Курсовая. Курсовая 2 (1). Российской федерации федеральное государственное бюджетное
 Скачать 342.61 Kb.
|
ЗаключениеЦелью данной курсовой работы являлась разработка технического задания по защите конфиденциальной информации в переговорной комнате организации от утечки по акустоэлектрическим каналам. Для достижения поставленной цели были решены следующие задачи: проведен обзор основных видов информации, которые подлежат защите с точки зрения законодательство РФ и основных видов угроз; описана структура и способ реализации акустического и электроакустического каналов утечки; проведен анализ объекта информатизации, а конкретно – кабинета руководителя на предмет выявления акустических и электроакустических каналов утечки; проведён анализ существующих методов и средств защиты информации, разобраны организационные меры при проведении совещаний; разработано техническое задание по защите информации от утечки по акустоэлектрическому и акустическому каналам; Рассматриваемыми угрозами в данной работе являются технические каналы утечки речевой (акустической) информации, которые могут быть осуществлены непосредственным подслушиванием (преднамеренным или нет), преднамеренным подслушиванием с помощью акустических закладок, подключением к соединительным линиям ВТСС, обладающих “микрофонным эффектом”, специальных высокочувствительных низкочастотных усилителей либо путем высокочастотного навязывания. Определение наличия акустоэлектрических преобразователей в схеме и устройстве охранно-пожарных извещателей свидетельствует о возможности создания канала утечки акустической информации из помещения, где расположены подобные извещатели. Так как решение задачи по надежной охране и противопожарной безопасности объектов не должно идти вразрез с обеспечением их защиты от утечки речевой информации по акустоэлектрическому каналу необходимо при проведении мероприятий по защите информации учитывать и блокировать подобные технические каналы утечки информации. В результате разработанного технического задания по защите информации от утечки по акустическому каналу, кабинет стал соответствовать необходимому уровню защищенности, при этом удовлетворяя политику организации. Список используемых источниковУказ президента РФ от 6 марта 1997 г. N 188 "Об утверждении перечня сведений конфиденциального характера» // Вестник Высшего Арбитражного Суда Российской Федерации, 1997, N 5 Федеральный закон от 15 ноября 1997 г. N 143-ФЗ "Об актах гражданского состояния"//Система ГАРАНТ: http://base.garant.ru/173972/#ixzz4eayt94KO Собрании законодательства Российской Федерации от 24 ноября 1997 г., N 47, ст. 5340 Федеральный закон от 20.04.1995 N 45-ФЗ (ред. от 07.02.2017) "О государственной защите судей, должностных лиц правоохранительных и контролирующих органов"// "Российская газета", N 82, 26.04.1995 Федеральный закон от 20.08.2004 N 119-ФЗ "О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства" потерпевших, свидетелей и иных участников уголовного судопроизводства"//"Собрание законодательства РФ", 23.08.2004, N 34, ст. 3534 "Гражданский кодекс Российской Федерации (часть первая)" от 30.11.1994 N 51-ФЗ//"Собрание законодательства РФ", 23.08.2004, N 34, ст. 3534 Проект № 124871-4 Федерального закона «О служебной тайне». Электронный ljrevtyn/ режим доступа: http://www.iso27000.ru/zakonodatelstvo/federalnye-zakony-rf/federalnyi-zakon-o-sluzhebnoi-taine-proekt-No-124871-4 Федеральный закон от 29.07.2004 N 98-ФЗ (ред. от 12.03.2014) "О коммерческой тайне"//"Парламентская газета", N 144, 05.08.2004 Уголовный кодекс Российской Федерации" от 13.06.1996 N 63-ФЗ // "Собрание законодательства РФ", 17.06.1996, N 25, ст. 2954 Федеральный закон от 02.10.2007 N 229-ФЗ (ред. от 28.12.2016) "Об исполнительном производстве"// "Российская газета", N 223, 06.10.2007 Закон РФ от 21.07.1993 N 5485-1 (ред. от 08.03.2015) "О государственной тайне" "Собрание законодательства РФ", 13.10.1997, N 41, стр. 8220-8235 Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных// "Российская газета", N 165, 29.07.2006 Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) Федеральной службы безопасности Российской Федерации (ФСБ России) Министерства информационных технологий и связи Российской Федерации (Мининформсвязи России) от 13 февраля 2008 г. N 55/86/20 г. Москва "Об утверждении Порядка проведения классификации информационных систем персональных данных" // "Российская газета", N 4637, 12.04.2008 Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных"// "Российская газета", N 256, 07.11.2012 Приказ Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных»; "Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных» утв. Роскомнадзором 13.12.2013; Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП). [Электронный ресурс]. Режим доступа: http://fstec.ru/. Хорев А.