Силаенков А.Н. Проектирование системы информационной безопасности. Учебное пособие ОмГТУ

Подождите немного. Документ загружается.

аналогично программам - вирусам и предназначенные осуществлять автоматический

несанкционированный доступ к конфиденциальной информации.

Для защиты информации от воздействия программ-вирусов необходимо

соблюдение следующих требований:

1. Разграничение через систему паролей доступа пользователей к

привилегированным функциям ЛВС и БД (например, администрирование).

2. Разграничение допуска пользователей в помещения операторов,

телекоммуникационный узел, помещение специалиста по защите информации, другие

помещения ЗУР (зона усиленного режима).

3. Проверка ранее не использовавшегося программного обеспечения на

специально выделенном компьютере у СПЗИ (специалист по защите информации).

4. Соблюдение правил ввода в эксплуатацию и сопровождения программного

обеспечения. Планирование и реализация мероприятий СПЗИ по защите ПО и ИО от

воздействия программ-вирусов.

5. Проведение администраторами БД и АИС еженедельных профилактических

работ на серверах для выявления и уничтожения программ-вирусов.

6. Проверка магнитных носителей информации, поступающих от других

сторонних организаций на наличие на них программ-вирусов.

7. Защита учтенных дискет от записи при копировании с них информации.

8. Информирование специалиста по защите информации о всех сбоях и

необычных ситуациях возникающих при эксплуатации СВТ и ЛВС.

Для защиты ПО и информационного обеспечения (ИО) от программ-вирусов в

ОАО «Н-ский аэропорт» используется антивирусная база Dr.Web. Dr.Web устроен по

модульному принципу: сканированием диска занимается базовая программа, а

контролем запускаемых программ и документов – модуль Spider. Проверяются все

категории файлов, которые могут быть заражены: исполняемые файлы, документы

Microsoft Word, архивы всех популярных форматов (ARJ, ZIP, RAR, TAR и так далее),

скрипты VBS и многие другие.

8. Учет, хранение и обращение

с машинными носителями информации и документами

На учет, хранение и обращение с машинными носителями информации и

документами возлагаются следующие требования:

1. ППО (прикладное программное обеспечение) поступившее в любое структурное

подразделение ОАО «Н-ский аэропорт» подлежит сдаче в базу эталонных копий у

СПЗИ.

2. Разрабатываемые и поступившие в ОПФР СЗИ подлежат учету у СПЗИ в

"Журнале учета эталонных копий программного обеспечения".

3. Подлинники ППО и СЗИ хранятся соответственно в отделе автоматизации и у

СПЗИ на маркированных МНИ.

4. Маркировка МНИ осуществляется проставлением регистрационного штампа и

нанесением учетного номера, даты и росписи лица, проводившего учет и маркировку.

Учетный номер состоит из индекса структурного подразделения, через дробь

порядковый номер по единой нумерации, которая ведется с начала до окончания

журнала (или перерегистрации), а через дефис - буквенный индекс. Буквенный индекс

проставляется только для ППО и СЗИ (средства защиты информации).

Регистрационный штамп проставляется на бумажной этикетке МНИ.

5. В ОАО «Н-ский аэропорт» учет и хранение машинных носителей с общим

программным обеспечением возлагается на СПЗИ. Поступившие ППО и СЗИ

подлежит учету в "Журнале учета эталонных копий программного обеспечения".

6. Рабочие МНИ пользователей подлежат учету в "Журнале учета МНИ", который

ведется в отделом защиты информации, а в СУ назначенным ответственным лицом.

Выдача рабочих МНИ производится по данному журналу. Пользователи учитывают в

описи получаемые для работы МНИ. Журналы учета включаются в номенклатуру дел.

Их листы нумеруются, прошиваются и опечатываются.

7. Машинные документы, составленные для временного пользования (справки,

планы, графики, расписания и т.п.) не подлежат регистрации.

8. Выходные машинные документы, содержащие конфиденциальную

информацию, а также справочные документы длительного пользования учитываются в

"Журнале учёта конфиденциальной информации". Аналогично учитываются

документы, содержащие конфиденциальную информацию, полученные путем

копирования на множительной технике, копирование таких документов допускается

только по распоряжению руководителя подразделения или лица, ответственного за

защиту информации.

