Детский сад Золотая Рыбка 4 Рисунок 1 Структурная схема организации Об организации Муниципальное бюджетное дошкольное образовательное учреждение Детский сад 4

Название	Детский сад Золотая Рыбка 4 Рисунок 1 Структурная схема организации Об организации Муниципальное бюджетное дошкольное образовательное учреждение Детский сад 4
Дата	02.06.2019
Размер	435.56 Kb.
Формат файла
Имя файла	Laboratornaya_IBAIS_PIMENOV.docx
Тип	Документы #80093
страница	4 из 4

1 2 3 4

Определение мер защиты

Приказ № 21 ФСТЕК «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»

Меры по обеспечению безопасности персональных данных принимаются для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

уг Угроза	Объект		Источник		Предотвращение
Угроза анализа криптографических алгоритмов и их реализации	Метаданные, системное программное обеспечение		Внешний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Управление доступом субъектов доступа к объектам доступа Ограничение программной среды
Угроза доступа к защищаемым файлам с использованием обходного пути	Объекты файловой системы		Внешний нарушитель, Внутренний нарушитель		Управление доступом субъектов доступа к объектам доступа Ограничение программной среды Защита машинных носителей персональных данных Регистрация событий безопасности Обнаружение вторжений
Угроза доступа к локальным файлам сервера при помощи URL	Сетевое программное обеспечение		Внешний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Обнаружение вторжений
Угроза доступа/перехвата/изменения HTTP cookies	Прикладное программное обеспечение, сетевое программное обеспечение		Внешний нарушитель		Управление доступом субъектов доступа к объектам доступа Регистрация событий безопасности Обнаружение вторжений
Угроза загрузки нештатной операционной системы	Микропрограммное обеспечение BIOS/UEFI		Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Управление доступом субъектов доступа к объектам доступа Защита машинных носителей персональных данных Регистрация событий безопасности Антивирусная защита Обнаружение вторжений
Угроза злоупотребления возможностями, предоставленными потребителям облачных услуг	Облачная система, виртуальная машина		Внутренний нарушитель		Управление доступом субъектов доступа к объектам доступа Ограничение программной среды
Угроза избыточного выделения оперативной памяти	Аппаратное обеспечение, системное программное обеспечение, сетевое программное обеспечение		Внешний нарушитель, Внутренний нарушитель		Управление доступом субъектов доступа к объектам доступа Ограничение программной среды Регистрация событий безопасности
Угроза изменения режимов работы аппаратных элементов компьютера	Микропрограммное и аппаратное обеспечение BIOS/UEFI		Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Управление доступом субъектов доступа к объектам доступа
Угроза использования информации идентификации/аутентификации, заданной по умолчанию	Средства защиты информации, системное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, программно-аппаратные средства со встроенными функциями защиты		Внешний нарушитель, Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Защита машинных носителей персональных данных Антивирусная защита
Угроза использования поддельных цифровых подписей BIOS	Микропрограммное и аппаратное обеспечение BIOS/UEFI		Внешний нарушитель		Ограничение программной среды Защита машинных носителей персональных данных Антивирусная защита
Угроза несанкционированного доступа к аутентификационной информации	Системное программное обеспечение, объекты файловой системы, учётные данные пользователя, реестр, машинные носители информации		Внешний нарушитель, Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Защита машинных носителей персональных данных Регистрация событий безопасности Антивирусная защита Обнаружение вторжений
Угроза несанкционированного копирования защищаемой информации		Объекты файловой системы, машинный носитель информации		Внешний нарушитель Внутренний нарушитель		Управление доступом субъектов доступа к объектам доступа Защита машинных носителей персональных данных Антивирусная защита Обнаружение вторжений
Угроза несанкционированного создания учётной записи пользователя		Системное программное обеспечение		Внешний нарушитель, Внутренний нарушитель		Защита машинных носителей персональных данных Регистрация событий безопасности Обнаружение вторжений
Угроза подмены беспроводного клиента или точки доступа		Сетевой узел, сетевое программное обеспечение, аппаратное обеспечение, точка беспроводного доступа		Внешний нарушитель		Ограничение программной среды Защита машинных носителей персональных данных Обнаружение вторжений
Угроза утраты носителей информации	Носитель информации		Внутренний нарушитель		Ограничение программной среды
Угроза внедрения вредоносного кода через рекламу, сервисы и контент	Сетевое программное обеспечение		Внутренний нарушитель		Ограничение программной среды Обнаружение вторжений
