vdgtuВестник Дагестанского государственного технического университета. Технические наукиHerald of Dagestan State Technical University. Technical Sciences2073-61852542-095XDaghestan State Technical University10.21822/2073-6185-2025-52-2-130-138vdgtu-1779Research ArticleИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ И ТЕЛЕКОММУНИКАЦИИINFORMATION TECHNOLOGY AND TELECOMMUNICATIONSПрактические рекомендации по проведению оценки защищенности программного обеспечения и выбору его оптимальной версии для эксплуатации на объектах информатизации органов внутренних делPractical recommendations for assessing software security and choosing its optimal version for use at facilities of informatization of internal affairs agenciesПоповаА. Д.PopovaA. D.

Арина Дмитриевна Попова, адъюнкт

394065, г. Воронеж, пр. Патриотов, 53

Arina D. Popova, adjunct

53 Patriotov Str., Voronezh 394065

arnpva@mail.ruДровниковаИ. Г.DrovnikovaI. G.

Ирина Григорьевна Дровникова, доктор технических наук, профессор, профессор кафедры автоматизированных информационных систем органов внутренних дел

394065, г. Воронеж, пр. Патриотов, 53

Irina G. Drovnikova, Dr. Sci.(Eng.), Prof., Prof., Department of Automated Information Systems of Internal Affairs Bodies

53 Patriotov Str., Voronezh 394065

idrovnikova@mail.ruВоронежский институт МВД РоссииРоссияVoronezh Institute of the Ministry of Internal Affairs of RussiaRussian Federation202510082025522130138Copyright © Попова А.Д., Дровникова И.Г., 20252025Попова А.Д., Дровникова И.Г.Popova A.D., Drovnikova I.G.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.dgtu.ru/jour/article/view/1779

Цель. Целью исследования является разработка практических рекомендаций по проведению количественной оценки защищенности программного обеспечения в режиме реального времени и выбору его наиболее защищенной (оптимальной) версии для эксплуатации на объектах информатизации органов внутренних дел в соответствии с требованиями действующей методической документации ФСТЭК России и с учетом особенностей и недостатков эксплуатации автоматизированных систем органов внутренних дел. Метод. Реализован системный подход к рассмотрению сущности проблемы оценивания защищенности программного обеспечения и проведению количественной оценки показателей защищенности. Использованы методы теоретического анализа, синтеза, дедукции. Результат. Представлены практические рекомендации по реализации методики анализа и количественной оценки защищенности программного обеспечения с учетом уязвимостей в динамике его функционирования и выбора наиболее защищенной версии для эксплуатации в автоматизированных системах органов внутренних дел. Дополнение существующих методик проведения оценки защищенности представленными практическими рекомендациями позволяет повысить эффективность и качество оценивания программного обеспечения в процессе его жизненного цикла на объектах информатизации органов внутренних дел. Вывод. Перспективы использования полученных результатов связаны с разработкой методической документации для проведения оценки состояния технической защиты информации в автоматизированных системах органов внутренних дел с целью обоснования выбора организационных и технических мер обеспечения безопасности служебной информации ограниченного распространения.

Objective. The aim of the study is to develop practical recommendations for conducting a quantitative assessment of software security in real time and choosing its optimal version in accordance with the requirements of the FSTEC of Russia and taking into account the features and shortcomings of the operation of automated systems of internal affairs agencies. Method. A systems approach has been implemented. The methods of theoretical analysis, synthesis, and deduction have been used. Result. Practical recommendations are presented for the implementation of the methodology for analyzing and quantitatively assessing the security of software, taking into account vulnerabilities and selecting the most secure version for use in automated systems of internal affairs agencies. Supplementing existing methods with practical recommendations will improve the efficiency and quality of software evaluation at IT facilities of internal affairs agencies. Conclusion. Prospects for using the obtained results are associated with the development of methodological documentation for assessing the state of technical information protection in automated systems of the internal affairs agencies in order to justify the choice of organizational and technical measures to ensure the security of restricted service information.