Порядок Ведения делопроизводства в системе ПУ установлен в “Инструкции по

делопроизводству в системе персонифицированного учёта ПФР” и возлагается на

должностных лиц приказом Управляющего.

9. Документы ПУ на бумажных и машиночитаемых носителях, архивируются и

хранятся в помещениях архива в ЗУР (зона усиленного режима). Помещения

оборудуются в соответствии с “Требованиями по обеспечению сохранности

документов в архивах”.

10. Передача МНИ с конфиденциальной информацией из одного структурного

подразделения в другое производится с разрешения руководителя структурного

подразделения с обязательной отметкой в месте регистрации в "Журнале учета МНИ".

11. Передача МНИ с конфиденциальной информацией сторонним организациям

производится с разрешения Генерального директора или лица его заменяющего на

основании договора или письменного запроса этих организаций с обязательной

отметкой в месте регистрации МНИ в "Журнале учета МНИ" и в “Журнале учёта

представления конфиденциальной информации сторонним организациям и лицам”.

12. МНИ с конфиденциальной информацией необходимо хранить в сейфах,

закрывающихся шкафах или в ящиках рабочих столов, которые имеют замки.

13. Полученные при формировании МНИ и документов бракованные листы

бумаги в разорванном виде складываются в металлические ящики, а затем сжигаются в

специальных местах или сразу уничтожаются на бумагорезательной машине. С этой

целью на предприятии должны находиться металлические ящики или

бумагорезательные машины. Выбрасывать материалы выходных машинных

документов содержащих конфиденциальную информацию в урны и на улицу

категорически запрещено.

14. Уничтожение рабочих МНИ, пришедших в негодность, производится в отделе

автоматизации по акту или под две росписи в журнале учета.

15. Уничтожение ППО, СЗИ и рабочих МНИ с конфиденциальной информацией,

утративших свое практическое назначение и не имеющих исторической ценности,

также пришедших в негодность, производится по акту.

16. Уничтожение ненужных файлов производится в соответствии с

возможностями прикладных программ и должно исключать восстановление удаленных

файлов.

17. Проверка ППО, СЗИ и рабочих МНИ производится не реже одного раза в год

комиссией, назначаемой Генеральным директором . В состав комиссий включаются

работники, ответственные за учет и хранение этих материалов.

Результаты проверки оформляются актом, оригинал которого хранится в

структурном подразделении, а второй экземпляр у СПЗИ.

9. Порядок размещения и установки СВТ

по обработке конфиденциальной информации.

1. Размещение и установка СВТ в помещениях, где обрабатывается

конфиденциальная информация, должны исключать возможность хищения устройств

(блоков) СВТ.

2. Размещение и установка СВТ должны предотвращать бесконтрольное

использование и визуальный просмотр обрабатываемых сведений лицами, не

имеющими к ним отношения.

3. Двери помещений должны быть оборудованы внутренними замками,

гарантирующими надежное их закрытие. Окна помещений на первом этаже должны

иметь прочные металлические решетки.

4. Помещения в зонах усиленного режима должны быть оборудованы системой

разграничения доступа (кодовыми замками), охранно-пожарной сигнализацией.

5. По окончании рабочего дня работники, отвечающие за эксплуатацию СВТ,

должны осмотреть, запереть и опечатать помещения. При наличии постов охраны

сдать им под наблюдение помещения и ключи от них в опечатанных коробках под

роспись в книге приема и сдачи служебных помещений.

6. Допуск в помещения зон усиленного режима организуется по списку.

7. Допуск в помещения, где размещены СВТ, представителей для ремонта и

уборки помещений осуществляется в присутствии ответственного за эксплуатацию

СВТ.

8. Запасные входные двери в здание должны быть постоянно заперты изнутри.

10. Организация противопожарной защиты.

Противопожарная защита организована следующим образом:

1. Все помещения, независимо от их назначения и хозяйственной принадлежности

оборудуются средствами пожарной сигнализации с обеспечением круглосуточного

режима работы извещателей. В качестве пожарных извещателей рекомендуется

применять извещатели, реагирующие как на дым, так и на тепловое излучение. В

каждом помещении устанавливается не менее двух пожарных датчиков.