А. Защита информации от утечки по техническим каналам. Часть 1. Технические каналы утечки информации. М.: Гостехкомиссия РФ, 1998. 320 с. Об утверждении Порядка проведения классификации информационных систем персональных данных (утратил силу с 11.03.2014 на основании совместного приказа ФСТЭК России, ФСБ России и Минкомсвязи России от 31 декабря 2013 года N 151/786/461)//Электронный документ. Режим доступа: http://fstec.ru/. Об утверждении Порядка проведения классификации информационных систем персональных данных (утратил силу с 11.03.2014 на основании совместного приказа ФСТЭК России, ФСБ России и Минкомсвязи России от 31 декабря 2013 года N 151/786/461)//Электронный документ. Режим доступа: http://fstec.ru/. Приказ Федеральной службы по техническому и экспортному контролю, ФСБ России и Министерства связи и массовых коммуникаций РФ от 31 декабря 2013 г. № 151/786/461 “О признании утратившим силу приказа Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности Российской Федерации и Министерства информационных технологий и связи Российской Федерации от 13 февраля 2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных». Электронный документ. Режим доступа: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/110-prikazy/815-sovmestnyj-prikaz-fstek-rossii-fsb-rossii-i-minkomsvyazi-rossii-ot-31-dekabrya-2013-g-n-151-786-461 Трудовой кодекс РФ// "Парламентская газета", N 2-5, 05.01.2002 Изменения в Законе о персональных данных Электронный документ. Режим доступа: https://yuridicheskaya-konsultaciya.ru/trudovoe_pravo/zakon-o-personalnyh-dannyh.html Приказ ФСТЭК России N 151, ФСБ России N 786, Минкомсвязи России N 461 от 31.12.2013 "О признании утратившим силу приказа Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности Российской Федерации и Министерства информационных технологий и связи Российской Федерации от 13 февраля 2008 г. N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных" (Зарегистрировано в Минюсте России 20.02.2014 N 31366) )//Электронный документ. Режим доступа: http://fstec.ru/ Постановление Правительства РФ от 06.07.2008 N 512 (ред. от 27.12.2012) "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных» от 06.07.2008 № 512// "Российская газета", N 148, 11.07.2008 Постановление Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации"// "Российская газета", N 200, 24.09.2008 «Методический документ. Меры защиты информации в государственных информационных системах" (утв. ФСТЭК России 11.02.2014). Электронный документ. Режим доступа: http://fstec.ru/ Приказ ФСТЭК России от 18.02.2013 N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" // "Российская газета", N 107, 22.05.2013 Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных"(утв. ФСТЭК РФ 14.02.2008) Электронный документ. Режим доступа: http://fstec.ru/ Федеральный закон от 27.07.2006 N 149-ФЗ"Об информации, информационных технологиях и о защите информации"// "Российская газета", N 165, 29.07.2006 "Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности" (утв. ФСБ России 31.03.2015 N 149/7/2/6-432). Электронный документ. Режим доступа: http://docs.cntd.ru/document/420336137 Проект № 124871-4 Федерального закона «О служебной тайне». Электронный ljrevtyn/ режим доступа: http://www.iso27000.ru/zakonodatelstvo/federalnye-zakony-rf/federalnyi-zakon-o-sluzhebnoi-taine-proekt-No-124871-4 Постановление Правительства 3 ноября 1994 г. n 1233 «Об утверждении положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти» // Собрание Законодательства РФ, №30, 25.07.2005 Платонов В.В. Программно-аппаратные средства обеспечения информационной безопасности вычислительных сетей: учеб. пособие для студ. высш. учеб. заведений/ В.В. Платонов. — М. : Издательский центр «Академия», 2006. — 240 с. Секреты и ложь. Безопасность данных в цифровом мире / Б. Шнайер. - СПб.: Питер, 2003. — 368 с. Бузов Г. А., Калинин С.