.png&w=384&q=75)
Введение
Исследование выполнено на базе Федерального казённого учреждения «Главное бюро медико-социальной экспертизы по Республике Башкортостан» (далее – ФКУ «ГБ МСЭ по Республике Башкортостан»). Цель работы – подготовить проект политики информационной безопасности (ИБ) на основе анализа внутренних журналов событий и результатов модельных расчётов.
Методическую основу составили подходы, изложенные в международных стандартах ISO/IEC 27005 и NIST SP 800-30 [2, 3]. Эти документы задают общую логику управления рисками: от идентификации угроз и оценки уязвимостей до выбора мер защиты и последующего пересмотра остаточного риска.
Учреждение использует государственную информационную систему «Единая централизованная цифровая платформа» в социальной сфере (далее – ЕЦП), оператором которой выступает Социальный фонд России. Поскольку серверная часть ЕЦП находится в зоне ответственности оператора платформы, основной акцент в работе сделан на оценке рисков для локальных рабочих мест и чётком разграничении полномочий между учреждением и оператором.
Материалы и методы
Исходные материалы – сведения из внутренних журналов регистрации событий ИБ ФКУ «ГБ МСЭ по Республике Башкортостан» за 2021–2025 годы [1]. Из журналов отобрано 18 записей, где единицей наблюдения выступает событие, а не гражданин и не его личное дело. Это позволяет анализировать процессы защиты без обработки избыточных персональных данных. Полный реестр событий носит конфиденциальный характер и в статье не раскрывается. В таблице 1 для иллюстрации приведены три характерные записи, отражающие основные категории зафиксированных инцидентов.
Таблица 1
Фрагмент систематизированного реестра событий
Дата | Подразделение | Категория | Суть события и последствия | Принятые меры |
14.03.2021 | Удалённое районное бюро (г. Бирск) | Доступ к автоматизированному рабочему месту | Сотрудник оставил сеанс открытым; посетитель просмотрел данные другого гражданина (утечка персональных данных одного человека) | Внеплановый инструктаж; ужесточён контроль за блокировкой сеансов |
16.04.2022 | Удалённое районное бюро (г. Кумертау) | Потеря токена | Токен оставлен в кармане одежды в общем гардеробе и утерян (риск несанкционированного доступа) | Сертификат отозван; введено правило хранения токенов в сейфе |
12.09.2023 | Удалённое районное бюро (г. Туймазы) | Социальная инженерия | Переход по ссылке из фишингового письма и ввод учётных данных (компрометация учётной записи на 2 часа) | Сброс пароля; проведён тренинг по фишингу |
Организационная структура учреждения включает административный аппарат, городские и удалённые районные бюро. Анализ выборки показал, что распределение событий по годам неравномерно: в 2021-2022 годах фиксировалось по 11,1% от общего числа событий, в 2023 году – 22,2%, а в 2024-2025 годах – по 27,8%. При этом наибольшая доля инцидентов (50%) приходится на удалённые районные бюро. Однако эти данные не нормированы на нагрузку подразделений, поэтому вывод о систематически более высоком риске в удалённых бюро делать преждевременно.
Качественный анализ категорий выявил приоритетные зоны. Пять из 18 событий (27,78%) связаны с передачей кода доступа, хищением или утратой носителя квалифицированной электронной подписи (КЭП), а также зафиксированы две попытки социальной инженерии (в одной из них данные были раскрыты). Важно, что число записей не равно числу утечек: выборка включает как реализованные нарушения, так и предотвращённые попытки, характеризуя поток зафиксированных событий. Для количественной оценки выбран канал компрометации учётной записи. В качестве метода применена непрерывная марковская цепь [5, с. 4-6] с поглощающим состоянием, интенсивности переходов которой заданы на основе статистики и сценарных допущений.
Модель и результаты расчета
Для оценки риска использована непрерывная марковская цепь. Вектор вероятностей нахождения системы в каждом из состояний в момент времени t обозначен p(t). Итоговый показатель p4(H) означает вероятность того, что за горизонт времени H (в данном исследовании – один год, 8760 часов) произойдёт раскрытие защищаемых сведений, то есть переход в поглощающее состояние.
Интенсивность возникновения попыток (λ₀₁) рассчитана на основе двух зарегистрированных случаев социальной инженерии за пять лет и составляет 4,566·10⁻⁵ ч⁻¹. Остальные параметры заданы как сценарные допущения: их значения соответствуют экспертным оценкам типовых сроков реагирования (например, μ₂₀ = 0,125 ч⁻¹ – среднее время локализации около 8 ч, μ₂₀ = 0,50 ч⁻¹ – около 2 ч) и соотносятся с характером записей таблицы 1. Различия между сценариями касаются только параметров, на которые влияют предлагаемые меры (μ₁₀, λ₂₃, μ₂₀, μ₃₀); параметры λ₁₂ и λ₃₄ во всех сценариях приняты одинаковыми.