Угроза подмены программного обеспечения	Прикладное программное обеспечение, сетевое программное обеспечение, системное программное обеспечение		Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Управление доступом субъектов доступа к объектам доступа Защита машинных носителей персональных данных Антивирусная защита Обнаружение вторжений
Угроза получения предварительной информации об объекте защиты		Сетевой узел, сетевое программное обеспечение, сетевой трафик, прикладное программное обеспечение		Внешний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Ограничение программной среды Защита машинных носителей персональных данных Регистрация событий безопасности Обнаружение вторжений
Угроза потери управления облачными ресурсами		Информационная система, узлы хранилища больших данных		Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Защита машинных носителей персональных данных Регистрация событий безопасности Антивирусная защита Обнаружение вторжений
Угроза сбоя обработки специальным образом изменённых файлов		Метаданные, объекты файловой системы, системное программное обеспечение		Внешний нарушитель, Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Ограничение программной среды Регистрация событий безопасности Антивирусная защита
Угроза утраты носителей информации		Носитель информации		Внутренний нарушитель		Управление доступом субъектов доступа к объектам доступа
Угроза заражения компьютера при посещении неблагонадёжных сайтов		Сетевой узел, сетевое программное обеспечение		Внутренний нарушитель		Управление доступом субъектов доступа к объектам доступа Ограничение программной среды Регистрация событий безопасности Антивирусная защита Обнаружение вторжений
Угроза распространения «почтовых червей»		Сетевое программное обеспечение		Внешний нарушитель		Ограничение программной среды Защита машинных носителей персональных данных Регистрация событий безопасности Антивирусная защита
Угроза перехвата одноразовых паролей в режиме реального времени		Сетевое программное обеспечение		Внешний нарушитель		Защита машинных носителей персональных данных
Угроза утечки пользовательских данных при использовании функций автоматического заполнения аутентификационной информации в браузере		Аутентификационные данные пользователя (программное обеспечение)		Внешний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Защита машинных носителей персональных данных Регистрация событий безопасности
Угроза несанкционированного доступа к параметрам настройки оборудования за счет использования «мастер-кодов» (инженерных паролей)		Аппаратное устройство, программное обеспечение		Внешний нарушитель Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Управление доступом субъектов доступа к объектам доступа Защита машинных носителей персональных данных Антивирусная защита Обнаружение вторжений
Угроза нарушения работы информационной системы, вызванного обновлением используемого в ней программного обеспечения		Аппаратное устройство, микропрограммное, системное и прикладное программное обеспечение		Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Ограничение программной среды Регистрация событий безопасности Антивирусная защита
Угроза перехвата управления информационной системой		Инфраструктура информационных систем		Внутренний нарушитель		Идентификация и аутентификация субъектов доступа и объектов доступа Управление доступом субъектов доступа к объектам доступа Ограничение программной среды Защита машинных носителей персональных данных Обнаружение вторжений

Классы защиты определяются в соответствии с нормативными правовыми актами, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

в информационных системах 3 уровня защищенности персональных данных применяются средства защиты информации не ниже 6 класса, а также средства вычислительной техники не ниже 5 класса;

Для обеспечения 1 и 2 уровней защищенности персональных данных, а также для обеспечения 3 уровня защищенности персональных данных в информационных системах, для которых к актуальным отнесены угрозы 2-го типа, применяются сертифицированные средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

Требования к защите персональных данных для 3 уровня защищенности:

назначении должностного лица (работника), ответственного за обеспечение безопасности персональных данных в информационной системе.
назначение обладающего достаточными навыками должностного лица (работника) оператора ответственным за обеспечение безопасности персональных данных в информационной системе.
использовать для обеспечения требуемого уровня защищенности персональных данных при их обработке в информационной системе:

СКЗИ класса KB и выше в случаях, когда для информационной системы актуальны угрозы 2 типа;
СКЗИ класса КС1 и выше в случаях, когда для информационной системы актуальны угрозы 3 типа.

