А.В. Бабаш, Е.К. Баранова

АКТУАЛЬНЫЕ  ВОПРОСЫ
ЗАЩИТЫ  ИНФОРМАЦИИ

Монография

Москва
РИОР

ИНФРА-М

УДК 621.391 
ББК 32.81
          Б12

УДК 621.391
ББК 32.81

Бабаш А.В., Баранова Е.К.

Актуальные вопросы защиты информации : монография / А.В. Ба-

баш, Е.К. Баранова. — М. : РИОР : ИНФРА-М, 2017. — 111 с. — (На-
учная мысль). — https://doi.org/10.12737/monography_58dbc380aa3a4

ISBN 978-5-369-01680-0 (РИОР)
ISBN 978-5-16-012879-5 (ИНФРА-М, print)
ISBN 978-5-16-102713-4 (ИНФРА-М, online)
Монография посвящена рассмотрению избранных аспектов совре-

менной защиты информации, в частности анализу, оценке, обработке 
рисков и управлению инцидентами информационной безопасности в 
соответствии с линейкой стандартов ISO/IEC 27000, а также криптогра-
фическим и теоретико-автоматным аспектам современной защиты ин-
формации. 

Представленные материалы будут полезны бакалаврам и магистран-

там высших учебных заведений, изучающим курсы «Информационная 
безопасность» и «Управление информационной безопасностью», а так-
же аспирантам и специалистам, интересующимся вопросами защиты 
информации.

ISBN 978-5-369-01680-0 (РИОР)
ISBN 978-5-16-012879-5 (ИНФРА-М, print)
ISBN 978-5-16-102713-4 (ИНФРА-М, online)

© Бабаш А.В., 
Баранова Е.К.

Б12

А в т о р ы :
Бабаш Александр Владимирович — д-р физ.-мат. наук, профессор, кафе-

дра информационной безопасности, Национальный исследовательский 
университет «Высшая школа экономики»;

Баранова Елена Константиновна — доцент, кафедра информационной 

безопасности, Национальный исследовательский университет «Высшая 
школа экономики»

Р е ц е н з е н т ы :
Баранов Александр Павлович — д-р физ.-мат. наук, академик Академии 

криптографии, профессор, Национальный исследовательский университет 
«Высшая школа экономики»;

Алиев Физули Камилович — д-р физ.-мат. наук, ведущий советник Главного 

управления развития информационных и телекоммуникационных технологий 
Министерства обороны Российской Федерации;

Хорев Павел Борисович — канд. техн. наук, профессор кафедры прикладной 

и бизнес-информатики ИМЭЭП НИУ МЭИ

ФЗ 
№ 436-ФЗ
Издание не подлежит маркировке 
в соответствии с п. 1 ч. 2 ст. 1

ВВЕДЕНИЕ 

Предлагаемая вашему вниманию монография –попытка авторов собрать 
в одной книге свои разработки последних лет по актуальным вопросам защиты 
информации. Возможно, материал монографии покажется читателю недоста-
точно однородным, но авторы включили в книгу лишь избранные исследования 
в области современной защиты информации, представляющие наибольший ин-
терес, как для авторов, так, мы надеемся, и для читателей. 
Первая глава монографии посвящена общим вопросам защиты ин-
формации, в частности, вопросам анализа, оценки и обработки рисков ин-
формационной безопасности (ИБ). 
В процессе оценки риска устанавливается значимость информацион-
ных активов, выявляются потенциальные угрозы и уязвимости, которые 
существуют или могут существовать; определяются существующие меры, 
средства контроля и управления, а также их воздействие на идентифициро-
ванные риски; определяются возможные ущербы от инцидентов информа-
ционной безопасности и, наконец, назначаются приоритеты установленным 
рискам, а также осуществляется их ранжирование по критериям оценки 
риска, зафиксированным при установлении контекста.  
Оценка риска часто проводится за две или более итерации. Сначала 
проводится высокоуровневая оценка для идентификации потенциально вы-
соких рисков, служащих основанием для дальнейшей оценки. Следующая 
итерация может включать дальнейшее углубленное рассмотрение рисков 
информационной безопасности. В тех случаях, когда полученная информа-
ция недостаточна для оценки риска, проводится более детальный анализ, 
возможно, по отдельным сферам деятельности компании, и с использовани-
ем различных методов оценки. 
Выбор подхода к оценке риска, в зависимости от поставленных задач 
и целей, осуществляет руководство компании. Варианты обработки риска 
должны выбираться исходя из результатов оценки риска, предполагаемой 
стоимости реализации этих вариантов и их ожидаемой эффективности. 
Должны реализовываться такие варианты, при которых значительное сни-
жение риска может быть достигнуто при оптимизации затрат на дополни-
тельные средства защиты информации.  
Ущерб от неблагоприятных последствий рисков необходимо снижать до 
разумных пределов независимо от каких-либо абсолютных критериев. Редкие, 
но серьезные риски должны рассматриваться руководством. В таких случаях 
может возникнуть необходимость реализации затратных мер и средств кон-
троля и управления (например, меры и средства контроля и управления не-
прерывностью бизнеса, для охвата высоких специфических рисков).  
Варианты обработки риска, предусмотренные ГОСТ Р ИСО/МЭК 
27005-20101, не являются взаимоисключающими. В отдельных случаях 

