторы
или, к примеру, часть некоторых факторов, позволяет эксперту уделять больше
внимания отдельной проблеме: как фактор Aj обгоняет фактор Bj или отстает от
него. Поэтому можно получать более точные итоги.
Дополнительность начальной матрицы. В практике анализа системы часто
возникают ситуации, когда число явных факторов корректируется. Связано это с
периодичностью природных процессов, а также с корректировкой социально-
экономических факторов. Тогда требуется добавлять, уменьшать или менять один
фактор на другой. В рамках применения МАИ такое ведет к обязательности
сравнения созданных пар или же к вычитанию строк и столбцов матрицы парных
сравнений ранее убранных из анализа факторов, т. е. к реализации матричного
минора. Все итоги прошлых опросов отражаются, и обновления всей анкеты, как это
происходит в других вариантах, не требуется. Исходя из того, что процедура МАИ,
часто ведет к поиску своего вектора требуемой матрицы, относящемуся к
70
наибольшему собственному значению, со стороны технической реализации
включение сторонних факторов считается повышением размерности отдельного
линейного пространства из-за применения сторонних слагаемых.
Вербально-числовая шкала. Классические числовые шкалы зачастую не
справляются со сравнением факторов, находящихся в разных величинах и сферах.
Трудно сравнить факторы, итогами которых, изначально, приводятся качественные
параметры, а затем - количественные. Зачастую используемая шкала Харрингтона
имеет на входе лишь некоторые суммарные параметры, которые могут
корректироваться в диапазоне от 0 до 1. Вербально-числовые шкалы, куда и
относится шкала Саати, реализована для оценки таких нестыковок показателей
базовых факторов.
Доступный критерий качества деятельности специалиста. По факту оценки,
эксперты часто нуждаются в проверке. Чаще всего для этого применяются разные
числовые параметры, реализованные для групповых и персональных опросов. При
этом вопрос наилучшего критерия остается открытым, да и выбор его доступен. В
этом смысле перенос в МАИ параметра отношения согласованности несет некие
удобства, особенно хорошо это отражается в процессе реализации автоматического
программного комплекса.
Недостатки методики: не все выигрышные стороны МАИ так явно видны.
Есть ряд вопросов при анализе итогов, и связаны они, чаще всего, с оцениванием
корректности работы эксперта — с уровнем согласованности.
Использование транзитивности для качественных параметров. Она может
отлично справится в том случае, когда все параметры анализируемой системы
выступают в качестве числовых величин. Но в случае, если это не так,
транзитивность чаще всего переходит в борьбу с логикой исследователя.
«Обратная» логика. Процент качества работы эксперт, а также отношение
согласованности основываются на корректировке явно определенной
характеристики, например, математического ожидания. Как и любой критерий,
имеющий стабильный характер, отношение согласованности формально и зачастую
приводит к интерпретируемым итогам.
Целью сравнения в данном случае является выбор наиболее соответствующей
DLP системы для предотвращения утечек в информационной системе компании. Для
71
этого сравним три из четырех рассмотренных ранее систем защиты от утечек
информации, а именно Zecurion DLP, Symantec DLP, Гарда Предприятие по десяти
независимым характеристикам (три канала утечек, шесть методов предотвращения
утечек информации, а также наличие сертификации).
Данные, которые необходимы эксперту для определения функциональности
каждой из систем, для настоящего сравнения получены с сайтов производителей, из
документации и по результатам тестирования ознакомительных версий программ.
Для определения приоритетов составляются матрицы попарных сравнений
(таблица 1.14). Экспертные данные сформулированы на основании выше
изложенной информации (характеристиках сравниваемых DLP-систем и
представлениях об объекте защиты). Сравнения проводились по шкале значимости
от 1 до 9 (1 - одинаковая значимость, 3 - незначительное превосходство и т. д.,
обратные величины - если сравниваемый объект уступает в данной характеристике).
Таблица 1.14
Матрица попарных сравнений
Канал
1
Канал
2
Канал
3
Метод
1
Метод
2
Метод
3
Метод
4
Метод
5
Метод
6
Серт.
Канал
1
1
1/3
1/5
1
1
1
1
1
1
1/3
Канал
2
3
1
1/3
1
1
1
1
1
1
1/3
Канал
3
5
3
1
1
1
1
1
1
1
1/3
Метод
1
1
1
1
1
1/9
1/7
1/7
1/7
1/7
1/3
Метод
2
1
1
1
9
1
5
3
1
3
1/3
Метод
3
1
1
1
7
1/5
1
1
1/5
1/7
1/3
Метод
4
1
1
1
7
1/3
1
1
1/5
1/7
1/3
Метод
5
1
1
1
7
1
5
5
1
1/3
1/3
Метод
6
1
1
1
7
1/3
7
7
3
1
1/3
Серт.
3
3
3
3
3
3
3
3
3
1
72
Для каждой из матриц N определяется нормализованный вектор локальных
приоритетов, со следующими компонентами:
(1)
где n размерность матрицы — aj элемент -i-ой строки матрицы. Таким
образом, матрице N сопоставляется вектор а.