автоматизированная система органов внутренних делпрограммное обеспечениеуязвимостиколичественные показатели защищенностиавтоматизированная оценка уровня защищенностирежим реального времениautomated system of internal affairs bodiessoftwarevulnerabilitiesquantitative indicators of securityautomated assessment of the level of securityreal-time modeReferencesЗолотых Е.С. Модели оценки опасности реализации сетевых атак в автоматизированных системах органов внутренних дел:дис. канд. техн. наук:2.3.6. Золотых Елена Сергеевна. Воронеж, 2022. 220 с.Zolotykh E.S.Models for assessing the danger of implementing network attacks in automated systems of internal affairs bodies:dis.Cand.of Techn.Scie.2.3.6.Zolotykh Elena Sergeevna.Voronezh, 2022:220(In Russ).Бацких А.В. Модели оценки эффективности функционирования модифицированных подсистем управления доступом к информации в автоматизированных системах органов внутренних дел: 2.3.6. дисс. канд. техн. наук/Бацких Анна Вадимовна. Воронеж, 2022. – 190 с.Batskikh A. V. Models for assessing the effectiveness of modified information access control subsystems in automated systems of internal affairs bodies: dis. 2.3.6. Cand. of Techn. Scie. Batskikh Anna Vadimovna. - Voronezh, 2022: 190 p. (In Russ).Попов А.Д. Модели и алгоритмы оценки эффективности систем защиты информации от несанкционированного доступа с учетом их временных характеристик в автоматизированных системах органов внутренних дел:05.13.19 дис. канд. техн. наук/ Попов Антон Дмитриевич. Воронеж, 2018. 163 с.Popov A. D. Models and algorithms for assessing the effectiveness of information protection systems from unauthorized access, taking into account their time characteristics in automated systems of internal affairs bodies: 05.13.19 dis. Cand. of Technical Scie.Popov Anton Dmitrievich. Voronezh, 2018:163 p. (In Russ).Дровникова И.Г. Показатели защищенности программного обеспечения, используемого на объектах информатизации органов внутренних дел/И.Г. Дровникова, А.Д. Попова// Вестник Воронежского института МВД России. – 2024. – № 1. – С. 50–59.Drovnikova I. G. Security indicators of software used at the information technology facilities of the internal affairs bodies / I. G. Drovnikova, A. D. Popova. Bulletin of the Voronezh Institute of the Ministry of Internal Affairs of Russia. 2024;1:50–59. (In Russ).Щеглов А.Ю. Элементы теории эксплуатационной информационной безопасности: учебное пособие / А. Ю. Щеглов. – Санкт-Петербург: СПбГУ ИТМО, 2014. – 59 с.Shcheglov A.Yu. Elements of the theory of operational information security: a tutorial / A. Yu. Shcheglov. – St. Petersburg: SPbSU ITMO, 2014: 59 p. (In Russ).Попова А.Д. Методика анализа и оценки уровня защищенности программного обеспечения, используемого на объектах информатизации органов внутренних дел/ А.Д. Попова, И. Г. Дровникова // Безопасность информационных технологий = IT Security. – Том 31. – № 2 (2024). – С. 51–64.Popova A. D. Methodology for analyzing and assessing the security level of software used at the information technology facilities of the internal affairs bodies /A. D. Popova, I. G. Drovnikova. Information technology security = IT Security. 2024; 31( 2):51–64. (In Russ).Попова А.Д. Алгоритм функционирования программного комплекса анализа и оценки защищенности программного обеспечения автоматизированных систем органов внутренних дел//Вестник Дагестанского государственного технического университета. Технические науки.2024.Т.51(2).С.128–136.Popova A.D. Algorithm for the functioning of the software package for analyzing and assessing the security of software of automated systems of internal affairs bodies. Herald of the Daghestan State Technical University. Technical Sciences. 2024; 51(2):128–136. (In Russ).ГОСТ РИСО/МЭК 25051-2017 Информационные технологии. Системная и программная инженерия. Требования и оценка качества систем и программного обеспечения. М.: Стандартинформ, 2017. 32 с.GOST R ISO/IEC 25051-2017. Information technology. Systems and software engineering. Requirements and quality assessment of systems and software. – Moscow: Standartinform, 2017: 32 p. (In Russ).