Практическая работа Изучение содержания и последовательности работ по защите информации
 Скачать 24.93 Kb.
|
|
Практическая работа 1. Изучение содержания и последовательности работ по защите информации Цель работы: изучить содержание и последовательность работ выполняемых при построении комплексной системы защиты информации. Теоретическая часть При создании комплексной системы защиты информации необходимо защищать информацию во всех фазах ее существования - документальной (бумажные документы, микрофильмы и т.п.), электронной, содержащейся и обрабатываемой в информационных системах и отдельных средствах вычислительной техники, включая персонал, который ее обрабатывает - всю информационную инфраструктуру. При этом защищать информацию необходимо не только от несанкционированного доступа к ней, но и от неправомерного вмешательства в процесс ее обработки, хранения и передачи на всех фазах, нарушения работоспособности информационной системы, воздействия на персонал и т.п. Целью работы должно являться построение комплексной системы защиты информации (далее по тексту КСЗИ). Это предполагает необходимость использования, создания и разработки совокупности организационных и технических элементов КСЗИ, взаимообусловленных и взаимоувязанных, и базируется на использовании методологии построения комплексной системы защиты информации. Методология есть совокупность способов и приемов рассмотрения вопросов информационной безопасности и методов их решения в целях построения комплексной системы информационной безопасности. Она дает возможность в рамках единого подхода использовать согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все существенные каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов. Организационные и технические меры защиты информации, реализуемые в рамках КСЗИ, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации ); неправомерных уничтожения или модифицирования информации ( обеспечение целостности информации); неправомерного блокирования информации (обеспечение доступности информации). Процесс построения КСЗИ включает следующие этапы: Формирование требований к защите информации, содержащейся в информационной системе. Разработка КСЗИ информационной системы. Внедрение КСЗИ информационной системы. Аттестация информационной системы по требованиям защиты информации (далее - аттестация информационной системы) и ввод ее в действие. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся информационной системе Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации с учетом ГОСТ Р 51583 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения» (далее - ГОСТ Р 51583) и ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования» (далее - ГОСТ Р 51624) и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации (далее - классификация информационной системы); определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе , и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. 1.1. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: Анализ целей создания информационной системы и задач, решаемых этой информационной системой. Определение информации, подлежащей обработке в информационной системе. Анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система. Принятие решения о необходимости создания КСЗИ информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания КСЗИ информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации. 1.2. Классификация информационной системы может проводиться в зависимости от значимости обрабатываемой в ней информации, способов её обработки и масштаба информационной системы. Требование к уровню (классу) защищенности включается в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание КСЗИ информационной системы, разрабатываемые с учетом ГОСТ 34.602 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» (далее - ГОСТ 34.602), ГОСТ Р 51583 и ГОСТ Р 51624. Результаты классификации информационной системы оформляются актом классификации. 1.3. Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала, оснащенности и мотивации) внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности). При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации. Модель угроз безопасности информации содержит описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. 1.4. Требования к системе защиты информации информационной системы определяются в зависимости от уровня (класса) защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание КСЗИ информационной системы, разрабатываемые с учетом ГОСТ 34.602, ГОСТ Р 51583 и ГОСТ Р 51624, и должны в том числе содержать: цель и задачи обеспечения защиты информации в информационной системе ; класс защищенности информационной системы; перечень нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; перечень объектов защиты информационной системы; требования к мерам и средствам защиты информации, применяемым в информационной системе; требования к защите информации при информационном взаимодействии с иными информационными системами и информационнотелекоммуникационными сетями. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации в случае их разработки по ГОСТ Р ИСО/МЭК 27001 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования». 