Разработка системы менеджмента инцидентов информационной безопасности для хозяйствующего субъекта в области информационных техно. Курсовой проект_ИБ. Курсовой проект по дисциплине Системы информационной безопасности
 Скачать 227.47 Kb.
|
РАЗДЕЛ III. АНАЛИЗ ИНФОРМАЦИОННЫХ АКТИВОВ3.1 Инвентаризация активовБлагодаря грамотному описанию активов на предприятии - обеспечивается эффективная защита активов, что является важным аспектом при управлении рисками. В процессе проведения правильной идентификации активов, организация может обеспечивать заданные уровни защиты, соответствующие ценности и важности активов. Описи следует составлять и поддерживать для важных активов, связанных с каждой информационной системой. Каждый актив должен быть четко идентифицирован и классифицирован с точки зрения безопасности, его владельцы должны быть авторизованы, а данные о них документированы. Кроме того, должно быть указано фактическое местоположение актива (это важно в случае восстановления активов при потере или повреждении). Примерами активов, связанных с информационными системами, являются: - информационные активы: базы данных и файлы данных, системная документация, руководства пользователя, учебные материалы, процедуры эксплуатации или поддержки (обслуживания), планы по обеспечению непрерывности функционирования информационного обеспечения, процедуры действий при сбоях, архивированная информация; - активы программного обеспечения: прикладное программное обеспечение, системное программное обеспечение, инструментальные средства разработки и утилиты; - физические активы: компьютерное оборудование (серверы, рабочие станции, принтеры и прочее периферийное оборудование), оборудование связи (маршрутизаторы, внутренние автоматические телефонные станции с выходом в сеть общего пользования, телефоны, факсы, автоответчики), машинные носители информации (жесткие магнитные диски, оптические диски, магнитные ленты, флэшки, рутокены и др. твердотельные носители), другое техническое оборудование (электропитание, кондиционеры), мебель, помещения; - услуги: вычислительные услуги и услуги связи, основные коммунальные услуги, например, отопление, освещение, электроэнергия, кондиционирование. Применимо к нашему хозяйствующему субъекту, можно выделить следующие важные активы ЦОД: - информационные активы: базы данных и файлы системы электронного документооборота, информационного интернет-портала Правительства Республики Крым, государственной информационной системы «Региональная система межведомственного электронного взаимодействия», единого почтового сервиса исполнительных органов государственной власти Республики Крым, резервные (архивные) файлы данных. Также сюда можно отнести корпоративную информацию предприятия – бухгалтерские сведения, персональные данные о сотрудниках, информационные системы внутреннего управления предприятия. - активы программного обеспечения: операционные системы серверов и средства их администрирования, программное обеспечение систем управления базами данных (СУБД), инструментальные средства разработчиков, программные средства защиты информации; - физические активы: серверы обработки данных, носители информации (твердотельные и магнитные накопители данных), персональные компьютеры, маршрутизаторы, принтеры и др. периферия, системы электропитания, системы кондиционирования, системы контроля и управления доступом (СКУД), другое техническое оборудование (мебель и т.п.). - персонал: главный инженер проекта, системный архитектор, специалист по управлению, программисты, техники, менеджеры. 3.2. Категорирование активовВыполним категорирование активов по 11-бальной шкале, где 10 соответствует наибольшей ценности (потеря архива ведет к полной потере работоспособности), а 0 – наименьшей (потеря архива не приводит к потере работоспособности). По данным финансовых отчетов [2], средний оборот за 2018-19 годы составил 340 млн. руб, исходя из этого числа и круглосуточной годовой работе предприятия оценим час простоя в денежном выражении как 340 000 000 / 365 / 24 ≈ 38 800 руб, соответственно, каждый балл категории активов будет соответствовать 3,88 тыс. руб / час в денежном выражении. Оценим категории выделенных в предыдущем подразделе активов экспертным методом при воздействии трех базовых угроз информации: конфиденциальности, целостности и доступности (таблицы 1-3). Используя далее интегральный тип угроз (без деления на три типа), выберем для каждого актива максимальную из трех рассмотренных категорий (таблица 4). Таблица 1 – Категории активов по отношению к угрозе конфиденциальности
Таблица 2 – Категории активов по отношению к угрозе целостности
Таблица 3 – Категории активов по отношению к угрозе доступности
Таблица 4 – Категории активов по отношению к интегральной угрозе
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||