Безопасность информационных технологий. Критерии оценки безопасности информационных технологий: Руководящий документ от 19 июня 2002 г. № 187 // ФСТЭК России [Эл. ресурс]. – Режим доступа: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rukovodyashchij-dokumentot-19-iyunya-2002-g-n-187 (дата обращения: 30.10.2024).Information technology security. Criteria for assessing the security of information technology: Guidance document of June 19, 2002, No. 187 //FSTEC of Russia [Electronic resource]. - Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rukovodyashchij-dokument-ot-19-iyunya-2002-g-n-187 (accessed: 10/30/2024). (In Russ).ГОСТ Р ИСО/МЭК 9126-93. Информационная технология. Оценка программной продукции. Характеристики качества и руководства по их применению [Эл.ресурс]. – Режим доступа : http://docs.cntd.ru/document/gost-r-iso-mek-9126-93 (дата обращения 05.11.2024).GOST R ISO / IEC 9126-93. Information technology. Software product evaluation. Quality characteristics and guidelines for their application [Electronic resource]. - Access mode: http://docs.cntd.ru/document/gostr-iso-mek-9126-93 (accessed 11/05/2024). (In Russ).ISO/IEC 17000:2004. Conformity assessment. Dictionary and General principles [Эл. ресурс]. – Режим доступа : https://pqm-online.com/assets/files/lib/std/iso17000-2004.pdf (дата обращения: 06.11.2024).ISO/IEC 17000:2004. Conformity assessment. Dictionary and General principles [Electronic resource]. – Access mode: https://pqm-online.com/assets/files/lib/std/iso17000-2004.pdf (accessed: 06.11.2024).ISO/IEC 27002:2005-2013 Information technology. Security method. Practical rules of information security management [Эл. рес.]. http://docs.cntd.ru/document/gost-r-iso-mek-17799-2005(дата об.06.11.2024).ISO/IEC 27002:2005-2013. Information technology. Security method. Practical rules of information security management[El.resource].:http://docs.cntd.ru/document/gost-r-iso-mek-17799-2005(06.11.2024).Ефимов А.О., И.И. Лившиц, Т.В. Мещерякова, Е. А. Рогозин. Концептуальные основы оценки уровня защищенности автоматизированных систем на основе их уязвимости// Безопасность информационных технологий = IT Security. – Том 30. – № 2(2023). – С. 63–79.Efimov A.O. Conceptual foundations for assessing the level of security of automated systems based on their vulnerability /A.O. Efimov, I.I. Livshits, T.V. Meshcheryakova, E.A. Rogozin. Information Technology Security = IT Security. 2023; 30(2):63-79. (In Russ).К вопросу оценки защищенности автоматизированных систем по критичности их уязвимостей / А.О. Ефимов [и др.] // Вестник воронежского института ФСИН России. – 2023. – № 2. – С. 50–54.On the issue of assessing the security of automated systems based on the criticality of their vulnerabilities. A.O. Efimov [et al.]. Bulletin of the Voronezh Institute of the Federal Penitentiary Service of Russia. 2023; 2:50-54. (In Russ).Радько Н.М., Ю.К. Язов, Н.Н. Корнеева. Проникновения в операционную среду компьютера: модели злоумышленного удаленного доступа: учеб. пособ. Воронеж: Воронежский государственный технический университет, 2013. – 265 с.Radko N.M. Penetrations into the computer operating environment: models of malicious remote access: tutorial/N.M. Radko, Yu.K. Yazov, N.N. Korneeva. Voronezh:Voronezh State Technical University, 2013; p.Язов Ю.К., С.В. Соловьев. Методология оценки эффективности защиты информации в информационных системах от несанкционированного доступа: монография. Санкт-Петербург: Наукоемкие технологии, 2023. – 258 с.Yazov Yu. K., S.V. Soloviev. Methodology for assessing the effectiveness of information protection in information systems from unauthorized access: monograph. St. Petersburg: Science-intensive technologies, 2023;258 p.(In Russ).Язов Ю.К., А.