2. С целью предотвращения и ликвидации пожара в помещениях разрабатывается

"Инструкция по противопожарной защите", все сотрудники обучаются правилам

пользования средствами пожаротушения.

В зонах усиленного режима устанавливаются средства пожаротушения

(огнетушители типа ОУ-8 или ОП-5)

3. Для повышения эффективности противопожарной безопасности необходимо

проводить регулярные испытания пожарного оборудования и тренировки персонала.

11. Допуск к конфиденциальной информации

1. Работники, допущенные к конфиденциальной информации, несут личную

ответственность за соблюдение ими установленного режима защиты информации и

обязаны строго соблюдать сохранность конфиденциальной информации и

коммерческой тайны, не допускать действий, подрывающих или дискредитирующих

авторитет организации.

2. Допуск к конфиденциальной информации работников служб и подразделений

разрешается после подписания работником соответствующих обязательств, изучения

им требований настоящей инструкции и других нормативных документов по защите

информации.

3. За разглашение сведений, составляющих конфиденциальную информацию,

утрату машинных носителей информации, содержащих такие сведения, либо за иные

нарушения режима защиты информации виновные привлекаются к ответственности в

соответствии с действующим законодательством.

12. Анализ рисков

Изучение и систематизация угроз ИБ

Под угрозой понимается событие (воздействие), которое в случае своей

реализации становится причиной нарушения целостности информации, ее потери или

замены. Угрозы могут быть как случайными, так и умышленными (преднамеренно

создаваемыми).

К случайным угрозам относятся:

 ошибки обслуживающего персонала и пользователей:

 потеря информации, обусловленная неправильным хранением архивных

данных;

 случайное уничтожение или изменение данных;

 сбои оборудования и электропитания:

 сбои кабельной системы;

 перебои электропитания;

 сбои дисковых систем;

 сбои систем архивирования данных;

 сбои работы серверов, рабочих станций, сетевых карт и т. д.

 некорректная работа программного обеспечения:

 изменение данных при ошибках в программном обеспечении;

 заражение системы компьютерными вирусами.

 несанкционированный доступ:

 случайное ознакомление с конфиденциальной информацией посторонних лиц.

Необходимо отметить, что зачастую ущерб наносится не из-за чьего-то злого

умысла, а просто по причине элементарных ошибок пользователей, которые случайно

портят или удаляют данные, жизненно важные для системы. В связи с этим, помимо

контроля доступа, необходимым элементом защиты информации в компьютерных

сетях является разграничение полномочий пользователей. Кроме того, вероятность

ошибок обслуживающего персонала и пользователей сети может быть значительно

уменьшена, если их правильно обучать и, кроме того, периодически контролировать их

действия со стороны, например, администратора безопасности сети.

Трудно предсказуемыми источниками угроз информации являются аварии и сти-

хийные бедствия. Но и в этих случаях для сохранения информации могут использо-

ваться различные средства.

Наиболее надежное средство предотвращения потерь информации при кратковре-

менном отключении электроэнергии - установка источников бесперебойного питания

(UPS). Различные по своим техническим и потребительским характеристикам,

подобные устройства могут обеспечить питание всей локальной сети или отдельного

компьютера в течение времени, достаточного для восстановления подачи напряжения

или для сохранения информации на магнитных носителях. Большинство UPS выпол-

няют функции еще и стабилизатора напряжения, что является дополнительной защи-

той от скачков напряжения в сети. Многие современные сетевые устройства (серверы,

концентраторы, мосты и др.) оснащены собственными дублированными системами

электропитания.

Основной, наиболее распространенный, метод защиты информации и оборудова-

ния от стихийных бедствий (пожаров, землетрясений, наводнений и т. п.) состоит в

создании и хранении архивных копий данных, в том числе, в размещении некоторых

сетевых устройств, например, серверов баз данных, в специальных защищенных по-

мещениях, расположенных, как правило, в других зданиях, либо, реже, в другом райо-

не города или в даже другом городе.