Нормирование компонент осуществляется путем деления каждой компоненты
вектора а на сумму всех компонент этого вектора:
(2)
Далее считаются приоритеты для сравнения альтернатив по всем критериям
(таблица 1.14).
Таблица 1.15
Приоритеты сравнения альтернатив по всем критериям
Канал
1
Канал
2
Канал
3
Метод
1
Метод
2
Метод
3
Метод
4
Метод
5
Метод
6
Серти-
Фика-
ция
A
0,08
0,33
0,26
0,33
0,14
0,08
0,08
0,33
0,09
0,08
B
0,46
0,33
0,1
0,33
0,72
0,46
0,46
0,33
0,45
0,18
C
0,46
0,33
0,64
0,33
0,14
0,46
0,46
0,33
0,45
0,73
Полученный вектор приоритетов для сравнения значимости критериев между
собой приведен в таблице 1.15.
Таблица 1.16
Приоритеты значимости критериев
Канал
1
Канал
2
Канал
3
Метод
1
Метод
2
Метод
3
Метод
4
Метод
5
Метод
6
Сертифика
ция
0,059
0,077
0,1
0,02
0,13
0,057
0,059
0,116
0,139
0,23
Перемножив одну матрицу на другую, получаем итоговый вектор
приоритетов для альтернатив (А - 0,17; B - 0,36; C - 0,46).
По результатам проведенных вычислений получаем значения общего
ранжирования альтернатив:
A = 0,17; B =0,36; C = 0,46.
Таким образом, наиболее приемлемой альтернативой для оценивающего
эксперта является DLP-система Гарда Предприятие.
73
На основании представленных характеристик для рассматриваемого
предприятия наиболее подходит Гарда Предприятие.
74
2 Проектная часть
2.1 Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия
2.1.1 Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия
Основным источником права в области обеспечения информационной
безопасности Российской Федерации является Конституция Российской Федерации.
Согласно Конституции Российской Федерации:
каждый имеет право на неприкосновенность частной жизни, личную и
семейную тайну, на тайну переписки, телефонных переговоров, почтовых,
телеграфных и иных сообщений (статья 23);
сбор, хранение, использование и распространение информации о
частной жизни лица без его согласия не допускаются (статья 24);
каждый имеет право свободно искать, получать, передавать,
производить и распространять информацию любым законным способом, перечень
сведений, составляющих государственную тайну, определяется федеральным
законом (статья 29);
каждый имеет право на достоверную информацию о состоянии
окружающей среды (статья 42).
В то же время, согласно статье 55 Конституции Российской Федерации права
и свободы человека и гражданина могут быть ограничены федеральным законом,
если это необходимо в целях защиты основ конституционного строя,
нравственности, здоровья, прав и законных интересов других лиц, обеспечения
обороны страны и безопасности государства.
Одним из основных способов обеспечения информационной безопасности
Российской Федерации является защита информации.
Система нормативных правовых актов Российской Федерации в области
защиты информации включает в себя законы, подзаконные акты (указы и
распоряжения Президента Российской Федерации и постановления и распоряжения
Правительства Российской Федерации, нормативные правовые акты федеральных
органов исполнительной власти), а также ряд двусторонних и многосторонних
75
международных договоров Российской Федерации, являющихся согласно
Конституции Российской Федерации составной частью ее правовой системы.
Основными законодательными актами в данной области являются:
аконы Российской Федерации “О средствах массовой информации”, “О
государственной тайне”, “Основы законодательства об архивном фонде Российской
Федерации и архивах”, “О правовой охране топологий интегральных микросхем”,
“О правовой охране программ для электронных вычислительных машин и баз
данных”, “Об авторском и смежных правах”, Патентный закон;
федеральные законы “Об информации, информатизации и защите
информации”, “О связи”, “Об обязательном экземпляре документов”, “Об участии в
международном информационном обмене”.
Кроме того, нормы, регулирующие отношения в области защиты
информации, имеются в ряде кодексов (Гражданском, Гражданско-процессуальном,
Уголовном, Уголовно-процессуальном, Таможенном, Налоговом, Семейном и
других), в законодательных актах, устанавливающих правовой статус ряда
государственных органов, например в законах “О Центральном банке Российской
Федерации, “О федеральных органах правительственной связи и информации”, а
также в ряде других федеральных законов.
«Базовым» законодательным актом, регулирующим отношения в
информационной сфере (в том числе связанные с защитой информации), является
Федеральный закон «Об информации, информатизации и защите информации»,
принятый в 2006 году.
В Законе даны определения важнейших терминов в информационной сфере.
Согласно статье 2 Закона информация – это сведения о лицах, предметах, фактах,
событиях, явлениях и процессах независимо от формы их представления.
Среди объектов регулирования центральное место занимают:
«документированная информация (документ) – зафиксированная на
материальном носителе информация с реквизитами, позволяющими ее
идентифицировать»;
«информационные ресурсы – отдельные документы и отдельные
массивы документов, документы и массивы документов в информационных