Таблица 2
Параметры сценариев и результаты моделирования
Параметр (физический смысл) | Обозначение | Базовый | Локальные меры | Централизованные меры |
Раскрытие учётных данных | λ12, ч−1 | 0,50 | 0,25 | 0,25 |
Распознавание и пресечение попытки | μ10, ч−1 | 0,50 | 0,75 | 0,75 |
Вход в систему с украденными данными | λ23, ч−1 | 1,00 | 1,00 | 0,10 |
Блокировка после раскрытия данных | μ20, ч−1 | 0,125 | 0,50 | 0,50 |
Переход от сеанса к утечке сведений | λ34, ч−1 | 0,50 | 0,50 | 0,50 |
Пресечение опасного сеанса | μ30, ч−1 | 0,10 | 0,25 | 0,25 |
Вероятность утечки за год | p4(H), % | 13,76 | 4,35 | 1,10 |
Расчёты показали, что при реализации только локальных организационных мер (обучение, ускорение блокировки) модельная годовая вероятность утечки снижается с 13,76% до 4,35% (снижение на 68,43%). При реализации мер, согласованных с оператором платформы, она составляет 1,10% (снижение на 91,98% относительно базового сценария).
Для проверки корректности вычислений вероятности для заданных сценарных параметров были рассчитаны двумя независимыми методами. Первый метод основан на численном решении системы уравнений с использованием метода униформизации (реализован в среде Microsoft Excel). Второй метод предполагает прямое вычисление матричной экспоненты. Сопоставление результатов показало их совпадение с расхождением не более 10−7, что подтверждает согласованность вычислений, но само по себе не подтверждает достоверность исходных сценарных допущений.
Таким образом, модельные результаты показывают потенциальную пользу предложенных мер при заданных предпосылках. Снижение годовой вероятности раскрытия защищаемых сведений с 13,76% до 1,10% в централизованном сценарии соответствует её уменьшению более чем в 12 раз. Этот результат служит количественным обоснованием проекта политики ИБ; фактический эффект требует проверки при внедрении.
Следует подчеркнуть, что полученные проценты относятся только к выбранному каналу (компрометация учётной записи) и не описывают совокупный риск учреждения. Отдельно отметим, что детализация исходного реестра событий ограничена режимом конфиденциальности учреждения; в статье приведены сводные показатели и иллюстративные примеры.
Сформулируем основные ограничения модели. Во-первых, цепь однородна: интенсивности переходов приняты постоянными и не зависят от времени и нагрузки подразделения. Во-вторых, модель описывает только канал компрометации учётной записи и не учитывает другие каналы утечки. В-третьих, события рассматриваются как независимые, без корреляции (например, серия фишинговых рассылок по одному подразделению). В-четвёртых, значения λ и μ, кроме λ₀₁, являются сценарными допущениями, поэтому полученные проценты следует трактовать как оценку потенциала мер, а не как прогноз фактической утечки.
Практическое применение
На основе выявленных приоритетов разработан проект политики информационной безопасности, учитывающий специфику учреждений социальной сферы. Политика базируется на четырёх ключевых требованиях: принцип минимально необходимых прав с их своевременным отзывом; персональный учёт носителей ключей электронной подписи; защита локальных рабочих мест и бумажного документооборота; регулярное обучение сотрудников.
Важным элементом политики является чёткое разграничение ответственности [4, с. 6-8]. Руководитель подразделения обосновывает служебную необходимость доступа, ответственный за информационную безопасность проверяет его допустимость, а системный администратор исполняет решение в пределах своих технических полномочий. В условиях использования централизованной платформы это особенно важно: заявка оператору на блокировку сеанса не равна самой блокировке, поэтому до подтверждения от оператора доступ может оставаться активным.
Для оценки результативности мер предусмотрен пилотный проект в подразделениях трёх групп с контролем четырёх показателей: охват обучением, полнота карточек событий, сроки отзыва прав доступа и время локализации инцидентов. При сравнении периодов до и после внедрения учитываются нагрузка подразделений и полнота регистрации: рост числа сообщений может отражать улучшение выявления угроз, а не ухудшение ситуации.
Заключение
Предложенная политика связывает анализ выборки событий, выбор мер защиты и распределение ответственности между учреждением и оператором платформы. Разработанный проект политики ИБ включает регламент управления доступом (принцип минимально необходимых прав и разделение ролей), порядок обращения с носителями квалифицированной электронной подписи, процедуры реагирования на инциденты с разделением зон ответственности, а также программу обучения сотрудников и план пилотного внедрения с измеримыми показателями. Расчёты показывают потенциал предложенных мер в рамках выбранного канала – снижение риска более чем в 12 раз.
.png&w=640&q=75)
