Разработка комплекса мероприятий по обеспечению информационной безопасности компьютерной сети предприятия. Министерство промышленности и торговли Тверской области Государственное бюджетное профессиональное образовательное учреждение Тверской промышленноэкономический колледж

• Название: Министерство промышленности и торговли Тверской области Государственное бюджетное профессиональное образовательное учреждение Тверской промышленноэкономический колледж
• Анкор: Разработка комплекса мероприятий по обеспечению информационной безопасности компьютерной сети предприятия
• Дата: 03.06.2022
• Размер: 2.79 Mb.
• Имя файла: Diplom.docx
• Тип: Документы; #568414
• страница: 3 из 5

1.3 Правовые меры

Законодательство РФ об информации, информационных технологиях и защите информации основывается на Конституции РФ, международных договорах РФ и состоит из ФЗ №149 и других федеральных законов.

Все эти документы могут быть поделены на нормативно-правовые и нормативно-методические. Основным нормативно-правовым актом в области информационной безопасности в Российской Федерации является ФЗ № 149 "Об информации, информационных технологиях и о защите информации".

В Законе вводится официальное определение понятия информации:

"Информация - сведения (сообщения, данные) независимо от формы их представления"¹⁰; определяются принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации. Определяется, так же, круг субъектов, способных быть обладателем информации, определены права и обязанности обладателя информации.

К нормативно-методическим документам можно отнести в свою очередь можно отнести методические документы и стандарты информационной безопасности. Методические документы государственных органов России:

1. 
   Доктрина информационной безопасности РФ;
   
2. 
   Руководящие документы ФСТЭК;
   

Такие как «Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» ФСТЭК от 15 февраля 2008г, определяющий ряд терминов и положений, связанных с обеспечением безопасности персональных данных, а так же основные мероприятия по организации обеспечения безопасности персональных данных и мероприятия по техническому обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

Стандарты информационной безопасности, из которых выделяют:

1. 
   Государственные (национальные) стандарты РФ¹¹:
   

1. 
   ГОСТ Р 50922-2006 — Защита информации. Основные термины и определения.
   
2. 
   Р 50.1.053-2005 — Информационные технологии. Основные термины и определения в области технической защиты информации.
   
3. 
   ГОСТ Р 51188—98 — Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.
   
4. 
   ГОСТ Р 51275-2006 — Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.
   
5. 
   ГОСТ Р ИСО/МЭК 15408-1-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.
   
6. 
   ГОСТ Р ИСО/МЭК 15408-2-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.
   
7. 
   ГОСТ Р ИСО/МЭК 15408-3-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.
   
8. 
   ГОСТ Р ИСО/МЭК 15408 — «Общие критерии оценки безопасности информационных технологий» — стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности — благодаря чему потребитель принимает решение о безопасности продуктов.
   
9. 
   ГОСТ Р ИСО/МЭК 17799 — «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением — ISO/IEC 17799:2005.
   
10. 
    ГОСТ Р ИСО/МЭК 27001 — «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта — ISO/IEC 27001:2005.
    
11. 
    ГОСТ Р 51898-2002 — Аспекты безопасности. Правила включения в стандарты.
    

2. 
   Международные стандарты;
   

Такие как ISO/IEC 17799:2005 — «Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности».

2 Анализ угроз и средств обеспечения информационной безопасности предприятия

2.1 Угрозы информационной безопасности предприятия

Все угрозы информационным ресурсам предприятия можно отнести к одной из следующих категорий:

1. 
   «Угрозы доступности информации, хранимой и обрабатываемой и информации, передаваемой по каналам связи;
   
2. 
   Угрозы целостности информации, хранимой и обрабатываемой и информации, передаваемой по каналам связи;
   
3. 
   Угрозы конфиденциальности информации хранимой и обрабатываемой и информации, передаваемой по каналам связи».¹²
   

«Угрозы безопасности информационных ресурсов, сточки зрения реализации, можно разделить на следующие группы:

1. 
   Угрозы, реализуемые с использованием технических средств;
   
2. 
   Угрозы, реализуемые с использованием программных средств;
   
3. 
   Угрозы, реализуемые путем использования технических каналов утечки информации».¹³
   

Первыми, в этой работе, будут описаны угрозы, реализуемые с использованием технических средств, которые включают в себя приемо-передающее и коммутирующее оборудование, оборудование серверов и рабочих станций, а также линии связи. К этому классу принадлежат угрозы доступности, целостности и, в некоторых случаях конфиденциальности информации, хранимой, обрабатываемой и передаваемой по каналам связи, связанные с повреждениями и отказами технических средств, приемо-передающего и коммутирующего оборудования и повреждением линий связи.