                                                 
1 ГОСТ Р ИСО/МЭК 27005-2010. Информационная технология. Методы и средства 
обеспечения безопасности. Менеджмент риска информационной безопасности.  

компания может получить значительную выгоду от объединения вариантов, 
таких, как снижение риска, уменьшение последствий или перенос остаточ-
ного риска. 
План обработки риска должен четко определять порядок приоритетов, 
при соблюдении которого должна реализовываться обработка отдельного 
риска. Порядок приоритетов может устанавливаться с использованием раз-
личных методов, включая ранжирование рисков и анализ показателя «за-
траты-выгоды». В обязанности руководства входит принятие решения о ба-
лансе между затратами на реализацию мер и средств контроля и управления 
и бюджетными отчислениями. В России в последние годы принят ряд стан-
дартов, регламентирующих деятельность по управлению рисками инфор-
мационной безопасности, перечислим лишь некоторые из них. 
ГОСТ Р ИСО/МЭК 13335-1-2006. «Информационная технология. Ме-
тоды и средства обеспечения безопасности. Концепция и модели менедж-
мента безопасности информационных и телекоммуникационных техноло-
гий». Данный документ представляет собой руководство по управлению 
безопасностью информационных и телекоммуникационных технологий 
(ИТТ), устанавливает концепцию и модели, лежащие в основе базового по-
нимания безопасности ИТТ, и раскрывает общие вопросы управления, ко-
торые важны для успешного планирования, реализации и поддержки безо-
пасности ИТТ. 
ГОСТ Р 51897-2011. «Менеджмент риска. Термины и определения». 
Содержит определения основных терминов в области менеджмента риска. 
Семейство ГОСТ Р ИСО/МЭК 27000, основанное и соответствующее 
семейству Международных Стандартов на системы управления информа-
ционной безопасностью ISO/IEC 27000. Эти стандарты определяют требо-
вания к системам управления информационной безопасностью, управлению 
рисками, метрики и измерения, а также руководство по внедрению.  
Появление новых и модернизация старых стандартов, утверждение в 
2016 году новой Доктрины информационной безопасности РФ, побудили 
авторов рассмотреть некоторые вопросы соответствия рекомендуемых ме-
тодик для анализа и оценки рисков ИБ, а также используемого для этой це-
ли программного инструментария новым требованиям нормативных доку-
ментов. 
В первой главе также рассматривается метод оценки защищенности, 
заключающийся в моделировании атаки злоумышленника с целью обнару-
жения уязвимостей в системе безопасности – тестирование на проникнове-
ние (англ. penetration testing, сокр. пентест). Данный метод является одним 
из наиболее активно применяемых на сегодня, поскольку он дает достаточ-
но точную оценку безопасности информационной системы (ИС).  
Во второй главе монографии представлены материалы по управлению 
инцидентами информационной безопасности. Тема управления инцидента-
ми информационной безопасности на сегодняшнии день является одной из 
наиболее обсуждаемых и актуальных для компаний. Это связанно с тем, что 
управление инцидентами ИБ является важнейшим процессом развития и 