В., Кондратьев А. В. Защита от утечки информации по техническим каналам: Учебное пособие. - М.: Горячая линия-Телеком, 2005. -416 с. Барсуков В. Блокирование технических каналов утечки информации// Информационный бюллетень JetInfo/ №5-6, 1998 г. Государственный стандарт РФ ГОСТ Р 50922-2006. «Защита информации. Основные термины и определения.» Утвержден и введен в действие приказом Федерального агентства по техническому регулированию и метрологи от 27 декабря 2006 г. N 373-ст. Зайцев А.П., Шелупанов А.А., Мещеряков Р.В.– Технические средства и методы защиты информации, М.: ООО «Издательство Машиностроение», 2009 г. Нормативно-методический документ. СТР-К. «Специальные требования и рекомендации по технической защите конфиденциальной информации.» Утверждено Гостехкомиссией России от 30 августа 2002 г. № 282. Торокин А.А., Инженерно-техническая защита информации. – М.: Гелиос АРВ, 2005 г. Лаборатория ППШ. Противодействие промышленному шпионажу [Электронный документ]: (http://www.pps.ru). Защита информации от утечки по техническим каналам [Электронный документ]: (http://itsec.ru/). Бузов Геннадий Алексеевич, Калинин Сергей Владимирович, Кондратьев Андрей Валерианович «Защита от утечки информации по техническим каналам», М.: Горячая линия-Телеком, 2005 г. Хорев А.А. Способы и средства защиты информации: учеб. пособие // М.: МО РФ, 2000 г. Сборник временных методик оценки защищенности конфиденциальной информации от утечки по техническим каналам. Гостехкомиссии России. – М.: 2002 г. Приложение Техническое задание системы защиты информации в переговорной комнате от утечки по акустоэлектрическому каналу Общие сведения 1.1 Полное наименование системы и ее условное обозначение: Система защиты информации от утечки по акустоэлектрическому каналу (СЗИ «Block») 1.2 Шифр темы или шифр (номер) договора: Шифр темы: СЗИ-ПЭ-МИН-03 Номер контракта: №5/01-15-01-007 от 09.12.2021. 1.3 Наименование разработчика и заказчика системы Заказчиком системы является компания "Firma". Адрес заказчика: 111000 г. Москва, Старая Басманная, д.53. Разработчиком системы является компания "Мультисофт". Адрес разработчика: 222000 г. Москва, Третьяковская, д.7. 1.4 Перечень документов, на основании которых создается система, кем и когда утверждены эти документы Основанием для разработки СЗИ «Block» являются следующие документы и нормативные акты: Приказ №30 об определении ответственности должностных лиц и проведении мероприятий по защите информации, Акт классификации информационной системы №25, Технический паспорт на информационную систему №3342 1.5 Плановые сроки начала и окончания работы по созданию системы Плановый срок начала работ по созданию СЗИ «Block» – 09.12.2021. Плановый срок окончания работ по созданию СЗИ «Block» – 03.02.2022. 1.6 Сведения об источниках и порядке финансирования работ Источником финансирования является бюджет компании «Мультисофт». Порядок финансирования определяется условиями контракта между компаниями «Мультисофт» и «Firma». 1.7 Порядок оформления и предъявления заказчику результатов работ Система передается в виде функционирующего комплекса на базе средств вычислительной техники Заказчика и Исполнителя в сроки, установленные контрактом. Приемка системы осуществляется комиссией в составе уполномоченных представителей Заказчика и Исполнителя. Порядок предъявления системы, ее испытаний и окончательной приемки определен в п.6 настоящего ТЗ. Совместно с предъявлением системы производится сдача разработанного Исполнителем комплекта документации согласно п.8 настоящего ТЗ. 2. Назначение и цели создания системы СЗИ «Block» предназначена для комплексного информационно-аналитического обеспечения компании «Firma», в части исполнения процесса защиты информации от утечки по электромагнитному каналу в кабинете руководителя компании. Основной целью создания СЗИ «Block» является: Защиты информации от утечки по электроакустическому каналу в кабинете руководителя компании. 3. Характеристика объекта Размеры помещения: высота 3 м, длина 8 м ширина 4 м, площадь - 69 м^2. Входная дверь – металлическая (стальная), толщиной 3,5 см. Перекрытия - железобетонные. На полу постелен линолеум, стены побелены, на потолке - гипсовая плитка. На северной стене – два двустворчатых окна (стеклопакет толщиной 58 мм из 4 стекл). Рама окна - пластиковая. Размеры окна: 2,25 x 1,85 м. На окне установлены вертикальные тканевые жалюзи. Решеток нет. Кабинет руководителя находится между двумя кабинетами: кабинет предприятия «Аудитор» (слева), кабинет предприятия автошкола «Автомобилист» (справа) и коридором, через который осуществляется доступ в кабинет. 