Особенностью компьютерной неосторожности является то, что безошибочных

программ в принципе не бывает. Если проект практически в любой области техники

можно выполнить с огромным запасом надежности, то в области программирования

такая надежность весьма условна, а иногда почти не достижима. И это касается не

только отдельных программ, но и целого ряда программных продуктов фирм,

известных во всем мире.

Как считают эксперты по безопасности, из-за недостатков в программных продук-

тах Microsoft, связанных с обеспечением безопасности данных в сети Internet, хакеры

могут захватывать личные ключи шифров пользователей и действовать от их лица.

Поскольку существуют дефекты в некоторых программах Microsoft, включая браузер

Internet Explorer и пакет Internet Information Server, ключи шифров можно легко ско-

пировать с жестких дисков компьютеров, подключенных к WWW.

Проблема состоит в том, что форматы файлов, применяемые для защиты личных

ключей шифров, до конца не проработаны. Используя лазейки в системе защиты,

можно с помощью вирусного программного кода, скрытого на Web-страницах, читать

содержимое жестких дисков пользователей во время посещения ими данной страницы.

А из-за дефекта в программных интерфейсах криптографии, используемых многими

средствами Microsoft, множество ключей могут быть считаны с жесткого диска пользо-

вателя по простому запросу. Легкость, с которой это можно выполнить, ставит под

угрозу все остальные средства шифрования, применяемые на Web-страницах и в бра-

узерах.

Уровень указанных угроз в значительной мере снижается за счет повышения ква-

лификации обслуживающего персонала и пользователей, а также надежности аппа-

ратно-программных и технических средств.

Однако наиболее опасным источником угроз информации являются преднамерен-

ные действия злоумышленников. Спектр их противоправных действий достаточно ши-

рок, а итогом их вмешательства в процесс взаимодействия пользователей сети является

разглашение, фальсификация, незаконное тиражирование или уничтожение

конфиденциальной информации.

Стандартность архитектурных принципов построения оборудования и программ

обеспечивает сравнительно легкий доступ профессионала к информации, находящейся

в персональном компьютере. Ограничение доступа к ПК путем введения кодов не

гарантирует стопроцентную защиту информации.

Угрозы, преднамеренно создаваемые злоумышленником или группой лиц (умыш-

ленные угрозы), заслуживают более детального анализа, так как часто носят изощ-

ренный характер и приводят к тяжелым последствиям

К умышленным угрозам относятся:

 несанкционированный доступ к информации и сетевым ресурсам;

 раскрытие и модификация данных и программ, их копирование;

 раскрытие, модификация или подмена трафика вычислительной сети;

 разработка и распространение компьютерных вирусов, ввод в программное

обеспечение логических бомб;

 кража магнитных носителей и расчетных документов;

 разрушение архивной информации или умышленное ее уничтожение;

 фальсификация сообщений, отказ от факта получения информации или измене-

ние времени ее приема;

 перехват и ознакомление с информацией, передаваемой по каналам связи, и т.

п.

Обычно выделяют три основных вида угроз безопасности: угрозы раскрытия,

целостности и отказа в обслуживании. Угроза раскрытия заключается в том, что

информация становится известной тому, кому не следует ее знать. В терминах

компьютерной безопасности угроза раскрытия имеет место всегда, когда получен

доступ к некоторой конфиденциальной информации, хранящейся в вычислительной

системе или передаваемой от одной системы к другой.

Нарушение конфиденциальности (раскрытие) информации - это не только

несанкционированное чтение документов или электронной почты. Прежде всего, это

перехват и расшифровка сетевых пакетов (как известно, информация в сети передается

пакетами), другими словами, анализ трафика.

Оценка рисков нарушения безопасности

Расходы на систему защиты информации необходимо сопоставить и привести в

соответствие с ценностью защищаемой информации и других информационных

ресурсов, подвергающихся риску, а также с ущербом, который может быть нанесен

организации из-за сбоев в системе защиты.

Для оценки рисков необходимо систематически рассматривать следующие

аспекты:

а) ущерб, который может нанести деятельности организации серьезное нарушение

информационной безопасности, с учетом возможных последствий нарушения

конфиденциальности, целостности и доступности информации;

б) реальная вероятность такого нарушения защиты в свете превалирующих угроз и

средств контроля.