совершенствования всей системы управления информационной безопасно-
стью (СУИБ). Именно процесс управления инцидентами ИБ позволяет оп-
ределить конкретные уязвимости ИБ организации, обнаружить следы атак и 
вторжений в информационную среду компании, что, в свою очередь, дает 
информацию о слабостях в системе защиты информации. Таким образом, 
управление инцидентами ИБ позволяет оценить эффективность СУИБ, оп-
ределить ключевые роли персонала в результате возникновения нештатных 
ситуаций и, главное, за минимальный промежуток времени принять необ-
ходимые меры для восстановления полноценной работы компании.  
Как показывает практика, необходимость своевременного выявления 
инцидентов и реагирования на них обусловлена тем, что на карту эффек-
тивного функционирования компании поставлены не только конфиденци-
альность, целостность и доступность информации, а, прежде всего, репута-
ция и финансы, которых может лишиться  компания, не идентифицировав 
инцидент, о котором сигнализировали средства защиты.  
Третья глава монографии посвящена отдельным аспектам криптогра-
фической защиты информации. Сюда включены подразделы, посвященные 
вопросам дальнейшего развития математической модели шифра Клода 
Шеннона, проблеме трактовки и расчету расстояния единственности шиф-
ра. В этой главе демонстрируется использование теоретико-автоматного 
языка и методов теории автоматов для оценки периодов выходных последо-
вательностей генераторов псевдослучайных чисел (на примере генератора 
Indirection Addition, IA). Приводится расширение круга шифров, для кото-
рых применимы идеи дешифрования Мицуру Мацуи ширатора DES2. Рас-
ширение границ применения идей Мацуи происходит за счет использования 
теоретико-автоматной модели блочных шифров, построенных на идеях 
Фейстеля3. Приводится алгоритм дешифрования с расчетом его трудоемко-
сти и надежности. 
Авторы монографии полагают, что представленные материалы будут 
полезны бакалаврам и магистрам высших учебных заведений, изучающим 
курсы «Информационная безопасность» и «Управление информационной 
безопасностью», а также аспирантам и специалистам, интересующихся во-
просами защиты информации.  
 
 
 

 
 

                                                 
2 Matsui M. Linear Cryptanalysis Method for DES. Eurocrypt,1993. Р. 24–27 
3 Horst Feistel. Cryptography and Computer Privacy, Scientific American, May 1973, 
Vol.228, No.5, P.15–23. 

ГЛАВА 1. ВОПРОСЫ УПРАВЛЕНИЯ РИСКАМИ 
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 

1.1. МЕТОДИКИ АНАЛИЗА И ОЦЕНКИ РИСКОВ 
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 

Риск информационной безопасности (information security risk) – «воз-
можность того, что данная угроза сможет воспользоваться уязвимостью ак-
тива или группы активов и тем самым нанесет ущерб организации»4.  
В соответствии с ГОСТ Р 51897-2011 «Менеджмент риска. Термины и 
определения» и международным стандартом ISO 27001-2013 «Система 
управления информационной безопасностью» – процесс управления риска-
ми представляет собой скоординированные действия по управлению и кон-
тролю организации в отношении риска информационной безопасности. 
Управление рисками включает в себя оценку риска, обработку риска, при-
нятие риска и сообщение о риске. 
Цель процесса оценивания рисков состоит в определении характеристик 
рисков по отношению к информационной системе  и ее ресурсам (активам). 
На основе полученных данных могут быть выбраны необходимые средства 
защиты. При оценивании рисков учитываются многие факторы: ценность ре-
сурсов, оценки значимости угроз и уязвимостей, эффективность существую-
щих и планируемых средств защиты и многое другое. 
Базовый уровень безопасности (baseline security) – обязательный мини-
мальный уровень защищенности для ИС. В ряде стран существуют критерии 
для определения этого уровня. В качестве примера приведем критерии Вели-
кобритании – CCTA Baseline Security Survey, определяющие минимальные 
требования в области ИБ для государственных учреждений этой страны. 
В Германии эти критерии изложены в стандарте BSI.  
Существуют критерии ряда организаций – NASA, X/Open, ISACA и дру-
гие. В нашей стране это может быть класс защищенности в соответствии с 
требованиями ФСТЭК России, профиль защиты, разработанный в соответст-
вии со стандартом ISO-15408, или какой-либо другой набор требований.  
Тогда критерий достижения базового уровня безопасности – это выпол-
нение заданного набора требований.  
Базовый (baseline) анализ рисков – анализ рисков, проводимый в соответ-
ствии с требованиями базового уровня защищенности. Прикладные методы 
анализа рисков, ориентированные на данный уровень, обычно не рассматри-
вают ценность ресурсов и не оценивают эффективность контрмер. Методы 
данного класса применяются в случаях, когда к информационной системе не 
предъявляется повышенных требований в области ИБ. 
Полный (full) анализ рисков – анализ рисков для информационных сис-
тем, предъявляющих повышенные требования в области ИБ. Включает в се-

