иб комп клуба. диплом. Цели и задачи информационной системы защиты информации
 Скачать 24.86 Kb.
|
|
Введение Согласно ГОСТ Р 50922-2006, защита информации - деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Информационная безопасность актуальна как для предприятий, так и для госучреждений. С целью всесторонней защиты информационных ресурсов и создаются информационные системы по защите данных. Внедрение новых информационных технологий ставит современные компании в зависимость от информационной системы, а переход на электронные носители информации приводит к необходимости уделять пристальное внимание вопросу информационной безопасности. Любое вмешательство в работу информационной системы: кража, уничтожение или несанкционированный доступ к данным может привести к значительным убыткам компании, а иногда и к ее полной ликвидации, особенно если эти данные касаются ее коммерческих тайн. Информационную безопасность учреждения определяет совокупность технических средств, размещенных на территории, а также наличие мест доступа или утечки информации, создающих потенциальную возможность реализации угроз и наличие эффективных средств защиты. В связи с тем, что различные охраняемые объекты расположены в различных помещениях, возможные каналы утечки информации к ним также различны. Они определяются, в первую очередь, путями доступа в рассматриваемое помещение, основными из которых являются дверные и оконные проемы. Определение мероприятий по обеспечению требуемого уровня защищенности предполагает определение структуры, состава и размещения средств защиты информации, при которых обеспечивается требуемый уровень защищенности предприятия от реального спектра угроз безопасности. Цели и задачи информационной системы защиты информации Информационная система защиты информации (ИСЗИ) предприятия есть совокупность методов и средств, объединенных единым целевым назначением и обеспечивающих необходимую эффективность ЗИ предприятия. Главной целью ИСЗИ является обеспечение непрерывности бизнеса, устойчивого функционирования коммерческого предприятия и предотвращения угроз его безопасности. Цели ИСЗИ: защита законных интересов организации от противоправных посягательств; охрану жизни и здоровья персонала; недопущение: хищения финансовых и материально-технических средств; уничтожения имущества и ценностей; разглашения, утечки и НСД к служебной информации; нарушения работы ТС обеспечения производственной деятельности, включая ИТ. Задачи ИСЗИ: прогнозирование, своевременное выявление и устранение угроз безопасности персоналу и ресурсам коммерческого предприятия, причин и условий, способствующих нанесению финансового, материального и морального ущерба, нарушению его нормального функционирования и развития; отнесение информации к категории ограниченного доступа (служебной и коммерческой тайнам, иной конфиденциальной информации, подлежащей защите от неправомерного использования), а других ресурсов - к различным уровням уязвимости(опасности) , подлежащих сохранению; создание механизма и условий оперативного реагирования на угрозы безопасности проявления негативных тенденций в функционировании предприятия; эффективное пресечение угроз персоналу и посягательств на ресурсы на основе правовых, организационных и инженерно-технических мер и средств обеспечения безопасности; создание условий для максимально возможного возмещения и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния последствий нарушения безопасности предприятия [1]. Субъекты и объекты ИСЗИ Субъекты ИСЗИ В процесс создания ИСЗИ вовлекаются следующие стороны: организация, для которой осуществляется построение ИСЗИ; организация, осуществляющая мероприятия по построению ИСЗИ; ФСТЭК России; организация, осуществляющая государственную экспертизу ИСЗИ; организация, в случае необходимости привлекаемая Заказчиком или Исполнителем для выполнения некоторых работ по созданию ИСЗИ. Объекты ИСЗИ Объектами защиты ИСЗИ является информация, в любом ее виде и форме представления. Материальными носителями информации являются сигналы. По своей физической природе информационные сигналы можно разделить на следующие виды: электрические, электромагнитные, акустические, а также их комбинации. Сигналы могут быть представлены в форме электромагнитных, механических и других видах колебаний, причем информация, которая подлежит защите, содержится в их изменяющихся параметрах. В зависимости от природы, информационные сигналы распространяются в определенных физических средах. Среды могут быть газовыми, жидкостными и твердыми. Например, воздушное пространство, конструкции зданий, соединительные линии и токопроводящие элементы, грунт и другие. В зависимости от вида и формы представления информационных сигналов, которые циркулируют в информационно-телекоммуникационной системе (ИТС), в том числе и в автоматизированных системах (АС), при построении ИСЗИ могут использоваться различные средства защиты [2]. Внешние и внутренние угрозы информационной безопасности Внешние угрозы (кибератаки) – реальная опасность, которая затрагивает интеллектуальную и физическую собственность организаций. Распространенная форма киберпреступности – применение специальных программ. Они способны нарушить целостность секретных документов. Перечень угроз, которые провоцирует вредоносное программное обеспечение (ПО), широк. К ним относятся: внедрение вирусов, разрушающих программное воздействие; распространение специальных программ для исследования сетевого трафика; блокировка работы пользователей системы с помощью программ; вскрытие программной защиты для приобретения несанкционированных прав, изменения или удаления информации. Как показывает практика, большую часть инцидентов провоцируют внутренние угрозы. Хищение интеллектуальной собственности, утечки коммерческой тайны и ущерб информационной системе могут нанести действия сотрудников. Такие действия могут быть совершены из корыстных соображений (злонамеренные), по неосторожности (случайные) или из-за некомпетентности человека. Злонамеренные действия чаще всего совершают: сотрудники, которые хотят заработать за счет организации-работодателя. Для этого они используют секретные ресурсы компании. К примеру, могут продать конкурентам базу данных постоянных клиентов; бывшие сотрудники, которые остались в плохих отношениях с организацией-работодателем. Они действуют, опираясь на личные побуждения. Их желание уволиться могло быть связано с понижением в должности или отказом организации предоставить расширенный социальный пакет. В результате уволенные действуют по аналогии с недобросовестными сотрудниками – используют важные сведения против компании; сотрудники-шпионы. Этот тип злоумышленников идентифицировать сложнее. Многие из них состоят в организованной преступной группе или в сговоре с конкурентами. Работники-шпионы специально обучены и нацелены на получение доступа к засекреченным сведениям. Их действия способны сильно навредить организации. Но большинство инцидентов происходит по неосторожности и в результате технической безграмотности персонала. Утечка информации может произойти по причине: пересылки сведений по незащищенным каналам связи; скачивания на персональный компьютер программы, содержащей вирус; упоминания важных сведений в разговоре с посторонними людьми; потери технических средств, предназначенных для хранения сведений [3]. Особенности организационных и программно-аппаратных методик Для обеспечения информационной безопасности существуют организационные и нормативно-правовые методики. Организационные методики включают в себя регламентацию деятельности предприятия в целом и деятельности сотрудников, связанной с обработкой данных, в частности. Это позволяет предотвратить незаконный доступ к засекреченным сведениям. К организационным методикам относятся: создание концепции информационной безопасности; тщательный подбор сотрудников на ответственные должности; составление должностных инструкций и обучение правилам ИБ всех работников; организация надежного пропускного режима на территорию предприятия; контроль работы сотрудников, имеющих доступ к секретным сведениям; обеспечение надежной физической охраны компании; организация автоматизированной обработки секретных сведений; тщательная разработка планов действий при обнаружении попыток незаконного доступа, копирования, изменения или удаления информационных ресурсов. Во время принятия организационных мер и разработки соответствующей документации компании руководствуются гражданским кодексом РФ, федеральными законами и отраслевыми документами. Нормативно-правовые документы регламентируют обязанности сотрудников по обеспечению безопасности, список возможных угроз ИБ, состав информационной системы. Наряду с организационными методиками прибегают к технической защите информации. Она представляет собой комплекс технических средств, выбор которых напрямую зависит от типа и количества объектов защиты. Инженерно-техническая защита включает применение защищенных подключений, средств шифрования. Дополнительно часто устанавливают системы охранно-пожарной сигнализации [4]. Основными методами защиты информации являются [3]: 1. Антивирусная защита. Это специализированное программное обеспечение для обнаружения и уничтожения вирусов. Среди самых распространенных антивирусных программ выделяются Kaspersky и Dr.Web. Зачастую одна организация параллельно использует несколько антивирусов. 2. Шифрование (криптографические средства). Это процесс преобразования открытых данных в закрытые посредством секретного элемента – ключа шифрования. Шифрование гарантирует стабильную защиту информации. 3. Защита информации внутри сети (использование Virtual Private Network). Использование приватной сети для передачи данных включает несколько условий: туннелирование, шифрование и аутентификация. Туннелирование гарантирует передачу данных между узлами пользователей таким образом, что со стороны работающего программного обеспечения они будут выглядеть подключенными к одной сети. Пакет данных проходит сквозь различные узлы публичной сети. Для их защиты применяют электронную цифровую подпись. Это блок информационных ресурсов, который передается наряду с пакетом данных и формируется согласно криптографическому алгоритму. Он является исключительным для содержимого пакета и ключа электронной цифровой подписи отправителя. Блок информационных ресурсов дает возможность выполнить распознавание данных получателем, который знает ключ электронной цифровой подписи отправителя (аутентификация). Это гарантирует защищенность пакета данных. 