4. Требования к системе 4.1 Общие требования: Система должна обеспечивать полноценную защиту информации от утечки по электроакустическому каналу в переговорной комнате. 4.2 Требования к безопасности: Все внешние элементы технических средств системы, находящиеся под напряжением, должны иметь защиту от случайного прикосновения, а сами технические средства иметь зануление или защитное заземление в соответствии с ГОСТ 12.1.030-81 и ПУЭ. Система электропитания должна обеспечивать защитное отключение при перегрузках и коротких замыканиях в цепях нагрузки, а также аварийное ручное отключение. Общие требования пожарной безопасности должны соответствовать нормам на бытовое электрооборудование. В случае возгорания не должно выделяться ядовитых газов и дымов. После снятия электропитания должно быть допустимо применение любых средств пожаротушения. Факторы, оказывающие вредные воздействия на здоровье со стороны всех элементов системы (в том числе инфракрасное, ультрафиолетовое, рентгеновское и электромагнитное излучения, вибрация, шум, электростатические поля, ультразвук строчной частоты и т.д.), не должны превышать действующих норм (СанПиН 2.2.2./2.4.1340-03 от 03.06.2003 г.). 5. Состав и содержание работ по созданию системы
Установка 1 устройство МП-1А, Установка 1 Генератор ЛГШ-301. 6. Порядок контроля и приемки системы 6.1 Виды, состав, объем и методы испытаний системы Виды, состав, объем, и методы испытаний подсистемы должны быть изложены в программе и методике испытаний СЗИ «Block», разрабатываемой в составе рабочей документации. 6.2 Общие требования к приемке работ и утверждения приемочной документации Сдача-приёмка работ производится поэтапно, в соответствии с рабочей программой и календарным планом, являющимися приложениями к контракту №5/01-15-01-007 от 09.12.2021 Сдача-приемка осуществляется комиссией, в состав которой входят представители Заказчика и Исполнителя. По результатам приемки подписывается акт приемочной комиссии. Все создаваемые в рамках настоящей работы программные изделия (за исключением покупных) передаются Заказчику, как в виде готовых модулей, так и в виде исходных кодов, представляемых в электронной форме на стандартном машинном носителе (например, на компакт-диске). 7. Требования к содержанию работ по подготовке к вводу системы в действие В ходе выполнения проекта на объекте автоматизации требуется выполнить работы по подготовке к вводу системы в действие. При подготовке к вводу в эксплуатацию СЗИ «Block» Заказчик должен обеспечить выполнение следующих работ: Определить подразделение и ответственных должностных лиц, ответственных за внедрение и проведение опытной эксплуатации СЗИ «Block»; Обеспечить присутствие пользователей на обучении работе с системой, проводимом Исполнителем; Обеспечить соответствие помещений и рабочих мест пользователей системы в соответствии с требованиями, изложенными в настоящем ТЗ; Обеспечить выполнение требований, предъявляемых к программно-техническим средствам, на которых должно быть развернуто программное обеспечение СЗИ «Block»; Совместно с Исполнителем подготовить план развертывания системы на технических средствах Заказчика; Провести опытную эксплуатацию СЗИ «Block». Требования к составу и содержанию работ по подготовке объекта автоматизации к вводу системы в действие, включая перечень основных мероприятий и их исполнителей должны быть уточнены на стадии подготовки рабочей документации и по результатам опытной эксплуатации. 8. Требования к документированию Для системы на различных стадиях создания должны быть выпущены следующие документы из числа предусмотренных в ГОСТ 34.201–89 «Информационная технология. Комплекс стандартов на автоматизированные системы: Перечень заданий на разработку специализированных (новых) технических средств, задания на разработку строительных, электротехнических, санитарно-технических и других разделов проекта, связанных с созданием системы, спецификация оборудования. 9. Источники разработки. 1) ГОСТ 34.201-89 «Виды, комплектность и обозначение документов при создании автоматизированных систем» 2) «Комплексные системы защиты информации предприятия» - В.Т. Еременко, М.Ю. Рытов, О.М. Голембиовская, П.Н. Рязанцев |