                                                

4 ГОСТ Р ИСО/МЭК 27005-2010. Информационная технология. Методы и средства 

обеспечения безопасности. Менеджмент риска информационной безопасности. 

бя определение ценности информационных ресурсов, оценку угроз и уязви-
мостей, выбор адекватных контрмер, оценку их эффективности. 
Согласно ГОСТ Р ИСО/МЭК 27005-2010 процесс менеджмента ИБ 
состоит из этапов, представленных на рис. 1. 
 

Рис. 1.  Процесс менеджмента риска информационной безопасности  

в соответствии с ГОСТ Р ИСО/МЭК 27005-2010 

 
Согласно ГОСТ Р ИСО/МЭК 27005-2010 процесс оценки риска со-
стоит из анализа риска и собственно оценки риска.  
Анализ риска включает: идентификацию риска (определение активов, 
определение угроз, определение существующих мер и средств контроля и 
управления, выявление уязвимостей, определение последствий) и установ-
ление значения риска (оценка последствий, оценка вероятности инцидента, 
установление значений уровня рисков). 
Оценка рисков должна идентифицировать риски, определить количе-
ство и приоритеты рисков на основе критериев для принятия риска и целей, 
значимых для организации. 

Следуя рекомендациям ГОСТ Р ИСО/МЭК 27002-20125 оценки рис-
ков следует выполнять периодически, чтобы учитывать изменения в требо-
ваниях безопасности и в ситуации, связанной с риском, например, в отно-
шении активов, угроз, уязвимостей, воздействий, оценивания рисков.  
Прежде чем рассмотреть обработку некоего риска, компания должна 
выбрать критерии определения приемлемости или неприемлемости рисков.  
В процессе оценки риска устанавливается ценность информационных 
активов, выявляются потенциальные угрозы и уязвимости, которые сущест-
вуют или могут существовать, определяются существующие меры и средст-
ва контроля и управления и их воздействие на идентифицированные риски, 
определяются возможные последствия и, наконец, назначаются приоритеты 
установленным рискам, а также осуществляется их ранжирование по крите-
риям оценки риска, зафиксированным при установлении контекста6. 
В результате оценки риска согласно ГОСТ Р ИСО/МЭК 27003-20127 
необходимо: 
 определить угрозы и их источники; 
 определить существующие и планируемые меры и средства кон-
троля и управления; 
 определить уязвимости, которые могут в случае угрозы нанести 
ущерб активам или организации; 
 определить последствия потери конфиденциальности, сохранности, 
доступности, неотказуемости или нарушения других требований к 
безопасности для активов; 
 оценить влияние на предприятие, которое может возникнуть в ре-
зультате предполагаемых или фактических инцидентов информа-
ционной безопасности; 
 оценить вероятность чрезвычайных сценариев; 
 оценить уровень риска; 
 сравнить уровни риска с критериями оценки и приемлемости рис-
ков. 
Применяемая для оценки риска методология должна предусматривать 
действия, указанные ниже. 
1. Определение активов. 
2. Определение угроз. 
3. Выявление уязвимостей. 

