vdgtuВестник Дагестанского государственного технического университета. Технические наукиHerald of Dagestan State Technical University. Technical Sciences2073-61852542-095XDaghestan State Technical University10.21822/2073-6185-2023-50-4-85-92vdgtu-1394Research ArticleИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ И ТЕЛЕКОММУНИКАЦИИINFORMATION TECHNOLOGY AND TELECOMMUNICATIONSСпособы оценки уровня защищенности программного обеспечения автоматизированных систем органов внутренних дел и направления их совершенствованияMethods for assessing the level of security of software of automated systems of internal affairs bodies and directions for their improvementДровниковаИ. Г.DrovnikovaI. G.

Дровникова Ирина Григорьевна - доктор технических наук, доцент, профессор кафедры автоматизированных информационных систем органов внутренних дел.

394065, Воронеж, пр. Патриотов, 53

Irina G. Drovnikova - Dr. Sci.(Eng.), Assoc. Prof., Prof., Department of Automated Information Systems of Internal Affairs Bodies.

53 Patriotov Ave., Voronezh 394065

idrovnikova@mail.ruПоповаА. Д.PopovaA. D.

Попова Арина Дмитриевна - адъюнкт кафедры автоматизированных информационных систем органов внутренних дел.

394065, Воронеж, пр. Патриотов, 53

Arina D. Popova - Adjunct, Department of Automated Information Systems of Internal Affairs Bodies.

53 Patriotov Ave., Voronezh 394065

arnpva@mail.ruВоронежский институт МВД РоссииРоссияVoronezh Institute of the Ministry of Internal Affairs of RussiaRussian Federation2023210120245048592Copyright © Дровникова И.Г., Попова А.Д., 20242024Дровникова И.Г., Попова А.Д.Drovnikova I.G., Popova A.D.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.dgtu.ru/jour/article/view/1394

Цель. Целью статьи является анализ существующих способов и процедур, используемых для оценивания уровня защищенности программного обеспечения автоматизированных систем, на основе исследования научной литературы, международных и отраслевых стандартов РФ по информационной безопасности автоматизированных систем, руководящих и методических документов Федеральной службы по техническому и экспортному контролю России, а также ведомственных приказов по вопросам защиты информации от несанкционированного доступа на объектах информатизации органов внутренних дел. Метод. Для достижения поставленной цели использован метод системного анализа подходов, применяемых при оценивании уровня защищенности программного обеспечения в автоматизированных системах. Результат. Представлены результаты анализа основных подходов к оцениванию уровня защищенности программного обеспечения в автоматизированных системах. Обоснована целесообразность объединения рассмотренных подходов для проведения количественной оценки уровня защищенности программного обеспечения на объектах информатизации органов внутренних дел в режиме реального времени с учетом уязвимостей в используемых программных средствах. Вывод. Полученные результаты могут быть использованы для формирования показателей уровня защищенности программного обеспечения в автоматизированных системах органов внутренних дел и разработки методики их расчета с учетом фактора времени.

Objective. The purpose of the article is to analyze existing methods and procedures used to assess the level of software security of automated systems, based on a study of scientific literature, international and industry standards of the Russian Federation on information security of automated systems, guidelines and methodological documents of the Federal Service for Technical and Export Control Russia, as well as departmental orders on the protection of information from unauthorized access at informatization facilities of internal affairs bodies. Method. To achieve this goal, the method of system analysis of approaches used in assessing the level of software security in automated systems was used. Result. The results of an analysis of the main approaches to assessing the level of software security in automated systems are presented. The expediency of combining the considered approaches to carry out a quantitative assessment of the level of software security at informatization facilities of internal affairs bodies in real time, taking into account vulnerabilities in the software used, is substantiated. Conclusion. The results obtained can be used to generate indicators of the level of software security in automated systems of internal affairs bodies and to develop methods for their calculation taking into account the time factor.