В. Анищенко. Сети Петри-Маркова и их применение для моделирования процессов реализации угроз безопасности информации в информационных системах: монография. – Воронеж : Кварта, 2020. – 173 с.Yazov Yu.K., A.V. Anishchenko. Petri-Markov networks and their application for modeling the processes of implementing information security threats in information systems: oronezh:Kvarta, 2020;173(In Russ).Common Vulnerability Scoring System version 4.0: User Guid–e [Электронный ресурс]. – Режим доступа: https://www.first.org/cvss/v4.0/user-guide (дата обращения: 15.11.2024).Common Vulnerability Scoring System version 4.0: User Guid–e [Electronic resource]. – Access mode: https://www.first.org/cvss/v4.0/user-guide (date of access: 15.11.2024). (In Russ).Дровникова И.Г., Попова А.Д. Способы оценки уровня защищенности программного обеспечения автоматизированных систем органов внутренних дел и направления их совершенствования//Вестник Дагестанского государственного технического университета. Технические науки. 2023; 50(4): 85-92.Drovnikova I.G. Methods for assessing the level of security of software of automated systems of internal affairs bodies and directions for their improvement / I.G. Drovnikova, A.D. Popova. Herald of the Dagestan State Technical University. Technical sciences. 2023; 50(4): 85-92. (In Russ).Методика оценки показателя состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации : методический документ от 2 мая 2024 г. // ФСТЭК России [Электронный ресурс]. – Режим доступа : https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokumentot-2-maya-2024-g (дата обращения: 25.11.2024).Methodology for assessing the indicator of the state of technical protection of information and ensuring the security of significant objects of the critical information infrastructure of the Russian Federation: methodological document of May 2, 2024//FSTEC of Russia [Electronic resource]. - Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokumentot-2-maya-2024-g (date of access: 11/25/2024). (In Russ).Методика тестирования обновлений безопасности программных, программно-аппаратных средств : методический документ от 28 октября 2022 г. // ФСТЭК России [Электронный ресурс]. – Режим доступа : https://fstec.ru/dokumenty/vse-dokumenty/ spetsialnye-normativnye-dokumenty/metodicheskijdokument-ot-28-oktyabrya-2022-g-2 (дата обращения: 25.11.2024).Methodology for testing security updates for software, firmware and hardware: methodological document of October 28, 2022/FSTEC of Russia [Electronic resource]. – Access mode: https://fstec.ru/dokumenty/vsedokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g-2 (date of access: 25.11.2024). (In Russ).Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств :методический документ от 28 октября 2022 г. // ФСТЭК России [Электронный ресурс]. – Режим доступа :https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskijdokument-ot-28-oktyabrya-2022-g-2 (дата обращения: 20.11.2024).Methodology for assessing the criticality level of software, software and hardware vulnerabilities: methodological document dated October 28, 2022 // FSTEC of Russia [Electronic resource]. – Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokumentot-28-oktyabrya-2022-g-2 (date of access: 20.11.2024). (In Russ).Руководство по организации процесса управления уязвимостями в органе (организации) : методический документ от 17 мая 2023г.ФСТЭК России [Эл.ресурс].https://fstec.ru/dokumenty/vse-dokumenty/spetsialnyenormativnye-dokumenty/metodicheskij-dokument-ot-17-maya-2023-g (дата обращения: 25.11.2024).Guidelines for organizing the vulnerability management process in a body (organization): methodological document dated May 17,2023. FSTEC of Russia [Electronic resource]. Access mode: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-17-maya-2023-g (accessed: 11/25/2024). (In Russ).Попова А.Д. Методика эксперимента для оценивания защищенности программного обеспечения автоматизированных систем органов внутренних дел/А.Д. Попова, А.Д. Попов, И.Г. Дровникова // Безопасность информационных технологий = IT Security. – Том 32. – № 1(2025). – С. 95–111.Popova A.D., A.D. Popov, I.G. Drovnikova. Experimental methodology for assessing the security of software of automated systems of internal affairs bodies. Information Technology Security = IT Security. 2025; 32(1):95-111. (In Russ).

The authors declare that there are no conflicts of interest present.