4. Proxy servers. Обращения из локальной сети в глобальную сеть осуществляются посредством специальных серверов. Однако этот способ не дает 100% защиты против серьезных угроз (в частности, вирусов). 5. Межсетевые экраны (брандмауэры). Брандмауэры обеспечивают разделение сетей и предотвращают нарушения установленных правил безопасности пользователями. Контроль за передачей сведений происходит за счет фильтрации трафика; формирование контролируемых зон и установка активных систем зашумления. 1. ПРОВЕДЕНИЕ ПРЕДПРОЕКТНОГО ОБСЛЕДОВАНИЯ В «GG.Arena» 1.1. Разработка паспорта предприятия с точки зрения информационной безопасности При разработке комплекса мер по защите информации необходимо определить общие сведения об объекте защиты. Паспорт предприятия с точки зрения информационной безопасности необходим для выявления общей информации об организации, определения контролируемой зоны защищаемого помещения и объектов защиты информации, на которых обрабатывается информация ограниченного доступа. В паспорте предприятия представлены реквизиты организации, перечислены основные виды деятельности предприятия, виды защищаемой информации, программно - аппаратные средства, показана общая структура организации, описана строительная инфраструктура здания, информационная среда предприятия, представлена общая схема помещения (Приложение А). Данная информация была получена в результате устного опроса генерального директора предприятия и непосредственного ознакомления с информационной системой компании. В качестве объекта защиты был выбран Компьютерный клуб «GG.Arena», так как предприятие расположено в одном помещении и имеет 5 сотрудников, 32 защищаемых АРМ и 1 сервер. 1.2. Разработка модели деятельности “GG.Arena” Модель деятельности представляет собой описание базовых бизнес – процессов, которые представляют совокупность простых мероприятий, служащих для создания конечной услуги. Данная модель необходима для выявления информационных потоков и информации ограниченного доступа циркулирующей на предприятии. В результате анализа организации “GG.Arena” была разработана модель деятельности, описывающая базовые бизнес – процессы предприятия (Приложение Б). В данной схеме отражены входные и выходные параметры, ресурсы, внешнее воздействие. 1.3. Выявление защищаемой информации В ходе анализа деятельности “GG.Arena” была выявлена информация ограниченного доступа, которая представляет собой сведения, составляющие коммерческую тайну (на основании Федерального закона от 29.07.2004 N 98-ФЗ (ред. от 12.03.2014) "О коммерческой тайне")[6]. На предприятии отсутствует режим коммерческой тайны, соответственно для установления режима необходима разработка и реализация комплекса мер: 1.Определение перечня информации, составляющей коммерческую тайну; 2.Ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка; 3.Учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана; 4.Регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров; 5.Нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа "Коммерческая тайна" с указанием обладателя такой информации. Основываясь на данных полученных в результате выявления защищаемой информации, в рамках данного пункта был разработан перечень сведений составляющих КТ (Приложение Г), положения о режиме КТ (Приложение В) и подготовлены соответствующие приказы об их утверждении (Приложение Е). 1.4. Описание информационной системы предприятия “GG.Arena” Для разработки комплексной системы защиты информации необходимо проанализировать информационную систему “GG.Arena”. Данный анализ позволит выявить характеристики АРМ, сервера и программного обеспечения установленного на них, а так же ответить на вопросы касающиеся обновления ПО и готовности к установке новых программных средств. Заключение Статистика показывает, что во всех странах убытки от злонамеренных действий непрерывно возрастают. Причем основные причины убытков связаны не столько с недостаточностью средств безопасности как таковых, сколько с отсутствием взаимосвязи между ними, т.е. с нереализованностью системного подхода. Поэтому необходимо опережающими темпами совершенствовать комплексные средства защиты. Можно сказать, что не существует одного абсолютно надежного метода защиты. Наиболее полную безопасность можно обеспечить только при комплексном подходе к этому вопросу. Необходимо постоянно следить за новыми решениями в этой области. Список используемых источников Audit IB. Информационная система защиты информации – Режим доступа: https://www.audit-ib.ru/complete-protection/information-security/ IT сфера, эксплуатация крупных информационных систем. ИСЗИ – Режим доступа: http://itsphera.ru/it/kszi.html SearchInform. Информационная защита информации – Режим доступа: https://searchinform.ru/services/outsource-ib/zaschita-informatsii/kompleksnaya/ Infoprotect. Информационная система защиты информации – Режим доступа: http://infoprotect.net/note/kszi |