В подведении итогов можно рекомендовать одно из следующих программно-аппаратных средств защиты, подходящих по функциональной и ценовой категории, представленных на рынке:

Система защиты информации "Аура"

6 000 p.

«Аура» — это система защиты информации от несанкционированного доступа, предназначенная для комплексной защиты информации, обрабатываемой на ПЭВМ под управлением ОС семейства: Microsoft Windows 2000 Professional SP4, 2000 Server SP4, XP Professional SP3, Server 2003 Standard Edition SP2, Server 2003 Enterprise Edition SP2, Server 2008 Standard Edition SP2, Server 2008 Enterprise Edition SP2, Vista Business SP2, Vista Ultimate SP2 (поддерживаются 32-битные версии операционных систем).
СЗИ имеет сертификат ФСТЭК № 2188 от 21 октября 2010 года (сертификат действителен до 21 октября 2013 года), сертификат по 3 классу защищённости СВТ и 2 уровню контроля НДВ.
Также эта система защиты даёт возможность построения автоматизированных систем отвечающих классу 1Б, 1В, 1Г, 1Д и информационных систем по обработке персональных данных по классам К1, К2, К3, К4.
Защита информации обеспечивается даже при хищении носителей информации.

Основные функциональные возможности:

обеспечение доверенной среды для аутентификации пользователей и контроля целостности информационных объектов;
усиленная аутентификация;
многоуровневый контроль целостности информационных объектов вычислительной системы;
контроль доступа к устройствам, файлам и папкам;
управление печатью, автоматическая маркировка и учет документов;
достоверное уничтожение информационных объектов;
регистрация действий пользователя в системных журналах;
идентификация и аутентификация пользователей в доверенной среде с применением электронных устройств Rutoken (на данный момент используется Rutoken версии 1.0. При установке новых драйверов функция блокировки консоли доступна и с Rutoken версии 2.0).

Програмное обеспечение СЗИ от НСД Dallas Lock 8.0-C

8 000 p.

Dallas Lock 8.0-C – это система защиты информации от несанкционированного доступа и от раскрытия информации ограниченного доступа до уровня «совершенно секретно».
Представляет собой программный комплекс средств защиты информации в ОС семейства Windows с возможностью подключения аппаратных идентификаторов.
Данное СЗИ от НСД имеет сертификат соответствия ФСТЭК России № 2945 от 16.08.2013.
Сертификация по 3 классу защищённости для СВТ от НСД и 2 уровню контроля отсутствия НДВ позволяет использовать систему при создании автоматизированных систем до класса защищенности 1Б включительно, в государственных ИС 1 класса защищённости и для обеспечения 1 уровня защищенности персональных данных.
СЗИ от НСД Dallas Lock 8.0-C может работать на любом компьютере, работающем под управлением следующих ОС:

Windows XP (SP 3);
Windows Server 2003 (R2) (SP 2);
Windows Vista (SP 2);
Windows Server 2008 (SP же2);
Windows 7 (SP 1);
Windows Server 2008 R2 (SP 1);
Windows 8;
Windows Server 2012.

Система защиты Dallas Lock 8.0-C поддерживает 32- и 64-битные версии операционных систем.
Dallas Lock 8.0-C позволяет в качестве средств опознавания пользователей использовать аппаратные электронные идентификаторы. Поддерживаются USB-флэш-накопители, ключи Touch Memory, смарт-карты eToken и USB-брелоки eToken, Rutoken и Rutoken ЭЦП.

1 2 3 4