Для технических средств характерны угрозы, связанные с их умышленным или неумышленным повреждением, ошибками конфигурации и выходом из строя:

• 
  Вывод из строя;
  
• 
  Несанкционированное изменение конфигурации активного сетевого оборудования и приемо-передающего оборудования;
  
• 
  Физическое повреждение технических средств, линий связи, сетевого и каналообразующего оборудования;
  
• 
  Проблемы с питанием технических средств;
  
• 
  Отказы технических средств;
  
• 
  Установка непроверенных технических средств или замена вышедших из строя аппаратных компонент на неидентичные компоненты;
  
• 
  Хищение технических средств и долговременных носителей конфиденциальной информации вследствие отсутствия контроля над их использованием и хранением.
  

Следующими будут описаны угрозы, реализуемые с использованием программных средств это наиболее многочисленный класс угроз конфиденциальности, целостности и доступности информационных ресурсов, связанный с получением несанкционированного доступа к информации, хранимой и обрабатываемой, а также передаваемой по каналам связи, при помощи использования возможностей, предоставляемых ПО. Большинство рассматриваемых в этом классе угроз реализуется путем осуществления локальных или удаленных атак на информационные ресурсы системы внутренними и внешними злоумышленниками. Результатом успешного осуществления этих угроз становится получение несанкционированного доступа к информации баз данных и файловых систем корпоративной сети, данным, конфигурации маршрутизаторов и другого активного сетевого оборудования.

В этом классе рассматриваются следующие основные виды угроз:

• 
  Внедрение вирусов и других разрушающих программных воздействий;
  
• 
  Нарушение целостности исполняемых файлов;
  
• 
  Ошибки кода и конфигурации ПО, активного сетевого оборудования;
  
• 
  Модификация ПО;
  
• 
  Наличие в ПО недекларированных возможностей, оставленных для отладки, либо умышленно внедренных;
  
• 
  Использование уязвимостей ПО для взлома программной защиты с целью получения несанкционированного доступа к информационным ресурсам или нарушения их доступности;
  
• 
  Выполнение одним пользователем несанкционированных действий от имени другого пользователя;
  
• 
  Раскрытие, перехват и хищение секретных кодов и паролей;
  
• 
  Загрузка и установка в системе не лицензионного, непроверенного системного и прикладного ПО;
  

Отдельно следует рассмотреть угрозы, связанные с использованием сетей передачи данных. Данный класс угроз характеризуется получением внутренним или внешним нарушителем сетевого доступа к серверам баз данных и файловым серверам, маршрутизаторам и активному сетевому оборудованию. Здесь выделяются следующие виды угроз, характерные для предприятия:

• 
  перехват информации на линиях связи путем использования различных видов анализаторов сетевого трафика;
  
• 
  замена, вставка, удаление или изменение данных пользователей в информационном потоке;
  
• 
  перехват информации, передаваемой по каналам связи, с целью ее последующего использования для обхода средств сетевой аутентификации;
  
• 
  статистический анализ сетевого трафика.
  

Последними в этом списке находятся угрозы утечки информации по техническим каналам связи.

Виды технических каналов утечки информации:

«При проведении работ с использованием конфиденциальной информации и эксплуатации технических средств возможны следующие каналы утечки или нарушения целостности информации или работоспособности технических средств:

• 
  побочные электромагнитные излучения информативного сигнала от технических средств и линий передачи информации;
  
• 
  акустическое излучение информативного речевого сигнала или сигнала, обусловленного функционированием технических средств обработки информации;
  
• 
  несанкционированный доступ к информации, обрабатываемой в автоматизированных системах;
  
• 
  хищение технических средств с хранящейся в них информацией или отдельных носителей информации;
  
• 
  просмотр информации с экранов дисплеев и других средств ее отображения с помощью оптических средств;
  
• 
  воздействие на технические или программные средства в целях нарушения целостности информации, работоспособности технических средств».¹⁴
  

Кроме перехвата информации техническими средствами возможно непреднамеренное попадание конфиденциальной информации к лицам, не допущенным к ней, но находящимся в пределах контролируемой зоны. Утечка информации возможна по следующим каналам:

• 
  Радиоканалы;
  
• 
  ИК-канал;
  
• 
  Ультразвуковой канал;
  
• 
  Проводные линии.