2. Разработка КСЗИ информационной системы Разработка КСЗИ информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание КСЗИ информационной системы с учетом ГОСТ 34.601 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания» (далее - ГОСТ 34.601), ГОСТ Р 51583 и ГОСТ Р 51624 и в том числе включает: Проектирование КСЗИ информационной системы. Разработку эксплуатационной документации на систему защиты информации информационной системы. Макетирование и тестирование КСЗИ информационной системы (при необходимости). КСЗИ информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке КСЗИ информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями. 2.1. При проектировании КСЗИ информационной системы: определяются типы субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа); определяются методы управления доступом (дискреционный, мандатный, ролевой или иные методы), типы доступа (чтение, запись, выполнение или иные типы доступа) и правила разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащие реализации в информационной системе; выбираются меры защиты информации, подлежащие реализации в КСЗИ информационной системы; определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер защиты информации; определяется структура КСЗИ информационной системы, включая состав (количество) и места размещения ее элементов; осуществляется выбор средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, с учетом их стоимости, совместимости с информационными технологиями и техническими средствами, функций безопасности этих средств и особенностей их реализации, а также класса защищенности информационной системы; определяются параметры настройки программного обеспечения, включая программное обеспечение средств защиты информации, обеспечивающие реализацию мер защиты информации, а также устранение возможных уязвимостей информационной системы, приводящих к возникновению угроз безопасности информации; определяются меры защиты информации при информационном взаимодействии с иными информационными системами и информационнотелекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования КСЗИ информационной системы отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на информационную систему (систему защиты информации информационной системы), разрабатываемых с учетом ГОСТ 34.201 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» (далее - ГОСТ 34 .201). При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка (доработка) средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и (или) ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. 2.2. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание КСЗИ информационной системы. Эксплуатационная документация на КСЗИ информационной системы разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201 и ГОСТ Р 51624 и должна в том числе содержать описание: структуры КСЗИ информационной системы; состава, мест установки, параметров и порядка настройки средств защиты информации, программного обеспечения и технических средств; правил эксплуатации КСЗИ информационной системы. 2.3. При макетировании и тестировании КСЗИ информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами ; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и (или) КСЗИ информационной системы; корректировка проектной и эксплуатационной документации на систему защиты информации информационной системы. 3. Внедрение КСЗИ информационной системы Внедрение КСЗИ информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: Установку и настройку средств защиты информации в информационной системе. Разработку документов, определяющих правила и процедуры, реализуемые обладателем защищаемой информации для обеспечения защиты информации в информационной системе в ходе ее эксплуатации (далее - организационно-распорядительные документы по защите информации). Внедрение организационных мер защиты информации. Предварительные испытания КСЗИ информационной системы. Опытную эксплуатацию КСЗИ информационной системы. Анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению. Приемочные испытания КСЗИ информационной системы. 3.1. Установка и настройка средств защиты информации в информационной системе проводится в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. 3.2. Разрабатываемые организационно-распорядительные документы по защите информации определяют правила и процедуры: управления (администрирования) системой защиты информации информационной системы; выявления инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации (далее - инциденты), и реагирования на них; управления конфигурацией аттестованной информационной системы и КСЗИ информационной системы; контроля (мониторинга) за обеспечением уровня защищенности информации , содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. 3.3. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения ; проверка полноты и детальности описания в организационнораспорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания КСЗИ информационной системы проводятся с учетом ГОСТ 34.603 «Информационная технология. Виды испытаний автоматизированных систем» (далее - ГОСТ 34.603) и включают проверку работоспособности КСЗИ информационной системы, а также принятие решения о возможности опытной эксплуатации КСЗИ информационной системы. Опытная эксплуатация КСЗИ информационной системы проводится с учетом ГОСТ 34.603 и включает проверку функционирования КСЗИ информационной системы, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации КСЗИ информационной системы. 3.6. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем КСЗИ информационной системы и предотвращения реализации угроз безопасности информации и включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. Приемочные испытания КСЗИ информационной системы проводятся с учетом ГОСТ 34.603 и включают проверку выполнения требований к системе защиты информации информационной системы в соответствии с техническим заданием на создание информационной системы (или) техническим заданием (частным техническим заданием) на создание КСЗИ информационной системы. Аттестация информационной системы и ввод ее в действие в качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание КСЗИ информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний КСЗИ информационной системы. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. Повторная аттестация информационной системы осуществляется в случае окончания срока действия аттестата соответствия или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании КСЗИ информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34.601 и при наличии аттестата соответствия. 5. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется обладателем защищаемой информации в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает: управление (администрирование) системой защиты информации информационной системы; выявление инцидентов и реагирование на них; управление конфигурацией аттестованной информационной системы и ее КСЗИ; контроль (мониторинг) за обеспечением уровня защищенности информации, содержащейся в информационной системе. 5.1. В ходе управления (администрирования) системой защиты информации информационной системы осуществляются: заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе; управление средствами защиты информации в информационной системе, в том числе параметрами настройки программного обеспечения, включая программное обеспечение средств защиты информации, управление учетными записями пользователей, восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей; установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению ; централизованное управление системой защиты информации информационной системы (при необходимости); регистрация и анализ событий в информационной системе, связанных с защитой информации (далее - события безопасности); информированиепользователейобугрозахбезопасности информации, о правилах эксплуатации КСЗИ информационной системы и отдельных средств защиты информации, а также их обучение; сопровождение функционирования КСЗИ информационной системы в ходе ее эксплуатации, включая корректировку эксплуатационной документации на нее и организационно-распорядительных документов по защите информации; 5.2. В ходе выявления инцидентов и реагирования на них осуществляются: определение лиц, ответственных за выявление инцидентов и реагирование на них; обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов; своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами; анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий; планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов; планирование и принятие мер по предотвращению повторного возникновения инцидентов. 5.3. В ходе управления конфигурацией аттестованной информационной системы и ее КСЗИ осуществляются: поддержание конфигурации информационной системы и ее КСЗИ (структуры КСЗИ информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее КСЗИ); определение лиц, которым разрешены действия по внесению изменений в базовую конфигурацию информационной системы и ее КСЗИ; управление изменениями базовой конфигурации информационной системы и ее КСЗИ, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее КСЗИ, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее КСЗИ, документирование действий по внесению изменений в базовую конфигурацию информационной системы и КСЗИ, сохранение данных об изменениях базовой конфигурации информационной системы и ее КСЗИ, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее КСЗИ; анализ потенциального воздействия планируемых изменений в базовой конфигурации информационной системы и ее КСЗИ на обеспечение защиты информации, возникновение дополнительных угроз безопасности информации и работоспособность информационной системы; определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию информационной системы и ее КСЗИ; внесение информации (данных) об изменениях в базовой конфигурации информационной системы и ее КСЗИ в эксплуатационную документацию на систему защиты информации информационной системы; принятие решения по результатам управления конфигурацией о повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний. 5.4. В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются: контроль за событиями безопасности и действиями пользователей в информационной системе; контроль (анализ) защищенности информации, содержащейся в информационной системе; анализ и оценка функционирования КСЗИ информационной системы, включая выявление, анализ и устранение недостатков в функционировании КСЗИ информационной системы; периодический анализ изменения угроз безопасности информации в информационной системе, возникающих в ходе ее эксплуатации, и принятие мер защиты информации в случае возникновения новых угроз безопасности информации ; документирование процедур и результатов контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе; принятие решения по результатам контроля (мониторинга) за обеспечением уровня защищенности информации о доработке (модернизации) КСЗИ информационной системы, повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний . 6. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется обладателем защищаемой информации в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационнораспорядительными документами по защите информации и в том числе включает: Архивирование информации, содержащейся в информационной системе. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации. Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности обладателя защищаемой информации. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации. Контрольные вопросы Перечислите основные этапы построения КСЗИ. Назовите ГОСТ с учётом которых должны быть разработаны требования к системе защиты информации. Перечислите основные понятия которые будут определены при проектировании КСЗИ. Перечислите основное содержание эксплутационной документации КСЗИ. Перечислите этапы внедрения системы защиты информации. Перечислите процессы выполняемые при обеспечении защиты информации в ходе эксплуатации аттестованной информационной системы. Список индивидуальных тем Банк Больница Юридическая фирма Фирма, занимающаяся маркетинговыми исследованиями Психологическая клиника ЗАГС УФМС Казначейство Радиозавод Контора по ремонту и обслуживанию ПК Налоговая инспекция ВУЗ УКЦ Страховая компания Дата-центр (ЦОД) Интернет-провайдер Сотовый оператор Магазин бытовой техники Аэропорт Фирма по разработке ПО Аптека Склад, лучшее наверное система складских помещений Железнодорожный вокзал Электростанция Управление дорожного хозяйства |