                                                 
5 ГОСТ Р ИСО/МЭК 27002-2012. Информационная технология. Методы и средства 
обеспечения безопасности. Свод норм и правил менеджмента информационной безопас-
ности. 
6 Баранова Е. К., Чернова М.В. Сравнительный анализ программного инструмента-
рия для анализа и оценки рисков информационной безопасности // Проблемы информа-
ционной безопасности. Компьютерные системы. – 2014. – № 4. – С.160–168. 
7 ГОСТ Р ИСО/МЭК 27003-2012. Информационная технология. Методы и средства 
обеспечения безопасности. Системы менеджмента информационной безопасности. Ру-
ководство по реализации системы менеджмента информационной безопасности. 

4. Определение последствий. 
5. Оценка вероятности инцидента. 
6. Установление значений уровня рисков. 
7. Соотнесение рисков с критериями. 
8. Определение мер обработки риска. 
Схема деятельности по обработке риска показана на рис. 2.  
 

 
Рис. 2. Деятельность по обработке риска в соответствии  
с ГОСТ Р ИСО/МЭК 27005-2010 
 
Помимо указанных действий в организации должен предусматривать-
ся и мониторинг рисков. 
Должны подвергаться мониторингу и переоценке риски и их факторы 
(т.е. ценность активов, влияние, угрозы, уязвимости, вероятность возникно-
вения) с целью определения любых изменений в контексте организации на 
ранней стадии, и должно поддерживаться общее представление о всей кар-
тине риска. Процесс менеджмента риска ИБ подлежит постоянному мони-
торингу, анализу и улучшению. 
При анализе рисков, ожидаемый ущерб, в случае реализации угроз, срав-
нивается с затратами на меры и средства защиты, после чего принимается 
решение в отношении оцениваемого риска, который может быть:  

 снижен, например, за счет внедрения средств и механизмов защиты, 
уменьшающих вероятность реализации угрозы или коэффициент 
разрушительности; 
 сохранен (принят), как приемлемый для рассматриваемого объекта 
оценки; 
 предотвращен, за счет отказа от использования  подверженного уг-
розе ресурса; 
 перенесен, например, застрахован, в результате чего в случае реали-
зации угрозы безопасности, потери будет нести страховая  компа-
ния, а не владелец ресурса. 
Наиболее трудоемким является процесс оценки рисков, который условно 
можно разделить на следующие этапы: идентификация риска; анализ риска; 
оценивание риска8.  
На рис. 3 схематично изображен процесс оценки рисков информацион-
ной безопасности9. Идентификация риска заключается в составлении переч-
ня и описании элементов риска: объектов защиты, угроз, уязвимостей.  
Принято выделять следующие типы объектов защиты: информационные 
активы; программное обеспечение; физические активы; сервисы; люди, а 
также их квалификации, навыки и опыт; нематериальные ресурсы, такие как 
репутация и имидж организации.  
Как правило, на практике рассматривают первые три группы. Остальные 
объекты защиты не рассматриваются в силу сложности их оценки.  
На этапе идентификации рисков так же выполняется идентификация уг-
роз и уязвимостей.  
В качестве исходных данных для этого используются результаты ауди-
тов; данные об инцидентах информационной безопасности; экспертные 
оценки пользователей, специалистов по информационной безопасности, ИТ-
специалистов и внешних консультантов.  
Информация, полученная на этапе идентификации рисков, используется в 
процессе анализа рисков для определения: 
 возможного ущерба, наносимого организации в результате наруше-
ний безопасности активов; 
 вероятности наступления такого нарушения; 
 величины риска. 
Величина возможного ущерба формируется с учетом стоимости активов 
и тяжести последствий нарушения их безопасности.  
Второй составляющей, формирующей значение возможного ущерба, яв-
ляется тяжесть последствий нарушения безопасности активов. Учитываются  

                                                 
8 ГОСТ Р ИСО/МЭК 13335-1-2006. Информационная технология. Методы и 
средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безо-
пасности информационных и телекоммуникационных технологий. 
9 Баранова Е.К. Методики и программное обеспечение для оценки рисков в сфере 
информационной безопасности // Управление риском. – 2009. –  № 1(49). – С.15–26.