автоматизированная системапрограммное обеспечениеуязвимостькритичность уязвимостиуровень защищенностиоценка уровня защищенностиautomated systemsoftwarevulnerabilityvulnerability criticalitysecurity levelsecurity level assessmentReferencesГОСТ Р 56939-2016. Защита информации. Разработка безопасного программного обеспечения. Общие требования. – Москва : Стандартинформ, 2016. – 24 с.GOST R 56939-2016. Data protection. Secure software development. General requirements. Moscow: Standardinform, 2016; 24. (In Russ)ГОСТ Р ИСО/МЭК 25051-2017. Информационные технологии. Системная и программная инженерия. Требования и оценка качества систем и программного обеспечения. – Москва : Стандартинформ, 2017. – 32 с.GOST R ISO/IEC 25051-2017. Information Technology. System and software engineering. Requirements and quality assessment of systems and software. Moscow: Standardinform, 2017; 32. (In Russ)ГОСТ Р 51188-98. Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство. – Москва : ИПК Издательство стандартов, 2003. – 12 с.GOST R 51188-98. Data protection. Testing software for the presence of computer viruses. Model manual. – Moscow: IPK Publishing House of Standards, 2003; 12. (In Russ)Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей : Руководящий документ от 4 июня 1999 г. № 114 // ФСТЭК России [Электронный ресурс]. – Режим доступа : https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rukovodyashchij-dokument-ot-4-iyunya-1999-g-n-114 (дата обращения: 30.10.2023).Protection against unauthorized access to information. Part 1. Information security software. Classification according to the level of control over the absence of undeclared capabilities: Guiding document dated June 4, 1999 No. 114 //FSTEC of Russia [Electronic resource]. – Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rukovodyashchij-dokument-ot-4-iyunya-1999-g-n-114 (date of access: 10/30/2023). (In Russ)Безопасность информационных технологий. Критерии оценки безопасности информационных технологий : Руководящий документ от 19 июня 2002 г. № 187 // ФСТЭК России [Электронный ресурс]. – Режим доступа : https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rukovodyashchij-dokument-ot-19-iyunya-2002-g-n-187 (дата обращения: 30.10.2023).Information technology security. Criteria for assessing the security of information technologies: Guiding document dated June 19, 2002;187 FSTEC of Russia [Electronic resource]. Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rukovodyashchij-dokument-ot-19-iyunya-2002-g-n-187 (date of access: 10/30/2023). (In Russ)Об утверждении Инструкции по организации защиты персональных данных, содержащихся в информационных системах органов внутренних дел Российской Федерации : приказ МВД России от 6 июля 2012 г. № 678 (в ред. приказов МВД России от 15.07.2013 № 538, 20.04.2015 № 447, 07.12.2016 № 807) [Электронный ресурс]. – Режим доступа: https://base.garant.ru/70230320/?ysclid=lmdv18b7g0759105782 (дата обращения: 05.11.2023).On approval of the Instructions for organizing the protection of personal data contained in information systems of internal affairs bodies of the Russian Federation: order of the Ministry of Internal Affairs of Russia dated July 6, 2012 No. 678 (as amended by orders of the Ministry of Internal Affairs of Russia dated July 15, 2013 No. 538, 20.04. 2015 No. 447, 07.12.2016 No. 807) [Electronic resource]. Access mode: https://base.garant.ru/70230320/?ysclid=lmdv18b7g0759105782 (access date: 11/05/2023). (In Russ)Вопросы организации информационно-правового обеспечения деятельности органов внутренних дел Российской Федерации : приказ МВД России от 25 августа 2017 г. № 680 (в ред. приказа МВД России от 23.03.2018 № 155) [Электронный ресурс]. – Режим доступа : https://base.garant.ru/72617376/?ysclid=lmduxlmjdz739176488 (дата обращения: 05.11.2023).Issues of organizing information and legal support for the activities of internal affairs bodies of the Russian Federation: order of the Ministry of Internal Affairs of Russia dated August 25, 2017 No. 680 (as amended by order of the Ministry of Internal Affairs of Russia dated March 23, 2018 No. 155) [Electronic resource]. – Access mode: https://base.garant.ru/72617376/?ysclid=lmduxlmjdz739176488 (access date: 11/05/2023). (In Russ)ГОСТ Р ИСО/МЭК 9126-93. Информационная технология. Оценка программной продукции. Характеристики качества и руководства по их применению [Электронный ресурс]. – Режим доступа : http://docs.cntd.ru/document/gost-r-iso-mek-9126-93 (дата обращения 05.11.2023).GOST R ISO/IEC 9126-93. Information technology. Evaluation of software products. Quality characteristics and guidelines for their use [Electronic resource]. – Access mode: http://docs.cntd.ru/document/gost-r-iso-mek-9126-93 (access date 05.11.2023). (In Russ)ГОСТ 28806-89. Качество программных средств. Термины и определения [Электронный ресурс]. – Режим доступа : http://www.kimmeria.nw.ru/standart/glosys/gost_28806_90.pdf (дата обращения: 03.11.2023).GOST 28806-89. Quality of software. Terms and definitions [Electronic resource]. Access mode: http://www.kimmeria.nw.ru/standart/glosys/gost_28806_90.pdf (access date: 11/03/2023). (In Russ)Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации : Руководящий документ от 25 июля 1997 г. № 383 // ФСТЭК России [Электронный ресурс]. – Режим доступа : http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/383-rukovodyashchij-dokument-reshenie-predsedatelya-gostekhkomissii-rossii-ot-25-iyulya-1997-g (дата обращения: 06.11.2023).Computer facilities. Protection against unauthorized access to information. Indicators of security against unauthorized access to information: Guiding document dated July 25, 1997 No. 383 // FSTEC of Russia [Electronic resource]. Access mode: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/383-rukovodyashchij-dokument-reshenie-predsedatelya-gostekhkomissii-rossii-ot-25-iyulya-1997-g (date of access: 11/06/2023). (In Russ)Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации : Руководящий документ : решение Председателя Гостехкомиссии России от 30 марта 1992 г. от 30 марта 1992 г. № 384 // ФСТЭК России [Электронный ресурс]. – Режим доступа : https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/384-rukovodyashchij-dokument-reshenie-predsedatelya-gostekhkomissii-rossii-ot-30-marta-1992-g (дата обращения: 05.11.2023).Automated systems. Protection against unauthorized access to information. Classification of automated systems and requirements for information protection: Guiding document: decision of the Chairman of the State Technical Commission of Russia dated March 30, 1992 dated March 30, 1992 No. 384 // FSTEC of Russia [Electronic resource]. Access mode: https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/384-rukovodyashchij-dokument-reshenie-predsedatelya-gostekhkomissii-rossii-ot-30-marta-1992-g (date of access: 05.11.2023). (In Russ)ГОСТ Р ИСО/МЭК 15408-2-2013. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2: Функциональные компоненты безопасности [Электронный ресурс]. – Режим доступа : https://files.stroyinf.ru/Data2/1/4293774/4293774728.pdf (дата обращения: 28.10.2023).GOST R ISO/IEC 15408-2-2013. Information technology. Methods and means of ensuring security. Criteria for assessing the security of information technologies. Part 2: Functional security components [Electronic resource]. Access mode: https://files.stroyinf.ru/Data2/1/4293774/4293774728.pdf (date of access: 10/28/2023). (In Russ)ISO/IEC 17000:2004. Conformity assessment. Dictionary and General principles [Электронный ресурс]. – Режим доступа : https://pqm-online.com/assets/files/lib/std/iso_17000-2004.pdf (дата обращения: 06.11.2023).ISO/IEC 17000:2004. Conformity assessment. Dictionary and General principles [Electronic resource]. Access mode: https://pqm-online.com/assets/files/lib/std/iso_17000-2004.pdf (access date: 11/06/2023). (In Russ)Радько Н. М. Проникновения в операционную среду компьютера: модели злоумышленного удаленного доступа: учебное пособие / Н. М. Радько, Ю. К. Язов, Н. Н. Корнеева. – Воронеж : Воронежский государственный технический университет, 2013. – 265 с.Radko N. M. Penetrations into the computer operating environment: models of malicious remote access: textbook. N. M. Radko, Yu. K. Yazov, N. N. Korneeva. Voronezh: Voronezh State Technical University, 2013; 265. (In Russ)Язов Ю. К. Методология оценки эффективности защиты информации в информационных системах от несанкционированного доступа : монография / Ю. К. Язов, С. В. Соловьев. – Санкт-Петербург : Наукоемкие технологии, 2023. – 258 с.Yazov Yu. K., Solovyov S. V. Methodology for assessing the effectiveness of information protection in information systems from unauthorized access: monograph. St. Petersburg: High technology, 2023; 258. (In Russ)ISO/IEC 27002:2005-2013. Information technology. Security method. Practical rules of information security management [Электронный ресурс]. – Режим доступа : http://docs.cntd.ru/document/gost-r-iso-mek-17799-2005 (дата обращения 06.11.2023).ISO/IEC 27002:2005-2013. Information technology. Security method. Practical rules of information security management [Electronic resource]. Access mode: http://docs.cntd.ru/document/gost-r-iso-mek-17799-2005 (access date 06.11.2023). (In Russ)Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств : Методический документ от 28 октября 2022 г. // ФСТЭК России [Электронный ресурс]. – Режим доступа: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g-2 (дата обращения: 05.11.2023).Methodology for assessing the level of criticality of software, software and hardware vulnerabilities: Methodological document dated October 28, 2022 // FSTEC of Russia [Electronic resource]. – Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g-2 (date of access: 05.11.2023). (In Russ)К вопросу оценки защищенности автоматизированных систем по критичности их уязвимостей / А. О. Ефимов [и др.] // Вестник воронежского института ФСИН России. – 2023. – № 2. – С. 50–54.On the issue of assessing the security of automated systems based on the criticality of their vulnerabilities. A. O. Efimov [et al.] Bulletin of the Voronezh Institute of the Federal Penitentiary Service of Russia. 2023; 2: 50–54. (In Russ)Ефимов А. О. Концептуальные основы оценки уровня защищенности автоматизированных систем на основе их уязвимости / А. О. Ефимов, И. И. Лившиц, Т. В. Мещерякова, Е. А. Рогозин // Безопасность информационных технологий = IT Security. – Том 30. – № 2(2023). – С. 63–79.Efimov A. O. Conceptual basis for assessing the level of security of automated systems based on their vulnerability / A. O. Efimov, I. I. Livshits, T. V. Meshcheryakova, E. A. Rogozin // Information technology security = IT Security. 2023; 30(2): 63–79. (In Russ)Попов А. Д. Модели и алгоритмы оценки эффективности систем защиты информации от несанкционированного доступа с учетом их временных характеристик в автоматизированных системах органов внутренних дел : 05.13.19 диссертация на соискание ученой степени кандидата технических наук / Попов Антон Дмитриевич. – Воронеж, 2018. – 163 с.Popov A. D. Models and algorithms for assessing the effectiveness of information protection systems from unauthorized access, taking into account their time characteristics in automated systems of internal affairs bodies: 05.13.19 dissertation for the scientific degree of Candidate of Technical Sciences / Popov Anton Dmitrievich. Voronezh, 2018; 163. (In Russ)Бацких А. В. Модели оценки эффективности функционирования модифицированных подсистем управления доступом к информации в автоматизированных системах органов внутренних дел : 2.3.6. диссертация на соискание ученой степени кандидата технических наук / Бацких Анна Вадимовна. – Воронеж, 2022. – 190 с.Batskikh A.V. Models for assessing the effectiveness of the functioning of modified subsystems for managing access to information in automated systems of internal affairs bodies: 2.3.6. dissertation for the degree of candidate of technical sciences / Batskikh Anna Vadimovna. Voronezh, 2022; 190. (In Russ)Золотых Е. С. Модели оценки опасности реализации сетевых атак в автоматизированных системах органов внутренних дел : 2.3.6. диссертация на соискание ученой степени кандидата технических наук / Золотых Елена Сергеевна. – Воронеж, 2022. – 220 с.Zolotykh E. S. Models for assessing the danger of implementing network attacks in automated systems of internal affairs bodies: 2.3.6. dissertation for the degree of candidate of technical sciences / Elena Sergeevna Zolotykh. Voronezh, 2022; 220. (In Russ)Common Vulnerability Scoring System version 3.1. Specification Document. Revision 1 [Электронный ресурс]. – Режим доступа : https://cvss/v3-1/cvss-v31-specification_r1.pdf (дата обращения: 30.10.2023).Common Vulnerability Scoring System version 3.1. Specification Document. Revision 1 [Electronic resource]. Access mode: https://cvss/v3-1/cvss-v31-specification_r1.pdf (access date: 10/30/2023). (In Russ)Язов Ю. К. Сети Петри-Маркова и их применение для моделирования процессов реализации угроз безопасности информации в информационных системах : монография / Ю. К. Язов, А. В. Анищенко. – Воронеж : Кварта, 2020. – 173 с.Yazov Yu. K. Petri-Markov networks and their application for modeling the processes of implementing threats to information security in information systems: monograph. Yu. K. Yazov, A. V. Anishchenko. – Voronezh: Kvarta, 2020; 173. (In Russ)

The authors declare that there are no conflicts of interest present.