Преддипломная практика. SedovAN подходит. Исследовательский
 Скачать 2.25 Mb.
|
|
Анализ возможных типов атак и модель нарушителя В компании присутствует информационная система ведения учета персональных данных, состоящая из системы программ «1С: Предприятие 8» включающую в себя платформу и прикладные решения, разработанные на ее основе, для автоматизации деятельности организации. В ней ведут работу: сотрудники финансового подразделения и подразделения государственной службы и кадров. Она необходима для решения ряда вопросов, связанных с обработкой персональных данных. Система позволяет вести кадровый учет, предоставляет специализированные возможности для менеджеров, в оформлении путевок клиентам. Основными возможностями автоматизированной информационной системы и причинами ведения и обработки ПДн являются: ведение учета сотрудников организации; осуществление банковских проводок; ведение бухгалтерии организации; подача отчетности в налоговые органы, ПФР и другие государственные аппараты; ведение списков партнеров; оформление платежных документов (счета, акты); учет платежей и расчетов с партнерами; формирование месячных, квартальных и годовых отчетов, в режиме реального времени, для анализа эффективности деятельности организации; формирование отчетов, в режиме реального времени, для предоставления руководству компании и инвесторам; Все технические узлы ИСПДн, находятся на территории Российской федерации, в пределах одного города Москва. ИСПДн имеет подключение к сети Internet. Все узлы ИСПДн расположены в одном здании, все узлы, относящиеся к обработке ПДн, находятся на одном этаже, в нескольких кабинетах, проход на этаж имеет пропускной режим. ИСПДн работает в многопользовательском режиме, существует разграничение по правам доступа. К персональным данным предъявляются требования конфиденциальности, доступности и целостности. Для входа в систему и начала работы с защищаемыми персональными данными, сотруднику необходимо пройти аутентификацию. Все пользователи в системе разделены по ролям, которые отличаются наборами прав доступа, например: администратор, бухгалтер, сотрудник кадрового аппарата. В зависимости от роли пользователю будет доступна определенная часть данных, с определенными возможностями действий. При построении модели нарушителя необходимо определить: к какой категории лиц может принадлежать нарушитель; какие мотивы действий нарушителя; какую квалификацию имеет нарушитель и какое техническое оснащение применяет; характер действий нарушителя. При разделении нарушителей безопасности на классы можно исходить из их принадлежности к определенным категориям лиц, мотивов действий и преследуемых целей, характера и методов достижения целей, квалификации, технической оснащенности и знаний об атакуемой информационной системе. С точки зрения наличия прав постоянного или разового доступа в контролируемую зону нарушители могут разделяться на два типа: внешние нарушители – лица не имеют разрешения на доступ и пребывание на контролируемой территории, внутри которой размещено техническое оборудование ИСПДн; внутренние нарушители – лица имеющие разрешение на доступ и пребывание на контролируемой территории, внутри которой размещается техническое оборудование ИСПДн; Перечень внешних нарушителей информационной безопасности представлен в таблице 1. Для исключения появления внутренних нарушителей, необходимо обращать особое внимание на новых сотрудников таких профессий как: системные администраторы, инженеры-программисты, специалисты в области компьютерной техники и защиты информации. Иногда имеет место быть внедрение сотрудников, работающих на конкурирующую компанию. Огромную опасность представляют специалисты подобного уровня при вхождении в сговор с сотрудниками, имеющими непосредственный доступ к обрабатываемым ПДн. В данном случае возможный ущерб и объем последствий многократно увеличивается. Таблица 1 Возможные внешние нарушители
Таблица 2 Возможные внутренние нарушители
К внутренним нарушителям информационной безопасности относятся нарушители, имеющие непосредственный доступ к каналам связи, техническим средствам и ресурсам системы, находящимся в пределах контролируемой зоны. Список возможных внутренних нарушителей информационной безопасности представлен в таблице 3. Таблица 3. Возможные нарушители информационной безопасности
Практика показывает, что действия сотрудников организации нельзя предсказать, а возможностей несанкционированного доступа или хищения данных у них намного больше, чем у внешних злоумышленников. А если права доступа сотрудников ограничить слишком сильно, то работа системы, а значит и компании в целом, может просто остановиться. Внутренняя безопасность – это всегда компромисс между организационными и техническими методами, стремлением к защищенности и потребностями рядовых сотрудников. Таблица 4. Уровни защищенности ИСПДн
В совокупности это непрерывный процесс, который подразумевает не только внедрение и настройку программных решений, а также работу и обучение сотрудников. Полностью защититься от внутренних угроз невозможно, но нужно снизить до минимума риски их реализации. Внутренний нарушитель представляет собой легитимного сотрудника организации, который обладает достаточными правами на доступ к информационным ресурсам. Вследствие умышленных или ошибочных действий внутренний нарушитель может принести ущерб, часто больший, чем внешний нарушитель. С учетом всех исключений, в рамках разработки Модели угроз предполагается, что к вероятным нарушителям доступа к ИСПДн будут относиться следующие лица: В данной Модели угроз учитывается, что сговор внутренних нарушителей, а также внутренних и внешних нарушителей, практически невозможен, вследствие принятых организационных и контролирующих мер. В таблице 5 обозначены уровни защищенности ИСПДн. ИСПДн имеет средний уровень исходной защищенности, так как все характеристики соответствуют уровню не ниже «средний», 50% характеристик имеют уровень «высокий». Показатель исходной защищенности Y1=5. Исходная степень защищенности определяется в зависимости от соответствия значения исходной защищенности следующим требованиям: Высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню «высокий» (сумма положительных решений по первому столбцу, соответствующему высокому уровню защищенности деленный на количество характеристик в таблице умноженный на 100%), остальные характеристики соответствуют среднему уровню защищенности (показатель исходной защищенности Y1= 0). Средний уровень исходной защищенности, при условии не выполнения пункта 1 и не менее 70% характеристик соответствуют уровню «средний» (сумма положительных решений по второму столбцу, соответствующему высокому уровню защищенности деленный на количество характеристик в таблице умноженный на 100%), а остальные - низкому уровню защищенности (показатель исходной защищенности Y1= 5). ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия пунктов 1 и 2 (показатель исходной защищенности Y1= 10). | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||